美 재무부, 가상자산 투자 사기 인프라 업체 ‘펀널(Funnull)’ 제재
디지털 인프라가 사기 공장으로… "기술 제공자도 책임에서 자유로울 수 없다"

미 재무부, Funnull 및 관리자 유리리 제재

2025년 5월 29일, 미국 재무부 해외자산통제국(OFAC)은 필리핀에 본사를 둔 IT 인프라 기업 펀널 테크놀로지(Funnull Technology Inc.)와 그 관리자 유리리(Liu Lizhi)를 공식 제재 대상으로 지정했다. 이들은 전 세계 수십만 개의 웹사이트에 기술 인프라를 제공하며, ‘피그 부처링(pig butchering)’이라 불리는 신종 가상자산 투자 사기의 기반 역할을 해온 것으로 드러났다.

OFAC는 이번 조치가 미국의 국가안보와 경제를 위협하는 사이버 범죄 생태계 차단을 위한 조치라고 설명했다. 제재는 미 연방수사국(FBI)과 협력해 이루어졌으며, FBI는 Funnull이 사용한 IP 주소, 도메인 생성 알고리즘(DGA), 악성 코드 삽입 방식 등 기술적 세부 정보를 담은 보안 권고문을 동시에 발표했다.

'피그 부처링'이라는 사기 기술: 고도화된 심리 조작 + 디지털 인프라

‘피그 부처링’은 범죄 조직이 허위 신원을 내세워 피해자에게 접근하고, 신뢰 관계를 형성한 뒤 가상자산 투자 사이트로 유도해 자산을 탈취하는 신종 사기 수법이다. 겉보기에 정교하게 구성된 투자 인터페이스는 높은 수익률을 보여주지만 모두 조작된 화면에 불과하다. 입금 이후 투자자와의 연락은 끊기고, 자산은 영원히 회수할 수 없게 된다.

2024년 미국 내 피해 신고액은 2억 달러를 넘었으며, 평균 피해액은 15만 달러에 달한다. 그러나 전문가들은 실제 피해는 이보다 훨씬 클 것으로 보고 있다. 사기 피해자들이 종종 수치심과 회복 불가능성으로 인해 신고를 꺼리기 때문이다.

Funnull의 역할: 사이버 사기 ‘자동화 공장’의 인프라 운영자

Funnull은 사이버 범죄자들을 위한 ‘디지털 공장 관리자’ 역할을 했다.

대량 IP 주소 확보: 글로벌 클라우드 기업으로부터 IP 주소를 대량 구매
도메인 생성 알고리즘(DGA): 자동으로 유사하지만 고유한 도메인 이름 생성
사기 디자인 템플릿 제공: 가짜 투자 사이트용 UI/UX 패키지 제공
웹사이트 자동 복제 및 회피 시스템: 도메인이 차단되면 즉시 새 도메인으로 전환
악성 코드 배포: 웹 개발 코드 저장소를 통해 방문자를 사기·도박 사이트로 리디렉션
중국 자금세탁 조직과 연계: 일부 트래픽이 중국 기반의 불법 자금세탁망과 연결

이 모든 기술은 범죄 행위의 직접 실행자는 아니지만, 실행을 가능하게 하는 결정적 지원이었다. 즉, Funnull은 ‘콘텐츠를 만들지는 않았지만, 무대를 제공하고 스포트라이트를 비춰준 역할’을 수행한 셈이다.

수익 구조: ‘사이버 사기 생태계의 AWS’

Funnull의 비즈니스 모델은 아마존 웹서비스(AWS)의 클라우드 모델과 유사하다. 직접 사기를 치지 않더라도, 웹사이트 호스팅, IP·서버 임대, 도메인 생성, 디자인 템플릿 제공 등 플랫폼형 서비스를 통해 수익을 창출해왔다.

이러한 구조는 사이버 범죄의 자동화와 대규모화를 가능하게 만들며, ‘사기 인프라의 플랫폼화’를 대표하는 사례로 주목받고 있다.

Funnull 측은 향후 "콘텐츠 제작에는 관여하지 않았다"는 주장을 펼칠 가능성이 크다. 그러나 OFAC는 이번 조치를 통해 다음과 같은 국제 제재 기준의 변화를 명확히 했다.

