공개 키 팟캐스트

‘오퍼레이션 크로노스: 락빗 랜섬웨어 조직 잠입’ 팟캐스트 122회

2024년 8월 6일 | 체이널리시스 팀

‘Public Key’ 팟캐스트 122화가 공개되었습니다. 세계 최대 규모의 랜섬웨어 조직을 무너뜨리는 데 어떤 과정이 필요한지 궁금한 적이 있으신가요? 이번 에피소드에서는 필 라랏 ( 조사 이사, 체이널리시스) 씨와 윌리엄 라인 (영국 국가범죄청(NCA) 사이버 정보국장)과 이야기를 나누며, 영국 법 집행 기관이 국제 파트너들과 협력하여 가장 활발하게 활동하던 랜섬웨어 생태계인 ‘LockBit’에 침투해 결국 해체할 수 있었던 과정과, 해체 이후 어떤 일이 벌어졌는지에 대해 들어봅니다. 

지금 바로 다음에서 듣거나 구독하실 수 있습니다 Spotify, Apple, 또는 Audible에서. 122화의 전체 미리보기를 보려면 계속 읽어보세요.

Public Key 122화: 영국이 세계 최대 랜섬웨어 조직 ‘LockBit’을 어떻게 무너뜨렸는가

세계 최대 규모의 랜섬웨어 조직을 무너뜨리는 데 어떤 과정이 필요한지 궁금한 적이 있으신가요? 자, 이번 에피소드에서는 이안 앤드루스 (CMO, 체이널리시스)가 필 라랏 ( 조사 이사, 체이널리시스) 및 윌리엄 라인 (사이버 정보 책임자, 영국 국가범죄청(NCA))는 영국 법 집행 기관이 국제 파트너들과 협력하여 가장 활발한 랜섬웨어 생태계인 ‘LockBit’에 침투해 결국 이를 무력화시킨 과정을 공유합니다.

이 세 사람은 주요 랜섬웨어-어-서비스(RaaS) 위협인 ‘락비트’에 대해 논의하고, ‘크로노스 작전’에 대한 상세한 설명을 제공합니다. 이 작전은 록비트의 시스템을 무력화시키고 결국 그들의 운영을 중단시킨 정교한 단속 작전이었습니다.

필과 윌리엄은 가상자산 추적의 복잡한 과정, 국제 법 집행 기관 간의 협력, 그리고 피해자를 보호하고 랜섬웨어와 같은 사이버 범죄를 저지하기 위해 사용된 혁신적인 전술에 대해 설명합니다.

이번 에피소드는 현재까지 가장 중요한 가상자산 랜섬웨어 작전 중 하나와, 이것이 더 넓은 사이버 범죄 생태계에 미친 파급 효과를 흥미진진하게 들여다볼 수 있는 몇 안 되는 에피소드 중 하나입니다.

이번 에피소드의 명대사

“랜섬웨어는… 비교적 짧은 기간 동안, 법 집행 기관인 우리에게 그다지 큰 우선순위가 아니었던 사이버 범죄 문제 중 하나에서, 국가 안보 문제이자 영국이 직면한 가장 중대한 사이버 보안 문제로 급속히 변모했습니다.”  – 윌리엄 라인 (영국 국가범죄청(NCA) 사이버 정보국장)

분 단위 에피소드 분석

2 | 윌리엄 라인의 경력: 천체물리학 분야에서 NCA의 사이버 범죄 분야로 진출하기까지

4 | 필 라랏(Phil Larratt) 소개 및 1억 파운드 규모의 ‘비싱(Vishing)’ 사기 사건 분석 

8 | LockBit 랜섬웨어 조직 및 제휴 단체의 규모

14 | ‘크로노스 작전’과 법 집행 기관이 랜섬웨어 생태계 전체에 어떻게 침투했는지 

18 | 랜섬웨어와 같은 사이버 범죄 대응에서 블록체인 인텔리전스의 역할

23 | 랜섬웨어 해커들을 겨냥한 정부의 비밀 작전
27 | LockBit 소탕 이후 랜섬웨어 생태계에 미친 영향 

30 | 영국 신규 법안, 사이버 범죄 대응을 위해 ‘ 가상자산 ’의 자산 압류 권한 강화 

다음에서 제공하는 더 많은 자료를 확인해 보세요 체이널리시스 'Public Key'의 이번 에피소드와 완벽하게 어우러지는 자료들을 확인해 보세요.

오늘 방송의 출연진

이 웹사이트에는 당사의 통제 범위를 벗어난 제3자 사이트로 연결되는 links 이 포함되어 있을 수 있습니다.통제 범위를 벗어난 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제를 받지 않는 제3자 사이트로의 링크[email protected]가 포함되어 있을 수 있습니다. 이러한 정보에 대한 접근은 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않습니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.

당사의 팟캐스트는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 관련 조언을 제공하기 위한 것이 아닙니다. 청취자 여러분께서는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담하시기 바랍니다. 체이널리시스 본 자료의 이용과 관련하여 내려진 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.

체이널리시스 특정 팟캐스트에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다. 

별도로 명시되지 않는 한, 특정 제품이나 단체에 대한 언급은 체이널리시스. 게스트가 표명한 견해는 전적으로 본인 개인의 견해이며, 프로그램에 출연했다는 사실만으로는 해당 게스트나 그들이 대표하는 단체에 대한 지지를 의미하지 않습니다. 체이널리시스 직원이 표명한 견해와 의견은 해당 직원의 개인적인 견해이며, 반드시 회사의 입장을 반영하는 것은 아닙니다.

대본

이안:

자, 여러분. ‘Public Key’의 또 다른 에피소드에 오신 것을 환영합니다. 진행자 이안 앤드루스입니다. 오늘은 여러분께 특별한 방송을 전해 드리게 되어 정말 기쁩니다. 오늘은 랜섬웨어에 대해 심도 있게 다뤄보겠습니다. 영국 국가범죄청(NCA)의 사이버 인텔리전스 책임자인 윌 라인 씨와, 제 동료이자 조사 의 이사인 필 라랏 씨가 함께해 주셨습니다. 필 라랏 씨는 영국 전역과 유럽 대륙에서 저희의 가장 중요한 전략적 고객사들과 협력하고 계십니다. 두 분, 프로그램에 오신 것을 환영합니다.

윌:

초대해 주셔서 정말 감사합니다.

필:

이안, 안녕하세요. 초대해 주셔서 감사합니다.

이안:

네. 몇 달 동안 이 자리를 잡으려고 애써왔는데, 오늘 이 주제로 이야기하게 되어 정말 기대가 큽니다. 윌, 랜섬웨어에 대해 구체적으로 이야기하기 전에, 당신의 배경이 정말 흥미롭더군요. 평소처럼 오늘 방송 전에 링크드인을 좀 뒤져봤는데, 천체물리학 학위를 받으셨고 지금은 사이버 범죄를 전문으로 하는 경찰 업무를 하고 계시더군요. 천체물리학에서 지금의 자리까지 오게 된 경위에 대해 간단히 소개해 주시면 어떨까요?

