미국 연방수사국(FBI)의 채용 사이트까지 뚫어버린 악명 높은 해킹 그룹 ShinyHunters를 쫓던 수사관들이 뜻밖의 인물을 겨냥하고 있다. 바로 기업들이 랜섬웨어 공격을 당했을 때 범죄 조직과 협상을 대행해주는 ‘랜섬 협상 전문가’들이다. 보안 전문 매체 크렙스온시큐리티(KrebsOnSecurity) 보도에 따르면, 미국과 캐나다에 기반을 둔 두 랜섬 협상업체 임원이 ShinyHunters와 비정상적으로 가까운 관계를 유지했으며, 그중 한 명은 피해자에게 금전 지불을 압박하는 사이트 운영까지 도왔다는 정황이 포착됐다.

이 사건이 주목받는 이유는 단순하지 않다. 피해 기업을 돕기 위해 고용된 ‘중립적 중재자’가 실제로는 해커 조직과 내통하며 피해자의 약점을 미리 공유했을 가능성이 제기됐기 때문이다. 이는 사이버 보안 업계 전체의 신뢰 구조를 흔드는 사안이다.

ShinyHunters는 어떤 조직인가

ShinyHunters는 2019년 프랑스 국적 사이버 범죄자들을 중심으로 결성된 해킹 그룹으로, 지금까지 수십 건의 대형 데이터 유출 사건의 배후로 지목돼 왔다. 초기 멤버들이 하나둘 검거되거나 수감되면서 조직의 주도권은 점차 이동했고, 최근에는 요르단 암만 출신의 10대 해커 ‘레이(Rey)’가 그룹을 이끈 것으로 알려졌다. FBI에 따르면 ShinyHunters는 올해 들어서만 피해자들로부터 7천만 달러 이상을 뜯어낸 것으로 추산된다.

지난 9월 말에는 FBI의 채용 사이트인 fbijobs.gov를 해킹해, 직원들의 의료·심리 기록, 사회보장번호, 자택 주소, 소속 부서와 전문 분야 등 극도로 민감한 인사 정보를 탈취했다고 주장하며 공개하겠다고 협박했다. 수사기관을 직접 겨냥한 이 공격은 FBI가 이례적인 속도로 관련자 검거에 나서는 계기가 됐다.

네덜란드 체포 작전에서 드러난 연결고리

수사에 결정적 전환점이 된 것은 지난 9월 15일 밤 네덜란드에서 이뤄진 체포 작전이었다. 네덜란드 경찰은 ShinyHunters의 핵심 용의자로 지목된 전과자 해커 페페인 반 데르 스탑(Pepijn van der Stap)을 체포하면서 섬광탄까지 동원했다. 그가 체포 당시 신호(Signal) 메신저 계정에 로그인된 상태였기 때문에, 수사당국은 최근 대화 내역을 고스란히 확보할 수 있었다.

이 메시지들 속에는 캐나다와 미국에 기반을 둔 랜섬 협상업체 관계자들과의 빈번한 대화가 포함되어 있었다. 복수의 소식통은 이 메시지가 반 데르 스탑의 체포 직후 드러난 청부 살인 모의 사건을 풀어내는 열쇠가 되기도 했다고 전했다. 네덜란드 매체 RTL은 해외에서 두 건의 살인이 실행될 예정이었으며, 반 데르 스탑이 직접 지시를 내렸을 가능성이 있다고 보도했다. 다만 실제로 범행이 실행됐다는 정황은 없는 것으로 전해진다.

캐나다 보안업체 임원 체포와 FBI 은폐 의혹

지난 10월 9일, 크렙스온시큐리티는 54세 캐나다인 사이버보안 업체 임원 에드워드 두브로프스키(Edward Dubrovsky)가 ShinyHunters 관련 수사 선상에서 FBI에 체포됐다고 단독 보도했다. 공교롭게도 그는 최근 사이버 갈취 대응을 다룬 책을 출간하며 “항상 해커와 대화에 응해야 한다”는 조언을 펼친 인물이었다. 법원 기록에 따르면 그는 탈취 데이터 공개 협박 및 주간(州間) 통상 방해를 통한 갈취 혐의로 기소됐으며, 검찰은 재판 전 구금을 요청한 상태다. 사건 관련 기록은 봉인돼 있다.

수사에 정통한 소식통은 반 데르 스탑의 Signal 대화 기록에서 두브로프스키와 미국 내 대형 컨설팅 업체 임원 최소 한 명이 자주 등장했으며, 이들은 새로운 ShinyHunters 피해자가 발생했다는 사실을 피해자 본인보다도 먼저 알고 있었다고 전했다.

더 충격적인 대목은 따로 있다. 해당 대화 기록에는 두브로프스키가 ShinyHunters가 FBI 서버에서 극도로 민감한 데이터를 탈취했다는 사실을 미리 알고 있었음에도, ShinyHunters가 트위터(X)에 유출 협박 글을 올리기 전까지 이를 FBI에 전혀 알리지 않았다는 정황이 담겨 있었다. 랜섬 협상 전문가가 수사기관 피해 사실을 알고도 침묵했다는 것은, 업계의 이해 상충 문제를 정면으로 드러내는 대목이다.

랜섬 협상 산업의 구조적 문제

랜섬웨어 협상업체는 피해 기업과 해커 사이에서 몸값 협상을 중개하며 성공 보수를 받는 구조로 운영된다. 문제는 이 과정에서 협상업체가 해커 조직과 반복적으로 접촉하며 신뢰 관계를 쌓게 되고, 이것이 때로는 ‘유착’으로 변질될 수 있다는 점이다. 이번 사건은 그 우려가 단순한 가설이 아니라 실제 사례로 확인됐다는 점에서 파장이 크다.

해당 요르단 출신 주범 ‘레이’는 로이터 통신 보도(10월 3일)에 따르면 요르단 당국에 구금돼 FBI 수사에 협조하고 있는 것으로 전해졌다. 이는 반 데르 스탑 체포로 생긴 조직 내 권력 공백을 레이가 메우고 있던 상황에서 나온 결과다.

한국 기업과 보안 담당자가 주목해야 할 점

한국에서도 랜섬웨어 피해 발생 시 외부 보안 컨설팅이나 협상 대행사를 활용하는 사례가 늘고 있다. 이번 사건은 외부 협상 파트너를 선정할 때 단순히 ‘랜섬웨어 대응 경험’만 볼 것이 아니라, 해당 업체의 이해 상충 가능성과 투명성까지 점검해야 한다는 교훈을 준다. 특히 협상업체가 공격자 조직과 지나치게 ‘친밀한’ 정보 채널을 갖고 있다면, 이는 효율적인 협상 능력이 아니라 유착의 신호일 수 있다.

또한 이번 사건은 ShinyHunters 같은 국제 해킹 그룹이 특정 국가나 인물에 국한되지 않고, 검거와 동시에 다른 인물이 즉시 지휘권을 넘겨받는 식으로 지속되는 구조임을 보여준다. 단일 주범 체포만으로 조직이 와해되지 않는다는 점에서, 기업 보안 담당자들은 ShinyHunters발 피싱이나 데이터 유출 협박 시도에 대한 경계를 계속 유지할 필요가 있다.

원문: Feds suspect ransom negotiator ran ShinyHunters extortion site