“사이버 범죄에 실질적으로 기여한 인프라 제공자도 제재 대상이 된다.”

이는 단순 기술 제공자도 사회적 책임과 법적 책임에서 자유로울 수 없다는 방향성을 제시하며, 향후 클라우드·도메인 등록·웹 호스팅 기업 전반에 긴장감을 불러올 수 있다.

동남아 ‘디지털 노예’ 현실: 사기 플랫폼 뒤에 가려진 현대판 강제노동

가상자산 사기의 급증 이면에는 또 다른 피해자들, 바로 사기 조직에 의해 강제노동에 동원되는 사람들이 존재한다.

이들은 단순한 협력자가 아니라, 인신매매 피해자이며, 일부는 여권을 압수당한 채 강제 구금된 상태로 ‘디지털 노예’처럼 사기 행위를 수행하도록 강요받고 있다.

2023년 9월, 미국 재무부 산하 금융범죄단속네트워크(FinCEN)는 Pig Butchering Scam Alert를 통해 “동남아시아의 사이버 사기 단지에서 인신매매 피해자들이 사기 행위에 동원되고 있으며, 이는 단순한 금융 범죄를 넘어 인권 유린에 해당한다”고 강하게 경고한 바 있다.

특히 이들 피해자들은 캄보디아, 라오스, 미얀마, 태국, 말레이시아 국경 지역에 밀집된 대규모 사기 산업 단지에 갇혀, 영어권 피해자들에게 접근해 연애 감정을 유도하거나 가짜 투자 기회를 제공하는 등 ‘온라인 감정 조작형 사기’에 종사하도록 강요받는다.

이 문제는 이미 국제 인권기구 및 언론에 의해 반복적으로 보도됐다.

2022년, Human Rights Watch와 UN 인신매매 감시기구, The Guardian, Al Jazeera 등은 캄보디아와 라오스에서 운영되던 이른바 ‘가상자산 농장(crypto scam compounds)’의 실태를 심층 보도했다.

해당 보도에 따르면, 중국 및 동남아시아계 범죄 조직들은 동남아로 이주한 청년층을 대상으로 "IT 기업 취업"이라는 허위 구직 광고를 내걸고, 국경을 넘은 순간부터 노예 상태로 전환시켰다. 이들은 하루 12시간 이상 근무하며, 투자 사기·피싱 문자 발송·불법 도박 광고 등의 업무에 동원됐고, 실적이 낮으면 구타나 전기 충격, 식사 차단 등의 처벌을 받았다는 증언도 나왔다.

특히 이들은 온라인 연애 사기(romance scam)의 일선에 배치되었으며, 피해자에게 정서적 신뢰를 쌓은 후 가짜 가상자산 플랫폼으로 유도하는 업무를 반복했다. 대부분 중국계 범죄 조직이 운영했으며, 그 서버와 도메인, 기술 인프라는 일부 합법적 클라우드 기업의 자원을 우회 사용하여 지속적으로 운영됐다.

국제이주기구(IOM)는 이를 "현대판 디지털 강제노동"으로 규정하며, 각국 정부와 테크 플랫폼, 가상자산 거래소의 공동 대응을 요구하고 있다. 하지만 대부분의 피해자들이 여권 없이 이동이 불가능한 상태로 갇혀 있으며, 현지 경찰도 조직과 결탁한 경우가 많아 구조가 쉽지 않은 실정이다.

가상자산 생태계의 지속 가능성을 위한 3대 과제

사이버 사기가 기술 인프라를 통해 대규모로 전개되는 현실 속에서, 각국 정부와 글로벌 기업들은 단순한 사후 처벌이 아닌 디지털 생태계 구조 자체의 재정비에 착수하고 있다.

2025년 들어, 미국은 물론 유럽연합(EU), 아시아 주요국이 공통적으로 추진 중인 흐름은 크게 세 가지로 요약된다: 인프라 제공자 규제 강화, 신뢰 기반 기술 확충, 그리고 디지털 윤리 표준 수립이다.

1) 인프라 제공 기업 대상 규제 강화

미국 재무부는 최근 제재 조치를 통해 명확한 메시지를 전달했다.