윌:

네, 지금 하는 일에서 학위를 그다지 많이 활용하고 있다고는 말할 수 없지만, 지금은 정말 오래전 일처럼 느껴지긴 해도 대학에 다녔었고, 과학자가 되고 싶었거든요. 그 주제와 천체물리학에 정말 관심이 많았지만, 대학에 다니기 시작한 지 얼마 지나지 않아 그게 아마도 제게 맞는 삶은 아니라는 걸 깨달았어요. 그래도 정말 즐거웠죠. 정말, 정말 매혹적인 전공이었어요. 하지만 졸업하고 나서는… 저는 항상 정말 흥미로운 일을 하는 쪽으로 길을 찾아왔어요. 제게 있어 삶과 하는 일은 모두 그 일요일 저녁의 기분과 직결된 문제거든요.

사실 저는 지금의 직책을 우연히 맡게 된 셈이에요. 공고를 보고 정말 흥미로워 보여서 지원했고, 그게 제가 법 집행 기관에 발을 들이게 된 계기였죠. 미리 세운 계획도 없었고, 법 집행 기관이나 경찰에 몸담게 될 거라고는 꿈에도 생각하지 못했지만, 우연히 이 길로 들어서게 된 거예요. 하지만 뭐, 운명이 저를 그 길로 이끌었으니, 그 이후로 매 순간을 정말 즐겁게 보내고 있어요. 정말 다채롭고 매혹적인 경력이었죠.

이안:

영국 법 집행 기관의 구조에 익숙하지 않은 분들을 위해, 귀하가 소속된 NCA 산하 국가 사이버 범죄 전담반(National Cyber Crime Unit)에 대해 간략히 설명해 주시겠습니까? 해당 기관의 주요 업무와 중점 분야가 무엇인지, 그리고 사이버 정보 담당 책임자로서 구체적으로 어떤 업무를 수행하고 계신지 말씀해 주시겠습니까?

윌:

그러니까, NCA, 즉 국가범죄청(National Crime Agency)은 말씀하신 대로 영국 내의 연방 법 집행 기관과 다소 비슷합니다. 저희는 전국적인 관할권을 가지고 있으며, SOC, 즉 중대 조직범죄 대응을 주도하고 있습니다. 기관 전체 규모는 대략 5,500명 정도 되는 것 같습니다. 이에 비해 제가 근무하는 국가 사이버 범죄 전담반(National Cyber Crime Unit)은 비교적 규모가 작아 약 300명 정도이며, 저희는 이른바 ‘순수 사이버 범죄’나 ‘사이버에 의존하는 범죄’라고 할 수 있는 분야에 집중하고 있습니다. 즉, 일반적으로 컴퓨터를 통해서만 저지를 수 있는 범죄 유형을 다루는 것이죠. 랜섬웨어가 그 대표적인 예이며, 그 외에도 많은 사례가 있습니다.

그런 정의가 지금은 다소 구식이라는 점은 인정합니다. 사실, 이런 범주 내에서 발생하는 범죄가 많지만, 그건 특히 국가 사이버 범죄 전담반의 소관입니다. 그리고 네, 제 역할은 기관의 사이버 정보 업무를 총괄하는 것인데, 정말 다양하고 흥미로운 업무입니다.

이안:

대단하네요. 이제 업무 자체에 대해 좀 더 자세히 알아보겠습니다. 하지만 필, 당신에 대한 이야기도 빼놓을 수 없겠네요. 당신과 윌은 사실 몇 년 동안 함께 일하셨는데, 이곳에 오신 지는 체이널리시스 에서 일한 지 약 3년이 되었죠. 경찰 업무에서 민간 부문으로의 전환 과정과, 이곳에서 어떤 일을 하고 계신지 체이널리시스에서 어떤 일을 하고 계신지 이야기해 주시겠어요?

필:

네. 고마워요, 이안. 네, 저는 약 3년 반 전에 국가범죄청(National Crime Agency)을 떠났고, 그 전에는 영국 법 집행 기관에서 12~13년 정도 근무했던 것 같아요. 그 기간 동안 그레이터 맨체스터 경찰청(Greater Manchester Police)에서 근무하다가 국가범죄청으로 옮겼죠. 지금은 가상자산 조사 에서 10년 넘게 일해 왔는데, 2014년 초부터 시작했죠. 그 일로 인해 국가범죄청에서 윌과 함께 사이버 범죄, 특히 랜섬웨어 관련 업무를 담당하며 제 업무의 상당 부분을 차지했었습니다.

음, 전직에 관해 말하자면, 네, 약 3년 반 전에 과감히 결단을 내렸어요. 현재 제 직책은 수사 담당 이사입니다 체이널리시스를 맡고 있는데, 국제팀 소속이라 미국 이외의 모든 지역을 담당합니다. 또한 전 세계 공공 및 민간 부문에 전문적인 지원을 제공하는 조사관 팀을 이끌고 있습니다.

자, 제가 말씀드리고 싶은 것은, 민간 부문에서 제가 맡고 있는 역할이, 실제로 공공 부문에 속해 있지는 않으면서도 공공 부문에 가장 가깝게 일할 수 있는 위치라는 점입니다. 그래서 저희는 전 세계 여러 기관의 파트너들과 매우 긴밀하게 협력하고 있으며, 앞서 말씀드렸듯이 가상자산 조사 와 관련하여 전문적이고 수준 높은 지원을 제공하고 있습니다.

이안:

대단하네요. 자, 제가 가지고 있는 자료에 따르면, 2014년부터 2016년까지 진행된 1억 파운드 규모의 ‘비싱(vishing)’ 사기 사건 수사에 참여하셨다고 되어 있네요. 솔직히 말씀드리면, ‘비싱’이라는 용어는 처음 들어봅니다. 이 용어에 대해 좀 더 자세히 설명해 주실 수 있나요? 정확히 어떤 사건이었나요?

필:

네. 제 말은, ‘비싱(vishing)’이라는 용어도 당시에는 저에게도 생소한 단어였거든요. 본질적으로는 피싱(phishing)과 같지만, 음성 통화를 이용하는 방식이에요. 그래서 우리는 이를 비싱이라고 부릅니다.

이안:

아.

필:

그리고 네, 2013년, 2014년경 영국에서 큰 사건이 있었죠. 간단히 말해, 한 조직범죄 집단이 소셜 엔지니어링 기법을 이용해 로펌이나 대기업을 표적으로 삼았는데, 주로 영국 내 여러 은행의 사기 방지 부서 직원인 척 전화로 접근하는 방식이었습니다. 그리고 매우 정교하고 전문적인 수법을 통해 피해자의 온라인 뱅킹 플랫폼에 로그인하는 데 필요한 정보를 빼내곤 했습니다. 그런 다음, 피해자의 은행 계좌에 접근 권한을 얻자마자 자금을 빼돌렸습니다.

