뉴욕 동부 연방 대배심은 랜섬웨어 사고 대응 전문 업체 MonsterCloud의 소유주 Zohar Pinhasi를 암호화된 데이터를 복구하려던 고객들을 속인 혐의로 기소했다. Pinhasi는 자수한 뒤 브루클린 연방법원에 출석해 무죄를 주장했으며, 이후 200만 달러의 보석금을 내고 석방됐다.
이 사건은 전자 사기 혐의 2건과 전자 사기 공모 혐의 1건에 관한 것으로, 검찰은 이 계획이 2018년 6월부터 2023년 6월까지 지속됐다고 밝혔다. 유죄 판결을 받을 경우 최대 20년의 징역형에 처해질 수 있다.
검찰은 무엇을 주장하는가?
공소장에 따르면 MonsterCloud는 랜섬웨어 운영자에게 돈을 지급하지 않고 파일을 복구할 수 있는 독자적인 복호화 도구와 기술을 홍보했다. 그러나 검사들은 Pinhasi와 그의 동료들이 광고한 기술을 보유하지 않았으며, 통상 악성코드 운영자들과 접촉해 복호화 키의 대가를 지급한 뒤 그 키를 사용해 고객의 파일을 복구했다고 주장한다.
공소장에는 일부 회사 계약서가 공격자와 접촉하거나 공격자에게 돈을 지급할 가능성을 공개했지만, 다른 수단으로 파일을 복호화할 수 없을 때 이 선택지를 사용한다고 명시했다고 나와 있다. 그러나 검찰의 주장은 공격자와 협상하는 일이 키를 확보하기 위한 첫 단계인 경우가 대부분이었다는 것이다.
당국은 회사가 복호화된 샘플 파일을 ‘복구 증명’으로 사용해 피해자들에게 데이터를 복구할 능력이 있다고 설득했다고 밝혔다. 하지만 공소장에 따르면 이 파일들은 랜섬웨어 운영자의 도움으로 복호화된 것이었다.
몸값과 서비스 요금 사이의 큰 차이
공소장에는 MonsterCloud가 공격자에게 지급한 금액과 고객에게 청구한 금액 사이의 차이를 보여주는 사례가 포함돼 있다. 한 사례에서 회사는 랜섬웨어 조직에 약 8,200달러를 지급한 뒤 피해자에게 약 150,000달러를 청구한 것으로 추정된다. 또 다른 사례에서 검찰은 회사가 약 236,000달러를 지급하고 고객에게 약 380,000달러를 청구했다고 밝혔다.
당국은 의혹이 제기된 계획 전반에 걸쳐 Pinhasi와 그의 동료들이 800만 달러가 넘는 몸값 지급을 용이하게 했으며, 미국과 캐나다의 수백 개 기업에 복구 및 대응 서비스 대가로 1,900만 달러가 넘는 금액을 청구했다고 밝혔다.
이 소식이 중요한 이유는 무엇인가?
이 사건의 중요성은 데이터 복구 방법을 숨긴 혐의로 업체가 기소됐다는 데 그치지 않는다. 랜섬웨어 공격 이후 기관이 내려야 하는 민감한 결정, 즉 공격자에게 직접 돈을 지급할지 아니면 기술적 대안을 보유하고 있다고 주장하는 중개업체를 이용할지와 관련되기 때문이다. 혐의가 사실로 입증되면, 지급 사실을 숨기는 행위는 공격자에게 자금을 제공하는 것과 관련된 법적·보안상·윤리적 위험을 고객이 평가하지 못하게 할 수 있다. 또한 ‘복구 능력의 증명’만으로는 해결책의 성격을 판단하기에 충분하지 않게 된다.
이 사건은 2019년 ProPublica가 실시한 조사에서 제기된 우려도 다시 부각시킨다. 해당 조사는 MonsterCloud가 랜섬웨어 운영자에게 돈을 지급하면서 서비스를 다른 해결책인 것처럼 제공한 사례를 다뤘다. 당시 ProPublica는 보안 연구원 Fabian Wosar의 말을 인용해, 연구원들이 가짜 랜섬웨어를 사용해 데이터 복구 업체들을 시험했으며 몸값 지급을 제안하는 익명의 메시지를 받았다고 보도했다. 이 메시지는 MonsterCloud와 Proven Data를 포함한 데이터 복구 업체들로 추적됐다.
Pinhasi는 해당 조사에서 MonsterCloud가 고객을 오도했거나 사전에 복호화를 약속했다는 사실을 부인했으며, 복구 방식은 사례마다 다르고 이를 ‘영업 비밀’로 간주하기 때문에 공개할 수 없다고 말했다. BleepingComputer는 혐의에 대한 변호인 Christopher Clark와 Rodney Villazor의 논평도 요청했지만, 이 기사에는 두 사람에게서 답변을 받았다는 내용이 없다.