랜섬웨어 협상가는 누구 편이었나

랜섬웨어 공격을 당한 기업은 혼란에 빠진다.

시스템은 멈추고, 고객 정보는 유출될 수 있으며, 업무와 매출은 중단된다. 공격자는 암호화된 데이터를 풀어주겠다며 돈을 요구한다. 피해 기업은 경찰에 신고할지, 백업으로 복구할지, 공격자와 협상할지, 고객과 주주에게 어떻게 알릴지 짧은 시간 안에 결정해야 한다.

이때 기업이 찾는 사람이 있다.

사이버 사고 대응 전문가다.
랜섬웨어 협상가다.
피해자를 대신해 공격자와 접촉하고, 요구 금액을 낮추고, 시간을 벌고, 복구 가능성과 법적 리스크를 따져주는 사람이다.

그런데 그 협상가가 공격자 편이었다면 어떻게 될까.

미국 법무부가 공개한 사건은 바로 그 질문을 던진다. 플로리다주 랜드오레이크스 출신의 앤젤로 마티노는 전직 랜섬웨어 협상가였다. 그는 피해 기업을 돕는 미국 사이버 사고 대응 회사에서 일했다. 그러나 법무부에 따르면 마티노는 2023년 4월부터 BlackCat, 또는 ALPHV로 알려진 랜섬웨어 조직과 공모해 여러 피해자를 갈취하는 데 가담했다.

그는 피해 기업의 협상 전략과 입장을 공격자에게 넘겼다. 피해자가 어느 정도 버틸 수 있는지, 얼마까지 지불할 가능성이 있는지, 협상에서 무엇을 중요하게 보는지 같은 민감한 정보가 범죄자에게 전달됐다. 공격자는 이를 바탕으로 몸값을 더 높게 압박할 수 있었다.

마티노는 결국 징역 70개월을 선고받았다.

이 사건은 랜섬웨어 범죄의 새로운 얼굴을 보여준다. 해커가 침입하고, 악성코드를 배포하고, 암호화폐를 요구하는 기존 구도에 더해, 피해자를 돕는 척하는 내부 조력자가 범죄 생태계에 들어간 것이다.

피해자의 협상 정보가 무기가 됐다

랜섬웨어 협상에서 정보는 곧 힘이다.

공격자는 피해 기업이 얼마나 급한지 알고 싶어 한다. 백업이 있는지, 시스템 복구 가능성이 있는지, 보험이 있는지, 고객 데이터가 얼마나 민감한지, 언론 노출을 얼마나 두려워하는지, 규제기관 신고 의무가 있는지, 이사회가 얼마까지 승인할 수 있는지 알고 싶어 한다.

피해자는 반대로 공격자의 실제 역량을 파악해야 한다. 정말 데이터를 훔쳤는지, 복호화 키를 줄 의사가 있는지, 이전 피해자에게 약속을 지켰는지, 협상 여지가 있는지, 지불이 법적으로 허용되는지 확인해야 한다.

이 균형에서 협상가는 피해자 편에 서야 한다.

그런데 마티노 사건에서는 이 균형이 뒤집혔다. 법무부는 마티노가 피해 기업 고객의 비밀 협상 정보를 BlackCat 공격자에게 제공했고, 이를 통해 공격자들이 더 많은 몸값을 받아내도록 도왔다고 밝혔다.

이 행위가 치명적인 이유는 단순히 정보가 새 나갔기 때문이 아니다.

피해 기업은 협상가를 신뢰하고 가장 민감한 정보를 제공한다. 재무 상태, 복구 능력, 지불 의사, 내부 의사결정 구조, 보험 조건, 법무 검토 내용이 협상가에게 전달될 수 있다. 이 정보가 공격자에게 넘어가면, 피해자는 스스로의 약점을 범죄자에게 설명해 준 셈이 된다.

랜섬웨어 협상은 체스와 비슷하다.

상대가 내 패를 모를 때 협상이 가능하다. 그러나 내 패를 읽어주는 사람이 상대편에 있다면, 협상은 사실상 압박으로 바뀐다.