“사기 콘텐츠를 직접 제작하지 않았더라도, 이를 가능케 하는 기술 인프라를 제공한 기업 역시 제재 대상이 될 수 있다.”

이러한 기조는 유럽연합의 디지털서비스법(DSA, Digital Services Act)과 디지털시장법(DMA), 영국의 온라인안전법(Online Safety Act) 등에서도 일관되게 나타난다.

특히 DSA는 2024년부터 발효되며, ‘합법적 인프라 제공’이라는 명목 하에 사회적 해악을 방조한 기업에 대해서는 과징금 부과와 플랫폼 정지 조치까지 가능하도록 했다.

아시아 국가들도 움직이고 있다. 싱가포르, 일본, 한국, 홍콩 등은 가상자산 및 관련 인프라 제공 기업에 대해 AML(자금세탁방지), KYC(신원확인) 의무 이행 수준을 기존 금융권 수준으로 상향 중이다. ‘중립적 플랫폼’이라는 방패는 점차 그 설득력을 잃어가고 있다.

2) 디지털 신뢰 기반 재건 필요

기술은 진화했지만, 신뢰는 무너졌다. 가상자산 생태계에서 반복되는 사기는 단순히 범죄자 때문만이 아니다.

플랫폼들이 이용자 신원 확인과 거래 검증 기술, 보안 탐지 알고리즘에 충분한 투자를 하지 않았기 때문이다.

블록체인 데이터 플랫폼 체인애널리시스(Chainalysis)가 발표한 ‘2024 암호화폐 범죄 보고서’에 따르면, 2024년 암호화폐 사기 수익이 최소 99억 달러에 달했으며, 연말까지 120억 달러를 넘어설 것으로 전망된다. 특히 고수익 투자 사기(HYIS)와 핑부처링 사기가 전체 사기 수익의 각각 50.2%와 33.2%를 차지하며 가장 큰 비중을 보였다. 주목할 만한 점은 핑부처링 사기의 수익이 전년 대비 40% 증가한 반면, 고수익 투자 사기는 36.6% 감소했다는 것이다.

이에 따라 글로벌 보안기업 및 거래소는 AI 기반 사기 탐지 엔진, 실시간 피싱 방지 시스템, 지갑 인증 강화 기술 개발에 집중하고 있다.

단순한 법적 제재만으로는 사기를 막을 수 없다. 기술적 신뢰 방패가 함께 구축될 때만이, 디지털 자산 생태계의 성장이 가능하다.

3) 디지털 윤리 가이드라인 구축

과거의 클라우드·도메인·웹호스팅 기업들은 "우리는 그저 기술을 빌려주는 플랫폼일 뿐"이라는 입장을 고수해왔다. 하지만 이제는 시대가 달라졌다.

기술을 제공하는 기업도, 그 기술이 어떻게 쓰이는지 책임질 시대가 도래한 것이다.

국제전기통신연합(ITU)과 OECD, G7 디지털 장관회의 등에서는 최근 "디지털 인프라 윤리 가이드라인" 필요성을 지속적으로 제기하고 있다.

2025년 G7 이탈리아 회의에서도, 사이버범죄 확산을 방지하기 위해 클라우드·호스팅 기업의 ‘사전 감지 책임’ 도입 여부가 논의될 예정이다.

이러한 흐름은 국내에서도 나타난다. 한국 정부는 현재 ‘웹호스팅 사업자의 불법 콘텐츠 감지·신고 의무화 방안’을 검토 중이며, 민간 테크기업들 역시 자율규제 협의체 구성을 추진하고 있다.

디지털 생태계에서 ‘책임’의 지평을 넓히다

Funnull 사건은 단순한 사기 사건을 넘어 디지털 생태계에서 ‘누가, 어디까지’ 책임져야 하는지를 되묻는 전환점이 되고 있다.

기술은 자유를 줄 수 있지만, 자유에는 반드시 윤리가 따라야 한다.

기술 제공자조차 면책되지 않는다는 이번 조치는, 디지털 세계에서도 공적 책임의 경계가 재설정되고 있다는 신호다.

우리는 지금 질문해야 한다.
“디지털 생태계에서, 진짜 책임은 누구에게 있는가?”