요약
- 미국, 영국, 유럽연합(EU)은 현재까지 진행된 가장 대규모의 사이버 단속 조치 중 하나를 통해 국가 후원 해커, 사이버 범죄자 및 이들을 지원하는 세력을 대상으로 한 제재 조치를 발표했다.
- EU는 ‘스턴(Stern)’이라는 별명으로 알려진 비탈리 니콜라예비치 코발레프를, 3억 달러 이상의 몸값을 받은 트릭봇(Trickbot) 랜섬웨어 운영 책임자로 지정했다.
- 이와는 별도로, OFAC은 랜섬웨어 공격을 조장한 혐의로 ‘First VPN Service(1VPNS)’, 해당 서비스의 관리자 드미트로 라셰브스키(Dmytro Rashevskyi), 그리고 암호화 서비스 제공자 예브게니 실라예프(Yevgeniy Silayev)를 제재 대상으로 지정했다.
- 또한 EU는 LummaC2 정보 탈취 악성코드와 연관된 개인 및 단체, 방탄 호스팅 제공업체인 Media Land LLC, 러시아 GRU 제29155부대, 그리고 친러 해커 활동가 단체인 CARR과 Z-Pentest를 지정했다.
2026년 7월 13일, 미국, 유럽연합(EU), 영국은 국가 후원 해커, 사이버 범죄자 및 이들의 공범으로 구성된 광범위한 네트워크를 대상으로 한 제재 조치를 발표했습니다. 이번 대대적인 조치는 현재까지 이루어진 사이버 단속 활동 중 가장 중요한 사례 중 하나이며, 랜섬웨어 및 사이버 범죄 퇴치를 위한 국경 간 협력의 결정적인 중요성을 강조합니다. 이번 조치의 대상이 된 인프라와 행위자들은 전 세계 기업, 핵심 인프라, 정부에 수십억 달러에 달하는 피해를 입힌 공동 책임이 있습니다.
가장 주목할 만한 소식은, 콘티(Conti)를 비롯한 가장 악명 높은 랜섬웨어 변종들의 배후에 있는 트릭봇(Trickbot) 범죄 조직의 운영자인 비탈리 니콜라예비치 코발레프(일명 ‘스턴’)가 EU에 의해 제재 대상자로 지정된 사실이다. 코발레프는 2023년 2월 9일 미국 재무부 산하 해외자산통제국(OFAC)과 영국 금융제재이행국(OFSI)에 의해 최초로 제재 대상자로 지정되었으나, “스턴”이라는 별명을 식별자로 포함시킨 최초의 제재 기관은 EU였다. 스턴과 연관된 지갑들은 3억 달러 이상의 몸값을 수령했으며, 이로 인해 그는 지금까지 확인된 랜섬웨어 운영자 중 가장 많은 수익을 올린 인물일 가능성이 있다.
스턴: 3억 달러 랜섬웨어 운영자
EU의 지정 내용에 따르면, 러시아 국적의 비탈리 니콜라예비치 코발레프는 여러 가명을 사용해 활동해 왔으며, 그중에서도 특히 ‘스턴(Stern)’이라는 가명이 두드러진다. EU에 따르면, 코발레프는 류크(Ryuk) 및 콘티(Conti) 랜섬웨어와 그 수많은 파생 프로그램을 포함하는 ‘트릭봇(Trickbot) 그룹’의 핵심 인물로, 이 그룹은 최근 역사상 가장 파괴적인 악성코드 프로그램 중 하나로 꼽힌다. 트릭봇은 의료 및 금융을 비롯한 필수 서비스 전반에 걸쳐 랜섬웨어 공격을 자행해 온 사이버 범죄 조직이다.
스턴과 연관된 지갑들은 3억 달러 이상의 몸값을 받았지만, 이 금액은 그가 개인적으로 챙긴 몫에 불과하다. 트릭봇이 수년 동안 챙긴 총 수익은 이보다 훨씬 더 많으며, 이는 이 조직의 운영 규모가 엄청나다는 점을 여실히 보여준다.