해커보다 가까운 곳에 있던 공범

마티노 사건은 여기서 끝나지 않는다.

법무부 발표에 따르면 마티노는 다른 전직 사이버 보안 전문가들과 함께 추가 피해자를 직접 공격하는 데도 공모했다. 텍사스의 케빈 마틴, 조지아의 라이언 골드버그가 함께 언급됐다. 두 사람은 앞서 48개월의 징역형을 선고받았다.

이들은 2023년 4월부터 11월까지 미국 전역의 추가 피해자들에게 BlackCat 랜섬웨어를 배포하는 데 성공한 것으로 적시됐다. 한 피해자로부터는 약 120만달러 상당의 비트코인을 갈취했고, 이를 세 사람이 나눠 가진 뒤 여러 방식으로 세탁했다고 법무부는 밝혔다.

이 대목은 사건의 성격을 바꾼다.

마티노는 단순히 협상 정보를 흘린 내부자에 그치지 않았다. 전직 사이버 보안 전문가들이 보유한 지식과 경험이 공격 자체에 활용됐다는 혐의가 인정된 것이다.

사이버 보안 전문가는 공격자의 방법을 이해한다. 취약점, 침투 경로, 로그 분석, 랜섬웨어 배포 방식, 협상 구조, 피해 기업의 의사결정 방식까지 알고 있다. 이 지식은 방어에 쓰이면 사회를 보호하지만, 공격에 쓰이면 일반 범죄자보다 더 위험한 무기가 된다.

이 사건이 충격적인 이유는 그래서다.

방패를 만들던 사람이 방패의 약점을 알고 창을 들었다.

사이버 사고 대응 시장의 신뢰 문제

랜섬웨어 사고가 발생하면 기업은 외부 전문가에게 의존한다.

내부 보안팀만으로는 대응이 어렵기 때문이다. 포렌식 업체, 사고 대응 회사, 법무법인, 보험사, 협상 전문회사, 위기 커뮤니케이션 자문사, 클라우드 보안업체가 동시에 투입된다. 이들은 피해 기업의 가장 민감한 정보에 접근한다.

이 구조는 필연적으로 신뢰를 요구한다.

하지만 마티노 사건은 신뢰만으로는 충분하지 않다는 사실을 보여준다. 피해 기업은 외부 전문가를 고용하면서도 그 전문가의 이해상충, 내부 통제, 접근 권한, 기록 관리, 금전 거래, 암호화폐 지갑 접촉 여부를 확인해야 한다.

랜섬웨어 협상가는 공격자와 대화한다.

이는 업무상 필요할 수 있다. 그러나 바로 그 접촉면이 부패와 공모의 위험을 만든다. 협상가가 공격자와 개인적으로 연락하고, 별도 보상을 받고, 피해자 정보를 넘기면 기업은 알기 어렵다.

따라서 랜섬웨어 대응 시장에는 더 강한 거버넌스가 필요하다.

협상 과정은 기록돼야 한다. 공격자와의 모든 커뮤니케이션은 회사와 법무팀, 필요 시 수사기관이 검토할 수 있어야 한다. 협상 권한과 지불 권한은 분리돼야 한다. 피해자의 협상 전략 문서는 접근자와 열람 기록이 관리돼야 한다. 협상 담당자 개인이 암호화폐 지갑이나 공격자 연락 채널을 독점해서는 안 된다.

기업은 사고가 터진 뒤에야 대응 업체를 찾는 경우가 많다. 그러나 정말 필요한 것은 평시의 사전 검증이다.

누가 우리 사고 대응 파트너인가.
그 회사의 내부 통제는 어떻게 작동하는가.
협상 담당자는 어떤 윤리 기준을 따르는가.
공격자와의 접촉 기록은 누가 감시하는가.
몸값 지불 판단은 누가 승인하는가.
보험사와 법무법인, 포렌식 업체 사이의 이해관계는 어떻게 조정되는가.

