버튼 하나에 2억 7000만원, 하루 시간벌기는 1300만원…팔리면 끝장나는 '기업기밀'[은폐⑨]

은폐_해킹 당해도 숨는 기업들

<3부. 덮치면 끝장. 알면서도 왜>
[3]다크웹에 회사 정보 뜨고 나서야

"훔친 회사 데이터 팔겠다" 추가 협상금 요구
"유출되면 회사 망해" 돈 주는 기업들
"또 협박받을라" 불안해 재조사 요청

해커들 거래 성공률 높이려 법 공부
피해기업 '법적 아킬레스건' 파고들어

▲해커가 다크웹에서 운영하는 '메두사 블로그(Medusa Blog)' 사이트 화면. 국내 중견기업 로고 위로 해커와 남은 협상시간을 뜻하는 타이머가 흘러가고 있다. (사진=다크웹 화면 캡처)

'8일 23시간 48분 56초 남음'

다크웹 안에 있는 '메두사 블로그(Medusa Blog)'라는 사이트의 첫 화면에는 자동차 부품을 생산하는 국내 중견기업 로고 위로 타이머가 흘러가고 있었다. 간단한 회사 소개와 함께 거래처와 주요 고객, 회계 정보, 조직도까지 보유하고 있다는 경고글이 보였다. 기업명을 클릭하자 '인증모음(Proof Pack)'이라는 창이 아래로 펼쳐졌다. 계약내용 같은 민감한 본보기 자료들이었다. 이는 해커가 피해기업에 '우리가 당신 회사 정보를 갖고 있다'는 것을 증명하기 위해 다크웹에 올린 게시물이다.

'파일 모두 지우기' 버튼에는 20만달러(약 2억7000만원), '즉시 데이터 다운로드' 버튼에도 20만달러(약 2억7000만원)라고 쓰여 있었다. 피해기업이 해커에게 돈을 주고 누군가 이 데이터를 보기 전에 삭제할 수도 있고 필요한 누군가가 바로 데이터를 살 수도 있다는 의미다. 완성차 업체와의 계약사항이 포함돼 있다면 업계 전체로 파장이 미칠 수 있다. 해커는 협상시간을 연장해 달라고 할 경우를 대비해 1만달러(약 1300만원)짜리 '하루벌기' 버튼까지 만들었다. 정해진 시간까지 입금이 안 되면 해커는 '협상 실패'라는 꼬리표를 붙여 해당 기업의 내부 정보를 전면 유출한다.

데이터 암호화 이어 정보 유출로 2차 협박

지난 14일 아시아경제는 사이버보안 기업 'S2W'의 도움을 받아 해커들이 활동하는 다크웹에 접속했다. 다크웹은 일반적인 인터넷 프로토콜(IP) 주소로 접속할 수 없는 인터넷 공간이다. 특정 브라우저나 경로를 통해야만 들어갈 수 있다. 훔친 데이터들이 거래되는 범죄의 온상이다. 보안업계는 다크웹 안에 해커가 만든 사이트가 500만개 정도 있다고 추정한다.

서현민 S2W 비즈니스센터 이사는 "최근 랜섬웨어 조직들은 '데이터 익스토션(Extortion·갈취) 그룹'이라는 이름으로 더 많이 불린다"며 "데이터를 암호화해 인질로 잡는 데서 한발 더 나아가 '기업이 가장 숨기고 싶어 하는 정보'를 훔쳐서 협상 도구로 삼는 구조로 진화한 것"이라고 했다.

▲기업들의 정보가 팔리고 있는 다크웹 마켓 현장. 이 사이트에는 한국 기업의 자료도 올라와 있다. 협상기한이 지나면 'TIME UP(제한시간 끝)' 표시가 되고 모든 정보가 유출된다. (사진=다크웹 화면 캡처)

지난달 해킹을 당했던 로봇 관련 제조업체도 다크웹에 기술정보가 유출됐다. 해커는 1차로 몸값을 요구한 데 이어 2차로 다크웹에 기술 데이터를 올리겠다고 협박했다. 협상팀을 고용해 금액 조율을 기다리고 있었는데 갑자기 해커가 '데이터 유출을 막으려면 1억원을 추가로 달라'고 메일로 요구해 왔다. 이 회사 대표는 "협상팀이 다크웹에 접속해서 회사 자료가 올라간 걸 확인해 주는 데 등에서 식은땀이 났다. 중국 같은 나라에 기술이 넘어가면 어떻게 하냐. 최악은 막아야 해서 돈을 줬다"고 했다.

그는 지금도 마음을 놓지 못한다. 최근에는 대형 보안업체를 찾아가 재조사를 요청했다. "해커가 A라는 자료만 거론했는데 더 민감한 B자료까지 혹시 가지고 있는 건 아닐까 싶다. 그게 유출됐는지 확인해 줄 수 있냐고 문의했다"며 "해커들이 가장 치명적인 정보는 끝까지 숨긴다길래 여전히 불안하다"고 했다.

약점 찾으려 법 공부하는 해커들

다크웹을 활용하는 랜섬웨어 조직의 협박수단은 갈수록 진화하고 있다. 서 이사는 "과거에는 경쟁사에 정보를 넘기겠다고 협박했지만 요즘은 '정보유출 시 정부가 매기는 과징금보다 협상금을 낮춰 줄 테니 돈을 내놔라'는 식으로 접근한다"고 했다. 해커가 피해기업 서버에서 이름·연락처·주소·생년월일·고객 아이디·구매내역 같은 개인정보를 발견해 빼냈을 때 이런 수법을 쓴다. 우리나라의 경우 개인정보 침해 사고를 낸 기업에 개인정보보호법에 따라 최대 전체 매출액의 3%까지 과징금이 부과된다.

해커가 이런 약점을 찾는다면 다크웹 사이트를 통해 '당신의 회사가 보관하고 있었던 개인정보가 유출될 것이다. 과징금만 최대 수십억 원에 달할 수 있다. 협상을 원하면 연락하라'는 식으로 공지한다. 해커에게는 거래 성공률을 높이는 전략이다. 피해기업 입장에서는 '법 위반자로 낙인찍혀 돈 잃고 소송까지 걸리느니 협상에 응하겠다'는 심리가 작동할 수밖에 없다. 서 이사는 "요즘 해커들은 국가별 개인정보보호법과 벌금체계까지 분석한 뒤 피해기업의 '법적 아킬레스건'을 집요하게 파고든다"고 했다.

편집자주현실 세계에서 인질극이 벌어지면 누군가 신고를 하기 마련이다. 당한 사람이 직접 하든 주변에서 대신 하든 빨리 경찰에 알리는 게 급선무다. 그런데 랜섬웨어로 인해 벌어지는 사이버 인질극은 정반대다. 피해기업은 돈과 시간을 해커에게 몽땅 빼앗기고도 철저하게 숨기 바쁘다. 지난 10년간 총 2만건이 넘는 랜섬웨어 공격에 대응해 온 이형택 한국랜섬웨어침해대응센터장은 "SK텔레콤처럼 해킹을 당하면 신고하는 기업은 극히 드물다고 봐야 한다. 피해를 입고도 외부에 절대 알리지 않는 기업이 10곳 중 9곳은 된다"며 "해커는 돈만 챙기고 떠나는 구조가 반복되고 있다"고 했다.

박유진 기자 genie@asiae.co.kr
전영주 기자 ange@asiae.co.kr
심나영 기자 sny@asiae.co.kr