기본적으로, 그들이 그 다음에 하는 일은 영국 전역에 걸쳐 이 자금을 수령한 ‘자금 세탁 대리인’ 네트워크를 운영하는 것이었습니다. 그래서 그들은 여러 차례에 걸쳐 소액으로 자금을 송금했죠. 이것이 일종의 ‘1단계’에 해당합니다. 그리고 또 다른 층의 자금 세탁 대리인 네트워크가 있는데, 이것이 ‘2단계’입니다. 그리고 세 번째 단계가 이어졌습니다. 결국 이 범죄 조직은 전문 자금 세탁업자들과 협력하여 은행이나 ATM을 통해 이 모든 자금을 현금으로 인출한 뒤, 범죄 수익을 여러 단계로 세탁하는 데 지불한 수수료를 당연히 공제한 후, 그 현금을 처음에 보이스피싱을 저지른 범죄 조직에 되돌려주었습니다.

이안:

믿을 수가 없네요. 자, 윌, 방금 귀 부서의 주요 업무 중 상당 부분이 랜섬웨어에 집중되어 있다고 말씀하셨는데요. 청취자분들을 위해 배경 설명을 좀 해 주시면 어떨까요? 영국에서 랜섬웨어가 얼마나 심각한 문제인가요?

윌:

네, 정말 중요한 문제죠. 그리고 랜섬웨어는 2010년대 중반에서 후반에 등장한 위협 중 하나로, 한동안은 배경에서 조용히 진행되던 문제였지만, 사실 법 집행 기관인 우리에게 그다지 큰 우선순위가 아니었던 사이버 범죄 문제 중 하나에서, 비교적 짧은 기간 내에 국가 안보 문제이자 영국이 직면한 가장 중대한 사이버 보안 문제로 급속히 발전했다고 생각합니다.

하지만 네, 최근 언론에 보도된 몇몇 공격 사례만 봐도 랜섬웨어 문제가 피해자들에게 미치는 영향이 얼마나 심각한지 알 수 있습니다. 이는 단순히 금전적인 측면뿐만 아니라 광범위한 피해 측면에서 그렇습니다. 영국의 싱크탱크인 RUSI는 랜섬웨어가 피해자들에게 미치는 피해가 단순한 금전적 영향보다 훨씬 더 깊다는 점에 대해 정말 흥미로운 연구를 수행했습니다. 그렇기 때문에 국가 사이버 범죄 전담반(National Cyber Crime Unit) 내에서 이 문제를 최우선 과제로 삼고 있으며, 이는 영국 대다수의 국민이 직면한 가장 중대한 사이버 범죄이자 사이버 보안 위협임을 인식하고 있습니다.

이안:

글쎄요, 사람들이 랜섬웨어에 대해 특히 답답해하는 점 중 하나는, 대부분의 위협 행위자들이 러시아에 거주하는 듯하여 법 집행 기관의 손이 닿지 않는 곳에 있는 것처럼 보인다는 점인 것 같아요. 그래서 그들은 많은 경우 마치 처벌을 받지 않는 것처럼 활동하는 것처럼 느껴지죠, 그렇죠? 그들은 갑자기 들이닥쳐 피해자의 기술 시스템을 마비시키고, 엄청난 금액의 몸값을 요구합니다. 심지어 돈을 지불하더라도 경우에 따라 기술적 문제가 반드시 해결되는 것은 아닙니다. 게다가 피해자 데이터 유출로 인한 모든 후유증까지 처리해야 하는 건 말할 것도 없고요.

그러니까, 이건 해결책이 쉽게 보이지 않는 정말 심각한 범죄이지만, 귀 기관이 ‘오퍼레이션 크로노스(Operation Cronos)’라는 작전을 주도한 것으로 알고 있습니다. 이 작전이 바로 오늘 우리가 집중적으로 다룰 주제이자, 락비트(LockBit)에 대항하기 위한 핵심입니다. 그러니 먼저 락비트가 무엇인지에 대한 배경 설명부터 시작하고, 그 다음 크로노스가 무엇인지, 그리고 우리가 실제로 무엇을 할 수 있는지에 대해 자세히 알아보도록 하겠습니다. 윌, 락비트에 대한 배경 설명부터 시작해 주시겠어요?

윌:

네. LockBit은 수년 동안 활동해 왔으며, 현존하는 랜섬웨어-어-서비스(RaaS) 그룹 중 가장 큰 규모 중 하나였을 뿐만 아니라, 제 생각에는 단연코 가장 큰 그룹이었을 겁니다. 이 그룹은 ‘제휴사’라고 불리는 사람들이 랜섬웨어 계획에 사실상 투자하여 록비트가 서비스 형태로 제공하는 기능과 플랫폼을 활용할 수 있도록 했으며, 그 대가로 받은 몸값의 일정 비율을 지급받는 방식이었습니다. 간단히 말해서, 그게 전부였습니다.

하지만 맞아요, LockBit은 정말 거대한 조직이었고, 데이터 유출 사이트 등에서 확인되는 피해 규모를 보면 활동량이 정말, 정말 엄청났죠. 네, 활동 기간 동안 전 세계적으로 수천 명에 달하는 피해자가 발생했습니다.

이안:

필, 온체인 관점에서 좀 더 자세한 내용을 설명해 주실 수 있을까요? 가상자산 을 통해 LockBit으로 이루어지는 결제나, 그곳에서 자금이 어디로 분배되는지 살펴볼 때, 추가로 언급할 만한 주목할 만한 점이 있나요?

필:

네, 확실히 그렇죠. 자, LockBit의 경우를 살펴보면, 방금 윌이 언급한 대로 2020년이나 2021년경부터 활동해 온 것으로 보입니다. 이 그룹은 매우 성공적인 제휴 모델을 운영하고 있죠. 온체인 데이터를 살펴보면, LockBit의 활동 기간 동안 2,000명이 훨씬 넘는 다양한 피해자들이 이 그룹에 몸값을 지불한 것을 확인할 수 있습니다. 최소 1억 2천만 달러 상당의 지불금이 확인되었지만, 실제 금액은 이보다 훨씬 더 클 것으로 추정됩니다.

그리고 제가 말했듯이, ‘크로노스 작전’ 이전부터 이 랜섬웨어는 정말로 상당한 회복력을 보여줬습니다. 2021년부터 활동해 왔죠. 당시 매출 규모로 보면 다양한 랜섬웨어 변종 중 8위 정도였던 것으로 기억하는데, 비즈니스 모델로서 점점 더 성공을 거두었습니다. 그리고 2023년과 2024년 초에는 최종적으로 창출한 매출 기준으로 2위를 차지했던 것으로 보입니다.

그리고 윌이 앞서 언급했듯이, 록비트(LockBit)의 운영 방식만 놓고 보더라도, 이 프로그램에는 수백 명의 제휴자들이 참여해 록비트 악성코드를 사용해 유럽은 물론 전 세계의 피해자들에게 엄청난 혼란과 참혹한 피해를 입혔습니다.