랜섬웨어 대응은 기술 문제가 아니라 신뢰 공급망의 문제다.

BlackCat 사건이 남긴 교훈

BlackCat, 또는 ALPHV는 최근 몇 년간 악명 높은 랜섬웨어 생태계의 대표 이름 중 하나였다.

이 조직은 랜섬웨어 서비스형 모델을 통해 여러 공격자와 협력했고, 피해 기업의 데이터를 암호화하거나 유출하겠다고 협박하는 방식으로 몸값을 요구했다. 미국 법무부는 2023년 12월 BlackCat 랜섬웨어를 교란하기 위한 조치를 발표했고, FBI가 복호화 도구를 개발해 전 세계 피해자들이 시스템을 복구할 수 있도록 지원했다고 밝혔다. 당시 FBI는 여러 BlackCat 관련 웹사이트도 압수했다. 법무부는 이 조치로 피해자들이 약 9900만달러의 몸값 지불을 피할 수 있었다고 설명했다.

그러나 마티노 사건은 랜섬웨어 생태계가 단순히 서버를 압수하고 복호화 도구를 배포한다고 끝나지 않는다는 점을 보여준다.

랜섬웨어는 기술 인프라만으로 움직이지 않는다.

침투 브로커, 악성코드 개발자, 협상 담당자, 암호화폐 세탁자, 데이터 유출 사이트 운영자, 내부 조력자, 전직 보안 전문가, 보험·협상 시장의 틈까지 결합된 범죄 생태계다.

수사기관이 서버를 압수하면 범죄자는 다른 이름으로 돌아올 수 있다. 복호화 도구가 배포되면 새로운 랜섬웨어 변종을 만들 수 있다. 하지만 피해자 내부 정보와 협상 구조가 범죄자에게 흘러가는 문제는 별도의 통제가 필요하다.

랜섬웨어 대응은 이제 공격자만 막는 일이 아니다.

피해자를 둘러싼 대응 생태계 전체를 검증하는 일이 됐다.

한국 기업도 남의 일이 아니다

한국 기업도 랜섬웨어 위협에서 자유롭지 않다.

제조, 병원, 대학, 물류, 금융, 공공기관, 중소기업까지 랜섬웨어는 업종을 가리지 않는다. 특히 스마트공장과 클라우드 전환, 원격근무, 협력사 연결망이 확대되면서 공격 표면은 더 넓어졌다.

사고가 발생하면 한국 기업도 외부 전문가에게 의존할 수밖에 없다. 포렌식 업체, 보안관제 기업, 법무법인, 보험사, 협상 자문사가 투입된다. 이 과정에서 피해 기업의 내부 정보가 외부로 나간다.

따라서 한국 기업도 이번 사건을 단순히 미국의 특이 사례로 봐서는 안 된다.

랜섬웨어 대응 계약에는 최소한 다음 기준이 포함돼야 한다.

첫째, 협상 담당자의 이해상충 방지다. 공격자와 사적 접촉이나 별도 금전 관계가 없다는 점을 계약과 내부 감사로 확인해야 한다.

둘째, 커뮤니케이션 기록 보존이다. 공격자와의 모든 대화와 제안, 금액 변동, 지불 조건은 회사와 법무팀이 확인할 수 있는 시스템에 남아야 한다.

셋째, 권한 분리다. 협상, 지급 승인, 암호화폐 송금, 포렌식 판단, 법무 판단을 한 개인이나 한 업체가 독점하지 않도록 해야 한다.

넷째, 외부 대응 업체의 내부 통제 검증이다. 사고 대응 회사가 직원의 접근 권한과 고객정보 보호, 로그 관리, 윤리 규정을 어떻게 운영하는지 확인해야 한다.

다섯째, 수사기관 신고와 협력 절차다. 랜섬웨어는 단순한 민사 분쟁이 아니라 범죄다. 몸값 협상 여부와 별개로 수사기관과의 협력 가능성을 열어둬야 한다.