아래 체이널리시스 Reactor 아래 그래프에서 볼 수 있듯이, 스턴은 Ryuk, Conti, Diavol, Karakurt, Royal, 3am, Quantum, Bitpaymer 등 수많은 랜섬웨어 변종과 거래를 했다.
스턴에 대한 제재 조치는 2023년 영국과 미국이 트릭봇 ( Trickbot) 구성원 7명, 이후 11명을 제재한 데 이은 것으로, 이로써 제재 대상 트릭봇 구성원은 총 19명이 되었습니다. ‘컨티 리크( 가상자산 )’에 공개된 지급 내역은 트릭봇 그룹의 위계 구조를 반영하며, 스턴이 수익 측면에서뿐만 아니라 운영 유지 및 관리를 위한 인프라 비용이나 서비스 대가로 팀원들에게 지급된 금액 측면에서도 트릭봇 그룹 내에서 차지했던 핵심적인 위치를 드러냅니다. ‘콘티 리크(Conti Leaks)’에 따르면, 스턴은 실제로 조직의 예산, 조달, 채용, 심지어 공격 계획 수립에 대한 재량권을 가진 “CEO와 같은” 인물이었던 것으로 드러났다.
OFAC, 랜섬웨어 인프라 제공업체를 제재 대상으로 삼다
OFAC은 랜섬웨어 공격자들을 주요 고객으로 둔 VPN 제공업체인 ‘First VPN Service(1VPNS)’와 이 업체의 관리자 드미트로 라셰브스키(Dmytro Rashevskyi), 그리고 암호화 서비스 제공업체 예브게니 블라디미로비치 실라이예프(Yevgeniy Vladimirovich Silayev)를 제재 대상으로 지정했다. OFAC은 비트코인, 이더리움, 라이트코인, Zcash, 대시, 트론, 도지코인, 솔라나 등 여러 블록체인에서 1VPNS와 라셰브스키 모두와 연관된 가상자산 개의 지갑 주소를 확인했다.
이번 조치는 2026년 5월, FBI 보스턴 지부의 지원을 받은 유럽 법 집행 당국이 1VPNS의 웹사이트와 인프라를 차단한 데 따른 것이다.
EU, 사이버 범죄 생태계 전반을 겨냥하다
EU는 다양한 국가의 사이버 범죄 행위자 및 조력자들을 지정했습니다:
- LummaC2 정보 탈취형 악성코드 개발자인 막심 예브게네비치 보로닌(Maksim Evgenevich Voronin)과 막심 알렉산드로비치 고르디엔코(Maksim Aleksandrovich Gordienko)는, 2024년과 2025년에 전 세계에서 가장 많이 사용된 정보 탈취형 악성코드 도구 중 하나였던 ‘서비스형 악성코드(Malware-as-a-Service)’ 플랫폼을 운영했습니다. LummaC2는 2025년 5월부터 시작된 미국 법무부(DOJ), 유로폴 산하 유럽 사이버범죄 센터(EC3), 일본 사이버범죄 통제 센터 간의 공동 작전을 통해 적발되었다.
- 2016년부터 LockBit, EvilCorp, BlackBasta 등 랜섬웨어 운영을 지원해 온 ‘방탄’ 호스팅 제공업체인 미디어 랜드 LLC(Media Land LLC)와 그 소유주 알렉산더 알렉산드로비치 볼로소비크(Alexander Alexandrovich Volosovik). 미디어 랜드 LLC는 2025년 11월 OFAC으로부터 제재를 받았다.
