미 연방수사당국, 랜섬웨어 협상가의 ShinyHunters 갈취 사이트 운영 의심

AI 요약

KrebsOnSecurity에 따르면 FBI는 ShinyHunters와 가까운 관계를 맺은 랜섬웨어 협상업체 임원들을 조사하고 있습니다. 수사에 가까운 소식통은 미국의 한 임원이 ShinyHunters의 갈취 사이트 Shinywire 운영을 도왔다고 전했습니다. 기사는 아직 기소되지 않은 업체와 임원의 이름은 공개하지 않았습니다. 해당 사이트는 2026년 5월 초부터 10월 16일까지 운영되며 해킹 피해를 입은 조직 약 100곳의 페이지를 게시했습니다. 각 페이지는 피해자에게 해커와 몸값을 협상하라고 요구했고, 탈취 파일 일부를 공개하며 응하지 않으면 자료를 공개하겠다고 위협했습니다.

수사 과정과 의혹

네덜란드 당국은 2026년 9월 15일 ShinyHunters 조직원으로 의심받는 Pepijn van der Stap을 체포했습니다. 수사 관계자에 따르면 당국은 그가 Signal 계정에 접속한 상태에서 체포했고, 대화 기록에서 미국과 캐나다의 랜섬웨어 협상가들과 자주 연락한 사실을 확인했습니다. KrebsOnSecurity는 이 대화가 살인 청부 모의 수사에도 단서가 됐다고 보도했지만, 공격 지시가 실제로 실행됐다는 증거는 없다고 전했습니다.

FBI는 10월 9일 캐나다 사이버보안 임원 Edward Dubrovsky를 체포했습니다. 법원 기록에 따르면 그는 해킹·탈취 데이터를 공개하겠다고 위협하고 갈취로 주간 상거래를 방해한 혐의를 받습니다. 수사에 가까운 소식통은 Van der Stap의 Signal 대화에 Dubrovsky와 미국 컨설팅업체 임원이 등장했으며, 이들이 피해 조직이 침해 사실을 알기 전부터 ShinyHunters의 새 피해자 정보를 알고 있었다고 전했습니다. 같은 소식통은 Dubrovsky가 FBI 데이터 침해 사실을 알면서도 FBI에 알리지 않았다고 주장했습니다. 이 내용은 수사 관계자의 설명이며 법원에서 확정된 사실은 아닙니다.

업체 관계와 이해충돌

기사는 전 Cypfer 임원 Dubrovsky와 전 최고경영자 Daniel Tobok의 사업상 갈등도 다룹니다. 두 사람은 서로 기밀정보 접근과 부당 경쟁, 경영 배제 등을 주장하며 소송을 벌였습니다. KrebsOnSecurity는 과거 랜섬웨어 조직이 피해자에게 협상을 보장해 줄 업체라며 Ghostbyte라는 이름과 이메일 주소를 소개한 사례를 제시합니다. 다만 Tobok이 해당 주소를 사용했다는 사실은 확인되지 않았습니다. Cypfer는 랜섬웨어 지급을 주선하지 않으며 Dubrovsky 체포 전에는 사건을 몰랐다고 밝혔습니다. Cypfer와 CyberSteward는 별도 회사라고도 설명했습니다.

미국에서는 제재 대상 단체에 지급하는 경우를 제외하면 랜섬웨어 몸값 지급 자체가 불법은 아니라고 기사는 설명합니다. 일부 협상업체는 정액 보수를 받지만, 지급액의 일정 비율을 수수료로 받는 업체도 있습니다. CyberAcuView의 Mark Camillo는 협상가가 지급액에 비례해 보수를 받으면 몸값을 낮추기보다 지급을 성사시키는 쪽에 이익이 생긴다고 지적했습니다. 업체들은 암호화폐 조달과 거래에 따르는 비용을 이유로 들 수 있다고 덧붙였습니다.

지급 이후에도 남는 위험

PowerSchool은 2024년 ShinyHunters의 공격으로 학생 6,200만 명과 교사 950만 명의 정보가 유출된 뒤 285만 달러를 지급한 것으로 보도됐습니다. 이후에도 같은 자료를 이용한 별도 갈취 시도가 이어졌습니다. 기사는 이 사례를 들어 돈을 지급해도 해커가 데이터를 삭제했는지 기술적으로 확인하거나, 다른 사람이 같은 자료를 악용하지 못하도록 막을 방법은 없다고 설명합니다. FBI와 Coveware, Unit 221B도 ShinyHunters에 몸값을 지급하지 말라고 권고해 왔습니다.