이안:

음, 그리고 최근 팟캐스트에 키부 컨설팅(Kivu Consulting)에서 온 흥미로운 게스트가 출연했는데, 이 회사는 랜섬웨어 피해자들이 그 여파를 극복하고 복구 과정을 진행할 수 있도록 돕는 기업 중 하나입니다. 그분이 제시한 매우 흥미로운 통계에 따르면, 해당 회사의 분석 결과 실제로 몸값을 지불한 피해자는 약 3분의 1에 불과하다고 합니다. 그러니 귀하가 언급하신 2,000명의 피해자 수를 기준으로 보면, 그 비율만 놓고 볼 때 공격자들이 적어도 6,000건 이상의 공격을 감행했을 것이라고 추측할 수 있습니다. 우리가 이야기하고 있는 기간, 즉 지난 몇 년 동안만 놓고 봐도 이는 믿기 힘들 정도로 빈번한 공격 횟수입니다.

그럼, 윌, 귀사에서는 “자, LockBit은 우리가 추적해야 할 대상이다”라고 어떻게 결정하나요? 자원 배분과 집중 대상의 우선순위는 어떻게 정해지며, 이들은 어떻게 레이더에 포착되나요?

윌:

네. 정말 흥미로운 주제인데요, 랜섬웨어 그룹의 수가 늘어나면서 시간이 지남에 따라 상당히 많이 변해왔습니다. 몇 년 전 필과 함께 랜섬웨어 관련 작업을 하던 시절만 해도, 영국이나 전 세계 사람들을 표적으로 삼는 주요 랜섬웨어 그룹의 수는 어느 시점을 기준으로 해도 비교적 적었던 것 같습니다. 그래서 필은 랜섬웨어 조직이 12개 정도면 한 조직이나 한 팀이 이를 추적하고 모니터링하기에 충분하다고 거의 생각했었죠. 하지만 이제 이 위협이 급속히 확산되는 것을 목격했듯이, ‘서비스형 랜섬웨어(RaaS)’는 진입 장벽을 낮추는 데 있어 막대한 비중을 차지하고 있으며, 현재 활동 중인 그룹의 수가 워낙 방대하기 때문에, 수십 개, 50개, 70개, 80개에 달하는 랜섬웨어 그룹을 한꺼번에 적극적으로 대응할 수는 없습니다.

네, 저희는 NCA뿐만 아니라 업계 등 다양한 파트너로부터 데이터를 수집해, 우리가 가장 집중해야 할 대상을 우선순위로 선정하는 내부 우선순위 결정 체계를 갖추고 있습니다. 하지만 사실 이 작업은 정말 어렵습니다. 이는 엄청난 도전 과제인데, 종종 이러한 그룹들이 갑자기 나타나서 예상치 못한 방식으로 정말, 정말 빠르게 두각을 나타내기 때문입니다. 따라서 앞으로 어떤 랜섬웨어 그룹이 문제가 될지 예측하거나 파악하려는 시도는 정말, 정말 어렵다고 생각합니다. 그런 예측 요소는 정말 까다롭습니다.

그리고 네, 시장이 상당히 분열된 모습을 보아왔듯이, 그 문제는 여러 면에서 더욱 악화될 것이라고 생각합니다. 정말 거대한 랜섬웨어 제휴 프로그램이나 ‘서비스형 랜섬웨어(RaaS)’ 그룹들이 활동하던 시대는 이제 끝난 것 같은 느낌이 듭니다. 물론 제가 너무 성급하게 말하는 것일 수도 있겠지만요. 하지만, ALPHV/BlackCat, LockBit, Conti와 같은 유형의 그룹들이 다시 활동하는 모습을 보게 될까요? 아마도 아닐 겁니다. 우리가 추적해야 할 대상이 훨씬 더 많아졌고, 우선순위를 정하고 자원을 배분해야 할 대상도 훨씬 더 많아졌습니다.

이안:

이것이 우리가 다크넷 마켓 분야에서 목격했던 현상과 비슷한지 궁금합니다. 비교적 소규모의 다크넷 마켓을 운영한다면 한동안은 무사히 넘어갈 수 있는 것처럼 보이지만, 일단 실크로드(Silk Road)나 하이드라(Hydra)처럼 규모가 매우 커지면 엄청난 주목을 받게 되어 법 집행 기관의 추적을 피할 수 없게 되는 것이죠. 혹시 그런 사고방식이 랜섬웨어 세계로 조금 스며들고 있어서, 그들이 의도적으로 성장을 어느 정도 제한하고 있는 건지, 아니면 단순히 ‘서비스형 랜섬웨어(RaaS)’ 모델 자체가 분열을 조장하고 있는 건지 모르겠습니다.

윌:

네, 제 생각에는 랜섬웨어 시장이나 생태계 내에서 일종의 ‘포스트-트루스(post-truth) 시대’라고 할 수 있는 국면에 접어들고 있는 듯한 느낌이 듭니다. 이로 인해 중앙 집중형 플랫폼에 대한 신뢰도가 상당히 바닥을 치고 있는 것 같습니다.

대규모 제휴 프로그램에 대한 신뢰는 법 집행 기관의 조치뿐만 아니라, 범죄자들이 스스로 취하는 행동들 때문에 상당히 크게 떨어졌죠, 그렇죠? ‘엑시트 사기’를 보면 알 수 있듯이요. 방금 다크 마켓에 대해 언급하셨는데, ‘인코그니토(Incognito)’는 그곳의 공급업체 및 판매자들을 상대로 사기를 친 사건으로 현재 뉴스에서 정말 악명 높은 사례입니다. 그래서, 네, 어쩌면 우리는 그런 시대로 접어들고 있는 것일지도 모르겠네요… ‘포스트 트루스(post-truth)’라는 표현이 이를 설명하는 가장 적절한 방식인지는 잘 모르겠지만요. 하지만 신뢰가 약화된 시대이며, 이는 확실히 온라인상의 위협 행위자들의 행동 일부에 영향을 미치고 있다고 생각합니다.

이안:

네, 정말 좋은 지적이에요. ‘인코그니토 마켓(Incognito Market)’을 잘 모르시는 분들을 위해 설명드리자면, 이 마켓플레이스를 운영하던 개인이나 단체가 어느 시점에 사이트를 폐쇄한 뒤, 모든 구매자와 판매자에게 통보를 보냈습니다. 제 기억으로는 그들에게 모든 정보가 익명으로 처리되며 수집되지 않는다고 알려졌었는데, 사실은 모든 거래 내역—구매 및 판매한 품목과 배송지 정보까지—이 모두 수집되고 있었다는 사실을 알린 것이죠. 게다가 수수료를 내지 않으면 그 정보를 공개하겠다고 위협했죠. 마치 신상 공개(doxing)를 하듯이, 그들이 참여한 모든 범죄 활동까지 함께 공개하겠다는 식이었어요. 윌, 그 소식을 듣고 당신과 팀원들 얼굴에 미소가 번졌을 것 같네요.

윌:

네. 네, 예상치 못한 일이었고, 어떤 면에서는 꽤 효과적인 무력화였지만, 네, 바로 그 위협 행위자들 스스로가 저지른 일이었죠.