- EU 회원국 및 우크라이나의 핵심 인프라를 대상으로 사이버 공격을 수행해 온 GRU 제29155부대 및 ‘러시아 리본 사이버 군(CARR)’의 구성원을 포함한 러시아 정부 연계 행위자들. CARR은 2024년에 이미 OFAC으로부터 제재를 받은 바 있다. 또한 EU는 CARR과 연계되어 있으며, 2024년 12월 덴마크의 한 상수도 사업자를 포함해 에너지 및 수도 부문의 핵심 인프라를 표적으로 삼은 친러 해커 활동 단체인 Z-Pentest를 제재 대상으로 지정했다.
- 예브게니 빅토로비치 바셰프(Evgeniy Viktorovich BASHEV)는 러시아 군정보국(GRU) 제29155부대 소속 요원으로 확인되었습니다. 그는 인프라 구축과 자금 이체를 지원했으며, GRU와 “외부 해커 네트워크” 간의 협력을 조율했습니다. 바셰프는 우크라이나의 핵심 인프라를 표적으로 삼은 ‘위스퍼게이트(WhisperGate)’ 악성코드 캠페인을 주도했으며, 특히 가상자산 을 통해 갈취 요구를 보낸 것으로 알려져 있습니다.
~에 미치는 영향 가상자산 컴플라이언스
오늘의 조치는 악의적인 사이버 활동에 대응하는 데 있어 전략적 전환을 반영합니다. 즉, 단순히 운영자 본인뿐만 아니라 그들의 활동을 가능하게 하는 더 광범위한 지원 생태계까지 표적으로 삼고 있는 것입니다. VPN 제공업체, 악성코드-어-서비스(Malware-as-a-Service) 제공업체, 불렛프루프 호스팅 서비스, 암호화 도구 개발자 및 기타 인프라 제공업체들은 갈취, 웹사이트 훼손, DDoS 공격, 파괴 행위 등에 필수적인 역할을 하며, 점점 더 법 집행 기관과 제재 당국의 표적이 되고 있습니다.
당사의 체이널리시스의 솔루션을 통해 기업은 이러한 사이버 범죄 네트워크에 대한 노출을 모니터링하고 탐지할 수 있습니다. 당사는 고객이 노출을 선제적으로 파악하고 글로벌 컴플라이언스 표준을 준수할 수 있도록, 당사 제품군 내에서 오늘 지정된 대상과 관련된 가상자산 주소들을 식별하여 표시해 두었습니다.
자주 묻는 질문
스턴은 누구인가?
“Stern”은 러시아 국적의 비탈리 니콜라예비치 코발레프로, 트릭봇(Trickbot) 및 콘티(Conti) 랜섬웨어 조직의 핵심 인물이다.
OFAC은 누구를 지정했나요?
OFAC은 랜섬웨어 공격을 가능하게 한 혐의로 ‘First VPN Service(1VPNS)’, 해당 서비스의 관리자 드미트로 라셰브스키(Dmytro Rashevskyi), 그리고 암호화 서비스 제공업체 예브게니 실라이예프(Yevgeniy Silayev)를 제재 대상에 지정했다.
LummaC2란 무엇인가요?
LummaC2는 민감한 데이터, 브라우저 인증 정보, 가상자산 지갑 및 시스템 정보를 탈취하는 데 사용되는 악성코드 서비스(Malware-as-a-Service) 플랫폼입니다.
미디어 랜드 LLC란 무엇인가요?
미디어 랜드(Media Land LLC)는 2016년부터 법 집행 기관의 단속을 회피할 수 있는 서비스를 제공함으로써 LockBit, EvilCorp, BlackBasta 등 랜섬웨어 조직의 활동을 지원해 온 러시아의 ‘불패형’ 호스팅 제공업체입니다.
랜섬웨어 퇴치에 있어 국제적 협력이 왜 중요한가요?
사이버 범죄자들은 적발과 기소를 피하기 위해 의도적으로 여러 관할 구역에 걸쳐 활동합니다. 조율된 제재 조치는 이러한 허점을 메우고 여러 금융 시스템에 걸쳐 자산을 동시에 동결하는 데 도움이 될 수 있습니다.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
