50세인 아니발 알렉산더 카니욘 아기레는 Ploutus 악성코드를 개발하고 ATM에서 직접 자금을 훔치는 계획의 일부를 주도한 혐의로 체포된 후 미국 법원에 출석했다. 미국 연방수사국(FBI)은 2026년 3월 그를 ‘최고 수배자 10인’ 명단에 추가했으며, 그는 이 명단에 오른 최초의 사이버 범죄자가 됐다.
사건 문서에 따르면 ‘잭팟팅’(ATM jackpotting) 공격은 2024년 2월부터 2025년 12월 사이에 실행됐으며, 은행과 신용협동조합 소유의 ATM을 비우는 데 악성코드가 사용됐다. 각 사건의 피해액은 10만 달러를 넘었고, 은행을 대상으로 한 63건의 공격에서 도난당한 금액은 540만 달러를 초과했으며, 신용협동조합을 대상으로 한 공격은 54건이었다. 이 밖에 완료되지 않은 공격에서는 1,429,738달러가 추가로 관련됐다.
흔적을 숨기도록 설계된 악성코드
미국 법무부는 ‘프로메테우스(Prometheus)’와 ‘디 엔지니어(The Engineer)’라는 이름으로도 알려진 Ploutus에 역공학과 디버깅으로부터 소프트웨어를 보호하는 도구를 비롯해 포렌식 분석에 대응하기 위한 파일과 절차가 포함돼 있었다고 밝혔다. 또한 사용 후 ATM에서 악성코드를 삭제하도록 설계된 파일도 포함돼 있어, 배포 과정을 숨기고 금융기관 직원들을 오도하는 데 도움이 됐다.
이러한 세부 사항은 공격이 단순히 기기에서 현금을 인출하는 데 그치지 않고, 수사관들이 확보할 수 있는 디지털 증거를 줄이려는 시도도 포함했음을 보여준다. 그러나 해당 출처는 각 기기에 침입한 방식이나 모든 사건이 동일한 기술적 절차를 따랐는지는 설명하지 않는다.
트렌 데 아라과(Tren de Aragua) 네트워크와의 연계
당국은 네트워크 구성원들이 훔친 돈을 세탁하고 여러 국가에서 베네수엘라 갱단 트렌 데 아라과(Tren de Aragua, TdA)가 통제하는 계좌로 이체했다고 밝혔다. 미국 재무부는 2024년 7월 TdA를 초국가적 범죄 조직으로 지정했으며, 미국 국무부는 2025년 2월 이를 외국 테러 조직으로 지정했다.
지난주 미국 해외자산통제국(OFAC)은 미국 금융기관을 겨냥한 잭팟팅 절도 공격에서 역할을 한 혐의로 카니욘 아기레를 포함한 TdA 구성원 8명에게 제재를 부과했다. 법무부는 수사 결과 이 계획이 미국 47개 주와 컬럼비아 특별구 및 여러 외국의 기관에서 실행됐거나 해당 기관을 겨냥한 공격과 연관된 것으로 확인됐다고 밝혔다.
금융기관에 중요한 점은 무엇인가?
이번 사건은 ATM 보호가 중앙 은행 네트워크 보안에만 국한되지 않는다는 점을 보여준다. ATM 자체가 운영상의 표적이 됐으며, 침해될 경우 직접적인 현금 손실이 발생할 수 있고, 포렌식 분석을 방해하고 흔적을 제거하려는 악성코드가 사용될 수 있다. 또한 공격과 자금세탁 및 제재의 연계로 인해 보안팀이 취해야 할 대응 범위가 확대돼 금융 수사와 법 집행기관과의 공조까지 포함하게 됐다.
카니욘 아기레는 2025년 12월 네브래스카에서 은행 사기 공모, 자금세탁 공모, 은행 침입 공모, 컴퓨터 관련 사기, 테러리스트에게 물질적 지원을 제공하기 위한 공모 혐의로 기소됐다. 이러한 혐의에 규정된 법정 최고형은 각각 30년, 20년, 5년, 15년에 이르지만, 기소는 유죄 판결을 의미하지 않는다.
2025년 10월 이후 법무부는 TdA와 연계된 잭팟팅 절도 계획과 관련해 98명의 용의자를 기소했으며, 피고인별 법정 최고형은 20년에서 335년까지다. 또한 FBI는 2월에 2025년 ATM 공격 물결로 2천만 달러가 넘는 금액이 도난당했다고 경고했다.