이안:

네, 정말 대단하네요. 자, 이제 화제를 바꿔서 ‘오퍼레이션 크로노스’에 대해 이야기해 봅시다. 분명히 어느 시점이 되면 락비트(LockBit)가 조직과 국제 법 집행 파트너들이 “이 문제에 대해 뭔가 조치를 취해야 한다. 문제가 너무 심각해지고 있다”고 말할 만큼 우선순위가 높아지게 마련이죠. 그런 상황에서 어떻게 시작하게 되셨나요? ‘오퍼레이션 크로노스’란 무엇인가요? 그리고 그 결과 어떤 성과를 거두셨나요?

윌:

네, 정말 좋은 질문이네요. 제 생각에는 이러한 모든 위협, 즉 오늘날 우리가 수행하는 거의 모든 활동이 국제 파트너들, 주로 소위 ‘파이브 아이즈(Five Eyes)’라고 불리는 국가들과 협력하여 이루어지고 있다고 말씀드리고 싶습니다. 즉, 미국, 호주, 캐나다, 뉴질랜드뿐만 아니라 유럽 파트너들과도 협력하고 있습니다. 그리고 이러한 협력은 종종 유로폴(Europol)을 통해 이루어지는데, 그곳에는 다양한 태스크포스가 구성되어 있어 우리가 한자리에 모여 국제 파트너들과 협력할 수 있는 정말 훌륭한 플랫폼이 되고 있습니다.

하지만 네, 그게 여러 면에서 사이버 범죄 위협의 본질 중 하나이기도 하죠, 그렇죠? 영국에서 눈에 띄고 우선순위로 여겨지는 문제들은 대개 서방의 파트너 및 동맹국들에서도 비슷하게 나타나곤 합니다. 따라서 영국에서 매우 흔한 위협은 미국에서도 매우 흔한 위협이며, 많은 유럽 파트너 국가들에서도 마찬가지입니다. 그렇기 때문에 협력을 시작할 때 초기 단계에서는 주로 업무 중복을 방지하고, 누가 어떤 역할을 수행하고 있는지, 그리고 ‘ 조사 ’가 어느 단계에 도달했는지 파악하는 데 중점을 둡니다. 그 후, 공동의 목표, 즉 위협을 무력화하고 우리가 원하는 결과를 달성하는 데 집중하며 힘을 합치고 협력해 나갑니다. 앞서 말씀드렸듯이, 유로폴(Europol)과 같은 플랫폼을 통해 협력하는 것은 우리가 이러한 목표를 달성할 수 있도록 하는 데 정말로 매우 강력한 수단이 됩니다.

이안:

정말 흥미롭네요. 궁금한 점이 있는데, 대규모 제휴 모델이 구축된 대상에 대한 단속 작전을 계획할 때, 이 경우 말하자면 ‘머리’나 실제로 악성코드를 유포하는 사람들을 차단하면 모든 제휴 활동이 잠재적으로 근절될 수 있다는 생각인가요? 아니면 모든 제휴사까지 포함하는 표적 작전을 어떻게든 계획해야 하나요? 법 집행 전문가가 아닌 제 입장에서 이해하기 쉽게 설명해 주시겠어요? 방해 작전을 계획할 때 그 작전은 구체적으로 어떤 모습인가요?

윌:

그러니까, 이를 랜섬웨어 수법이나 비즈니스 모델로 보고, 전체적인 맥락에서 종합적으로 살펴보는 것이죠. 제가 농구 비유를 잘못 쓸지 모르겠지만, 우리는 네트워크의 여러 지점에 부담을 주기 위해 ‘올코트 프레스’와 같은 전략을 모색하고 있는 셈입니다. 즉, 랜섬웨어 운영자나 LockBitSupp 같은 집단뿐만 아니라 제휴사들까지 모두 포함하는 것입니다. 따라서 이러한 종단 간 관점으로 바라보는 것이 정말, 정말 중요합니다. 핵심 노드를 찾아내고, 최대의 영향을 미칠 수 있는 지점을 파악하며, 이를 중심으로 작전을 설계하는 것이 지극히 중요합니다. 네, 가능하면 그런 ‘올코트 프레스’ 방식의 [들리지 않음 00:21:29]를 추구합니다.

이안:

네. 필, 궁금한 점이 있어서 다시 대화에 끼어들게 될 것 같아요. 저희의 가상자산 추적 기능을 고려할 때, 이를 통해 해당 제휴 네트워크의 전체적인 구조를 파악할 수 있는 경우가 많거든요. 이번 LockBit 사례도 그런 경우였나요?

필:

네, 100% 그렇습니다. 제 말은, 블록체인 인텔리전스의 장점 중 하나는 바로 투명성이라는 점입니다. 통화 초반에 제가 ‘가상자산 ’ 이전, 지금으로부터 10년도 더 전에 처리했던 오래된 수사 건에 대해 말씀드렸는데, 당시 자금은 여러 은행 계좌를 거쳐 복잡하게 세탁되어 있었습니다. 당시 은행 계좌에서 그 정보를 얻을 수 있는 유일한 방법은 법원에 가서 영장을 발부받고, 소환장을 송달하는 등 법적 절차를 밟아 정보를 받아내는 것이었죠. 보통 그 시절에는 팩스로 정보를 받곤 했어요. 정보를 입수한 뒤 자금이 어디로 흘러갔는지 추적하고, 다시 법원에 가서 추가 정보를 얻는 식이었죠. 그러다 보니 어느새 2년이나 지나버리는 거예요, 알겠죠? 2년이 지나버린 거죠. 블록체인을 활용하면 이 모든 과정을 즉시 처리할 수 있고, 체이널리시스 데이터를 통해 다양한 랜섬웨어 변종들 사이에서 이러한 제휴 조직들이 어떻게 운영되고 있는지 파악할 수 있습니다.

그래서, 그들이 LockBit을 사용할 수도 있지만, 예를 들어 다른 변종을 사용하기도 하는데, 우리는 그런 점을 파악할 수 있습니다. 우리는 블록체인을 3만 피트 상공에서 내려다보는 듯한 관점을 가지고 있습니다. 따라서 이는 금융 정보를 최대한 활용하고 자금이 어디로 흘러가는지 파악하는 데 있어 매우 귀중한 도구입니다. 보시다시피, 저는 윌과 여러 차례 사이버 범죄 생태계에 대해 이야기를 나눴는데, 윌은 그때 그런 전체 시스템적 접근 방식에 대해 언급했었습니다. 우리는 피해자들이 다양한 제휴사나 랜섬웨어 변종들에게 지불하는 금액을 확인할 수 있습니다. 뿐만 아니라, 이러한 개인이나 그룹이 생태계의 다른 부분—접근 권한 중개자, 인프라 제공자, 사이버 범죄 포럼, 사기 전문 조직, 자금 세탁 서비스 등—에 지불하는 내역도 파악할 수 있습니다. 따라서 체이널리시스, 즉 우리의 데이터를 활용하면 수많은 통찰력을 얻을 수 있으며, 이를 통해 궁극적으로 정보를 분석하고, 증거를 확보하며, 이러한 서비스 중 일부를 차단하고, 자산을 압류하는 등의 조치를 취할 수 있습니다.