법무부는 고객 몰래 해커에게 돈을 지급한 혐의로 MonsterCloud CEO Zohar Pinhasi를 기소했고, BlackCat/ALPHV 조직에 고객의 협상 전략을 넘긴 전 협상가 Angelo Martino는 징역 70개월을 선고받았습니다. 두 사건은 이번 의혹과 별개지만, 협상업체와 범죄 조직의 공모가 실제 형사 사건으로 이어진 사례로 기사에 소개됩니다.

Hacker News 반응

• @ofjcihen — 사고 대응 분야에서 일하면서 협상가들과 일할 기회가 많았습니다. 대부분은 매우 전문적이고 고객에게 큰 가치를 제공합니다. 이런 인간쓰레기들이 그 업계의 평판을 망치는 건 터무니없습니다.
  • @ofjcihen — 실제로는 대부분 정형화된 절차입니다. 데이터를 누가 갖고 있는지 알면 대체로 협상이 어떻게 흘러갈지 알 수 있습니다. 기사에서 언급한 것처럼 COM 조직과 협상하지 말라는 조언은 좋습니다. 돈을 내도 데이터를 보관해 재판매하거나 나중에 다시 협박할 가능성이 있기 때문입니다. 다른 조직은 돈을 받기 위해 평판을 지켜야 하므로 상황이 다를 수 있습니다. 예를 들면 해커가 침해 사실과 증거를 보내고, 보고된 매출의 6%처럼 임의로 정한 금액에서 협상을 시작합니다. 협상가는 데이터가 얼마나 많은지 묻고 피해가 얼마나 큰지 따지며 금액을 주고받습니다. 5만 달러를 제시하면 6만 달러를 요구하고, 마지막으로 침투 경로의 증거를 달라고 해 차이를 좁히기도 합니다.
• @ahelwer — 아직 입증된 사실은 없고, 다른 기사들은 이번 체포를 충격적인 일로 묘사했습니다.
• @markasoftware — 대부분의 랜섬웨어 협상업체는 어떤 보수 구조를 쓰나요? 이 사례처럼 랜섬웨어 조직과 공모하면 업체도 이익을 얻는 구조가 있나요? 몸값을 낮게 협상할수록 협상가가 더 많이 받나요?
  • @14 — 제가 예전에 읽은 내용으로는, 피해자는 해커를 믿고 돈을 낼 이유가 없습니다. 돈을 더 요구하거나 다시 해킹하지 못하게 막을 방법이 없기 때문입니다. 그래서 랜섬웨어 조직은 돈을 받으면 데이터를 돌려주고 피해자를 내버려둔다는 신뢰를 쌓아야 합니다. 합법적으로 운영되는 협상업체가 중간에 들어오면 피해자와 해커 모두에게 신뢰를 보탤 수 있습니다. 낮은 금액을 만드는 것보다 돈을 낸 뒤 속지 않을 거라는 확신이 중요한 셈입니다.
• @nradov — 랜섬웨어 협상가는 모두 악당입니다. 그들의 행동은 범죄를 지속시키고 다른 사람을 더 큰 위험에 빠뜨립니다. 몸값을 지급하는 일을 언제나 범죄로 만들어야 합니다.
  • @lifeisloving — 뭐라고요? 범죄자가 돈을 조금 덜 벌게 하려고 병원이 멈추고 사람이 죽는 편이 낫다는 건가요? 범죄자에게 돌아가는 돈보다 지역사회 사람들의 생명을 더 걱정하는 게 그렇게 우스운 일인가요?
  • @maxbond — 반대로 범죄자에게 굶주리게 만들면 실제로 범죄를 멈출 수 있다고 믿지 않을 수도 있습니다. Google이 검색엔진 최적화를 제재하자 스팸업자들이 네트워크를 갈취에 쓰는 식입니다. 랜섬웨어를 없애도 공격을 위해 만든 기반이 그냥 사라지지는 않습니다. 수익을 낼 다른 범죄에 쓰일 수 있습니다. 우리 모두 걱정하고 깊이 생각해도 결론은 다를 수 있습니다.
• @mmooss — 현 행정부 이전에도 연방 수사기관이 고위험 사건의 용의자 정보를 유출한 사례는 신뢰하기 어려웠고 사람들의 삶을 망쳤습니다. Wen Ho Lee와 Richard Jewell 사건을 보세요.

원문: KrebsOnSecurity / 번역·요약: Trawling