기업은 랜섬웨어에 대비해 백업과 탐지 시스템만 준비해서는 안 된다.

사고가 난 뒤 누구를 믿을 것인지에 대한 기준도 미리 준비해야 한다.

보험과 협상의 회색지대

랜섬웨어 시장에는 오랫동안 불편한 회색지대가 있었다.

피해 기업은 빨리 복구하고 싶어 한다. 보험사는 손실을 줄이려 한다. 협상가는 몸값을 낮추는 역할을 한다. 공격자는 피해자가 지불할 여력이 있는지 알고 싶어 한다.

이 구조에서는 때때로 잘못된 유인이 생긴다.

공격자는 보험 가입 기업을 선호할 수 있다. 보험 한도를 알게 되면 요구 금액을 조정할 수 있다. 협상 과정이 불투명하면 피해 기업은 실제로 최선의 조건을 얻었는지 확인하기 어렵다. 일부 협상가는 빠른 타결을 성과로 볼 수 있지만, 그것이 피해 기업에게 최선인지, 범죄자에게 더 많은 자금을 제공하는 것인지는 별개의 문제다.

마티노 사건은 이 회색지대가 얼마나 위험해질 수 있는지를 극단적으로 보여준다.

피해자를 대리해야 할 협상가가 공격자에게 피해자의 협상 카드를 넘겼다. 공격자는 더 높은 몸값을 요구할 수 있었고, 협상가는 범죄 수익을 얻었다.

이제 랜섬웨어 대응 시장은 스스로 더 높은 투명성을 요구받게 될 것이다.

DOJ의 메시지: 해커만 잡지 않는다

미국 법무부와 FBI의 발표에서 반복되는 메시지는 분명하다.

수사기관은 랜섬웨어를 배포한 해커뿐 아니라, 그들을 돕는 내부자와 조력자, 자금세탁 네트워크까지 추적하겠다는 것이다.

이번 사건에서 법집행기관은 마티노로부터 1000만달러 상당의 자산을 압수했다. 여기에는 디지털 자산, 차량, 푸드트럭, 고급 낚시 보트가 포함됐다. 피해자 배상액을 결정하기 위한 심리는 9월 17일로 예정됐다.

이는 랜섬웨어 수사의 방향이 바뀌고 있음을 보여준다.

과거에는 해외에 있는 해커를 잡기 어렵다는 인식이 컸다. 하지만 최근 수사기관은 암호화폐 추적, 인프라 압수, 복호화 도구 배포, 공범 기소, 제재와 보상 프로그램을 결합하고 있다.

랜섬웨어 생태계는 익명성과 국경을 방패로 삼지만, 돈의 흐름과 협력자의 흔적은 남는다.

마티노 사건은 그 흔적이 내부 조력자에게도 향할 수 있음을 보여준다.

피해 기업을 돕는 사람도 검증해야 하는 시대

랜섬웨어 대응에서 가장 중요한 순간은 공격 직후다.

누가 상황을 설명하는가.
누가 공격자와 대화하는가.
누가 몸값 지불 여부를 조언하는가.
누가 복구 가능성을 판단하는가.
누가 피해자의 약점을 알고 있는가.

이 사람들을 신뢰할 수 없다면, 피해 기업은 두 번 공격당한다.

첫 번째 공격은 해커가 시스템을 암호화할 때 발생한다.
두 번째 공격은 피해자의 정보를 알고 있는 대응자가 그 신뢰를 배신할 때 발생한다.

마티노 사건은 랜섬웨어 방어의 새로운 기준을 요구한다.

기술적 방어만으로는 부족하다.
백업만으로도 부족하다.
보험만으로도 부족하다.
유명한 사고 대응 업체를 고용하는 것만으로도 부족하다.

이제 기업은 사고 대응 생태계 전체의 신뢰 구조를 설계해야 한다.

사이버 보안의 가장 약한 고리는 때로 방화벽 밖에 있지 않다.

그것은 위기 순간에 회의실 안으로 들어온 ‘전문가’일 수 있다.