윌:

정말 강력하지 않나요? 제 생각에 가상자산 은 여러 면에서 사이버 범죄 생태계에 진정한 혁명을 일으킨 존재이며, 많은 위협 행위자들의 운영 방식을 바꿔놓았기 때문입니다. 이 사이트는 단순히 그 생태계 내에서 거래할 수 있는 훌륭한 수단을 제공하는 데 그치지 않기 때문이죠. 예전에는 물건을 사고팔 때 범죄자들끼리만 거래를 했었죠. 그 자체가 범죄 행위인 셈이죠. 그렇다면 그 안에서 어떻게 신뢰를 구축할 수 있을까요? 사실, 가상자산 은 그 생태계 내에서 물건을 구매하거나, 더 정확히 말하면 판매할 수 있게 해주는 흥미로운 방법입니다.

그런 관점에서 보면 정말 흥미롭습니다. 필이 언급했듯이 그 안에는 수많은 단서와 기회가 있지만, 한편으로 ‘ 가상자산 ’는 금전적 동기를 가진 행위자들—즉, 돈을 노리고 활동하는 이들—을 위해 자금 인출 방식을 변화시켰습니다. 이전에는 사이버 범죄 계획에서 자금을 인출할 때, 예를 들어 드라이덱스(Dridex) 시절처럼 사람들의 은행 계좌에 접근하려는 경우, 계좌를 노리는 관할 구역 내에 ‘머니 뮬(money mules)’이라 불리는 자금 운반책을 두어야 했을 수도 있습니다. 이 운반책들은 해킹당한 계좌에서 자신의 계좌로 돈을 이체한 뒤 현금으로 인출하고, 물건을 구매해 우편으로 보내거나 모스크바로 반송한 다음 암시장에서 판매하는 식이었죠.

사이버 범죄자가 이런 방식을 운영하려면 정말 복잡하고 비용도 많이 듭니다. 따라서 수익을 실현할 때쯤이면 이미 수익의 60~80%를 잃게 되는 반면, 가상자산 을 이용하면 그 가치를 정말, 정말 빠르고 효율적으로, 그리고 과거보다 훨씬 저렴한 비용으로 실현할 수 있습니다. 바로 이 점이 랜섬웨어를 혁명적으로 변화시켜, 거액의 몸값을 노리고 조직을 표적으로 삼는 비즈니스 모델로 자리 잡게 한 것입니다. 하지만 이러한 기회와 함께 법 집행 기관에게도 기회가 생겼는데, 이는 장단점이 있다고 볼 수 있습니다.

이안:

맞습니다. 그들에게는 이점이긴 하지만, 우리가 어떤 경우에는 그 이점을 역으로 활용해 그들을 곤경에 빠뜨릴 수 있었다고 생각하는데, 정말 흥미로운 일입니다. 그런데 LockBit의 경우, 귀사에서 실제로 그들의 시스템 일부에 접근할 수 있었다고 들었습니다. 그 과정에 대해 자세히 설명해 주시겠어요?

윌:

네. 그래서 그 데이터에 접근할 수 있게 된 건 저희에게 정말 믿기 힘들 정도로 놀라운 기회였습니다. 법 집행 기관에서는 좀처럼 얻기 힘든 수준의 접근권과 통찰력을 얻을 수 있었죠. 그리고 사실, 그 안에는 ‘ 가상자산 ’와 관련된 수많은 기회도 숨어 있었다고 말해야겠네요. 랜섬웨어 그룹, 즉 LockBitSupp이 할당한 가상자산 주소들이 있는데, 이 주소들은 가상자산 주소로 연결되며, 이곳으로 랜섬 수익의 20%를 보내야 합니다. 하지만 저희는 채팅 기록과 협상 내용의 사본을 확보하고 있는데, 피해자들에게 제공된 주소들 중에는 일부 또는 꽤 많은 경우, 랜섬 지불금 전액이 그곳으로 흘러들어갔을 가능성이 있는 주소들이 있습니다.

그리고 여기에는 또 다른 미묘한 차이가 있는데, 몸값이 50만 달러를 초과할 경우 실제로 두 개의 계좌를 제공해야 했기 때문에, 몸값 관리자들이 20%의 수수료를 직접 받게 되었습니다. 네, 가상자산 분야뿐만 아니라 우리에게 있어 다른 여러 측면에서도 기회의 장과도 같은 상황이었습니다. 하지만 정말 흥미로운 점은 바로 이러한 접근성과 통찰력을 통해 해당 비즈니스 모델을 더 깊이 이해하고, 가장 강력한 파급 효과를 낼 수 있는 혁신을 설계하는 데 실질적인 도움이 된다는 것입니다.

이안:

청취자분들은 아마 ‘정부가 어떻게 해커들을 해킹할 수 있었을까?’라고 궁금해하실 것 같습니다. 만약 말씀하실 수 있다면, 접근 권한을 얻기 위해 어떤 수단이나 방법을 사용하셨는지 궁금합니다.

윌:

따라서 저희가 활용하는 구체적인 전술이나 기법에 대해서는 말씀드릴 수 없습니다.

이안:

알겠습니다.

윌:

다만, 네, 저희는 해당 단체가 운영하던 데이터와 플랫폼을 완전히 장악하여 비교적 오랜 기간 동안 이에 대한 접근 권한과 정보를 확보할 수 있었고, 이를 통해 피해자들을 보호하고, 실제로 가능한 한 가장 강력한 국제적 협력 차원의 단속 작전을 기획할 수 있었습니다.

이안:

그리고 네, 제가 이 사건에 대해 읽은 바에 따르면, 당신은 실제로 오랫동안 그들의 시스템에 접근할 수 있었는데, 그들은 당신이 내부에 잠입해 데이터를 수집하고, 전체 제휴 네트워크에 대한 정보를 모으고, 복호화 키를 확보하고 있다는 사실을 전혀 눈치채지 못했죠. 정말 놀라운 은밀한 작전이었습니다. 하지만 어느 시점에서 당신은 ‘자, 이제 이 작전을 중단할 때가 됐다’고 결심했죠. 귀하가 귀중한 정보를 계속 수집하고 있을 것으로 추정되는 상황에서 작전을 계속 진행하도록 내버려 둘 것인지, 아니면 ‘이제 충분하다, 이 사람들의 활동을 막아야겠다’고 판단할 것인지, 그 결정의 계기는 무엇이었나요?

윌:

네. 정말 좋은 질문이네요. 그런 결론에 이르게 하는 여러 가지 요인이 있지만, 적절한 운영 요소들을 체계적으로 정비하고 이를 과정에 반영하며, 적절한 시점에 그 모든 요소를 효과적으로 활용할 수 있도록 하는 것이 정말, 정말 중요합니다.

네, 항상 그런 절충점이 있죠. 정보를 얼마나 오랫동안 수집할지, 얼마나 오랫동안 탐색할지, 그리고 이를 실제 운영에 적용하기까지 얼마나 기다릴지 말이죠. 하지만 저는 우리가 정말로 그 최적의 지점을 잘 잡았다고 생각합니다. 물론 이 모든 것은 영국이든 해외든 상관없이 대중을 우리가 할 수 있는 한 최선을 다해 보호하기 위한 것입니다. 랜섬웨어 사고는 단순히 몸값을 지불하거나 금전적 비용을 치르는 문제만이 아닙니다. 랜섬웨어는 많은 피해자들에게 존재 자체를 위협하는 문제입니다. 이를 겪어야 하는 사람들에게는 정말, 정말 끔찍한 고통입니다. 막대한 재정적, 심리적 영향 등을 초래하죠. 그래서 우리는 항상 가능한 한 피해자 중심의 접근 방식을 철저히 따릅니다. 네. 그래서 그 시점을 정하는 건, 네, 어려운 결정이었습니다. 하지만 네, 제 생각에는 우리가 적절한 시기에 대응했다고 봅니다.

이안:

물론입니다. 저도 그 말에 동의합니다. 그렇다면, 테이크다운을 실행하기로 결정하셨을 때, 실제로 어떤 조치를 취하셨는지 자세히 설명해 주시겠어요? 제 기억에 꽤 많은 공개적인 움직임이 있었던 것 같은데, 그중에는 배포된 ‘스포티파이 랩드(Spotify Wrapped)’ 버전도 포함되어 있었고, 그건 정말 훌륭했다고 생각합니다. 그 세부 사항 중 몇 가지를 설명해 주시면 좋겠습니다.

윌:

그래서 저는 이것이 사실 오랜 시간에 걸쳐 쌓아온 수많은 배움의 결실이라고 생각합니다. 앞서 말씀드렸듯이, 이는 분명히 파트너들 간의 협력과 연대입니다. 시간이 지남에 따라 저희의 랜섬웨어 대응 접근 방식과 방법론을 보시면 아시겠지만, 저희는 국제 파트너들과 매우 긴밀히 협력하며, 배운 점을 공유하고, 인사이트 정보를 공유하며, 항상 사후 검토를 통해 이전 활동에서 무엇이 효과가 있었고 무엇이 그렇지 않았는지 파악하고 있습니다. 그리고 2023년 한 해 동안 다양한 형태의 활동들이 이루어졌는데, 그중 일부는 우리가 LockBit과 관련해 수행했던 작업의 요소들을 포함하고 있을 수도 있다고 생각합니다.

이 모든 요소가 정말 강력하게 어우러진 것 같아요. 여러 측면에서 접근을 차단하고, 자신들의 인프라를 이 혼란을 일으키는 과정의 일부로 활용할 수 있는 기술적 가능성은 정말 강력한 아이디어였다고 생각해요. 그리고 예전에는 피해자들에게 데이터 유출 사이트를 제공하던 용도로 사용되던 바로 그 탭들을 활용해, 이번 혼란을 일으키는 데 필요한 다양한 요소들을 모두 담아낸 점이죠. 우리는 그 탭들을 활용해 NCA와 국제 법 집행 기관 연합, 그리고 일부 업계 파트너들이 이들을 상대로 실제로 어떤 조치를 취했는지에 대한 정보를 제공했습니다.

그리고 얼마 지나지 않아 트위터, 아니, 죄송합니다, 이제 ‘X’라고 해야겠네요, 그리고 다른 수많은 소셜 미디어 플랫폼들이 밈과 온갖 콘텐츠로 이 대열에 합류했는데, 이를 지켜보는 건 정말 재미있었고 여러모로 우리가 해온 일을 훌륭하게 확산시켜 주었습니다.

이안:

기술적인 차단 조치와 접근 차단 조치를, 법 집행 기관의 직접적인 손이 닿지 않는 곳에 있는 사람들을 대상으로 한 강력한 공개적 제재 수단과 결합한 것은 정말 훌륭한 조치였다고 생각합니다. 그들을 반드시 체포할 수 있는 것은 아니었지만, 그들에 대한 방대한 양의 데이터를 보유하고 있으며 이제 그들이 감시 대상 목록에 오르게 될 것임을 분명히 밝힌 것입니다. 향후 그러한 유형의 행동을 억제하려는 시도 자체만으로도 정말 훌륭했다고 생각합니다.

윌:

네, 확실히 그렇습니다. 우리는 그들이 누구인지, 무슨 짓을 저질렀는지 잘 알고 있으며, 전 세계 수천 명의 피해자들에게 말로 다 할 수 없는 고통을 안겨준 그들에게 정의의 심판을 내리기 위해 국제 파트너들과 협력하는 노력을 결코 포기하지 않을 것입니다. 네, 저는 이것이 정말 강력한 메시지라고 생각하며, 이러한 범죄를 저지른 개인들에게 대가와 위험을 부과하는 것은 정말 중요한 일이라고 봅니다.

이안:

네. 글쎄요, 무엇보다도 여러분이 꽤 많은 복호화 키도 복구해 낼 수 있었던 것 같아요. 그러니 아직 복구 작업이 한창인 분들에게는, 잠겨 있어서 접근할 수 없었던 시스템과 데이터를 다시 되찾을 수 있게 해줌으로써 조금이나마 안도감을 드릴 수 있을 것 같네요.

윌:

네. 그리고 그 내용에는 피해자들을 향한 강력한 메시지가 담겨 있는데, 단순히 LockBit의 피해자뿐만 아니라 향후 피해자들에게도 해당되는 내용이에요. 예를 들어, 단순히 금전을 요구하는 공격에 돈을 지불한다고 해서 데이터가 반드시 삭제되는 것은 아니라는 점이죠. 누가 그런 걸 상상이나 했겠어요? 사이버 범죄자들을 믿어서는 안 된다는 것. 이런 점들이 영향력 측면에서 볼 때 정말 강력한 메시지를 전달한다고 생각해요.

이안:

네. 필, 이제 당신에게 마이크를 넘기겠습니다. 시야를 조금 넓혀 볼까요? 작년이 랜섬웨어 몸값 지불액 측면에서 사상 최대 규모였던 해였다는 걸 알고 있습니다. 처음으로 10억 달러를 넘어섰죠. 2024년 상반기에는 어떤 양상이 나타났나요? 그리고 LockBit과 같은 랜섬웨어 그룹이 적발된 것을 고려할 때, 이것이 전체 생태계에 차질을 빚고 있는 건가요? 아니면 일종의 ‘풍선 효과’가 나타나고 있는 건가요? 즉, 한 그룹을 적발하면 활동이 다른 변종으로 이동하거나, 다른 그룹들이 활동을 더욱 강화하는 현상이 나타나는 건가요?

필:

네. 올해가 시작된 지 겨우 7개월밖에 안 됐다는 점은 잘 알고 있지만, 랜섬웨어 측면에서는 올해도 또다시 매우 활발한 한 해가 될 것으로 보입니다. 가상자산 의 결제 관련 관점에서 보면, 데이터 유출과 관련해 윌의 견해를 들어보는 것도 좋겠지만, 결제 측면에서는 작년과 상당히 비슷한 양상을 보이고 있습니다.

이제 주목해야 할 중요한 점은, 궁극적으로 이 상황이 블록체인 분석의 관점에서 보면 상당히 다르게 보일 가능성이 높다는 것입니다. 왜냐하면 본질적으로 LockBit이 저지른 일, 그 사건으로 인한 혼란, 그리고 BlackCat 사건으로 인한 혼란은 수많은 제휴 조직들을 시장에서 몰아냈기 때문입니다. 따라서 이들은 공격을 지속하기 위해 다른 유형의 랜섬웨어를 사용하기 시작했거나 이미 사용하고 있을 수 있습니다. 현재 그 영향을 직접적으로 측정하기는 어렵습니다. 이는 사실상 이러한 개인들과 다양한 범죄 조직들과의 소모전과도 같은 상황입니다. 따라서 랜섬웨어와 관련하여 공공 및 민간 부문에서 진행되고 있는 놀라운 노력들을 부정하거나 폄하하려는 의도는 전혀 없지만, 사실 이는 종종 ‘악마를 굴 속에 가둬두기’를 시도하는 것과 다름없습니다.

이안:

네. 윌, 당신의 관점이 궁금한데요. 사이트가 차단된 이후 어떤 경험을 하셨나요? 다른 분야에서 활동이 급증하고 있나요? 아니면 적어도 일시적으로라도 공격 건수가 감소하고 있는 걸 보시나요?

윌:

네, 생태계적 관점에서 볼 때, 이는 우리에게 확실히 상당한 타격을 주는 일이라고 할 수 있습니다. NCA로서, 그리고 파트너 기관들과 함께 우리가 진정으로 하고 싶은 일은, 과거에 해왔던 것보다 훨씬 더 적극적으로 그 영역에 맞서 싸우는 것입니다. 따라서 랜섬웨어 사기를 성공적으로 운영하기 위해 필요한 모든 종류의 사이버 범죄 요소들, 즉 접근 권한을 확보하는 것부터… 정보 탈취자들에 이르기까지, 최근 유로폴(Europol)과 ‘오퍼레이션 엔드게임(Op Endgame)’이 이를 중심으로 훌륭한 협력을 펼친 사례를 목격했습니다. 또한 랜섬웨어의 수익화 측면에서도, 록비트(LockBit)가 그 예시인 것처럼 ‘서비스형 랜섬웨어(RaaS)’ 플랫폼을 통한 활동까지 모두 포함됩니다.

하지만 피해 규모 측면에서는, 네, 확실히 그렇습니다. LockBit의 관점에서 보면 피해가 줄어든 것을 확인할 수 있습니다. LockBit의 브랜드와 평판을 유지하려는 노력이 많이 있었던 것으로 보이지만, 사실 지금은 이미 완전히 무너져 버린 것 같습니다. 아주 오래된 피해 사례들을 유출 사이트에 그대로 복사해 올리는 경우가 많고, 일부는 정말 거물급 피해자를 주장하기도 했지만 실제로는 사실이 아닌 것으로 드러났습니다. 다른 랜섬웨어 그룹과 관련된 피해 사례를 게시하는 경우도 있는데, 이는 꽤 흥미로운 현상입니다. 역시 그곳에서 평판을 높이려는 시도라고 생각합니다.

그리고 네, LockBit 맬웨어의 소스 코드를 작성한 개발자들도 여전히 활동 중이므로, 일부 LockBit 피해 사례가 보고될 수도 있습니다. 물론, 그런 사례는 유출 사이트에 올라오지는 않겠지만, 실제로는 랜섬웨어-어-서비스(RaaS) 그룹과 관련이 없을 수도 있습니다. 여전히 일부 공격이 발생하고 있지만, 전반적으로 저희의 판단과 현재 진행 중인 작업은 이러한 공격의 정교도 수준을 파악하는 데 초점을 맞추고 있으며, 현재로서는 그 수준이 낮아진 것으로 보입니다. 따라서 ‘크로노스 작전(Cronos Operation)’의 영향은 상당히 컸다고 생각합니다.

하지만 네, 필이 질문에 답하면서 먼저 언급했듯이, 이건 정말 어려운 문제라고 생각합니다. 효과 측정을 이해하는 것뿐만 아니라, 여러 관할권 문제 등을 헤쳐나가며 해당 개인들을 대상으로 한 혁신적인 조치를 기획하고 실행하는 것 자체가 정말 까다롭습니다. 게다가 그 영향력을 파악하는 것도 정말 어렵습니다. 행동에 변화가 생겼다면, 그 행동을 어떻게 측정할 수 있을까요? 시간이 지나면서 그 변화가 어떻게 나타나는지 지켜봐야만 합니다. 그러니 네, 올해 한 해 동안 상황이 어떻게 전개될지 지켜봐야 할 것 같습니다.

규모 측면에서 보면, 네, 대략적으로 말해서 랜섬웨어 활동 규모는 2023년에 보았던 수준과 비슷한 양상을 보이고 있다고 생각합니다. 하지만 이를 한 단계 더 자세히 들여다보면, 예를 들어 활동 중인 그룹의 수와 같은 측면에서는 상황이 조금 다르게 보일 것입니다. 따라서 올해 남은 기간 동안 상황이 어떻게 전개될지 지켜보는 것도 흥미로울 것 같습니다.

이안:

음, 저희는 확실히 여러분을 응원하고 있습니다. 한 가지 여쭙고 싶은 점이 있는데, 최근 영국에서 통과된 법에 대해 언론 보도가 있었죠. 그 법에 따르면 가상자산 개인의 체포 전이라도 자산 압류가 가능하다고 알고 있습니다. 그로 인해 상황이 귀하에게 조금 더 유리하게 바뀌었는지 궁금합니다. 즉, … 실례합니다, 어딘가의 가상자산 지갑에 불법 수익금이나 피해자 자금이 있다는 사실을 알게 되었을 때, 해당 자금을 확보할 수 있다면, 당연히 이를 압수하여 범죄자들로부터 회수할 수 있는 이점이 생기는 것입니까?

윌:

네, 당연히 우리에게 새로운 온갖 종류의 권한과 역량이죠. 정말 환상적이고, 사이버 범죄와의 전쟁에서 이를 활용할 수 있게 된 점도 훌륭합니다. 또한 덧붙이자면, 우리가 이야기하는 것이 반드시 랜섬웨어나 사이버 범죄에만 국한된 것은 아닙니다. 그 사이버 범죄 생태계와 가상자산 은 실제로 온라인 사기를 저지르는 사람들부터 인터넷에서 상품, 특히 마약을 사고파는 사람들에 이르기까지 다양한 위협 행위자들에 의해 활용되고 있습니다. 네, NCA 내에서 아직 세부 사항을 다듬고 일부 작업을 진행 중이긴 하지만, 이제 이러한 추가 역량을 확보하게 된 것은 정말 대단한 일입니다. 앞으로 이 역량이 훨씬 더 많이 활용될 것이라고 생각합니다.

이안:

정말 대단하네요. 글쎄요, 저희는 여러분과 팀이 지난 몇 년간 이뤄낸 모든 훌륭한 업적의 열렬한 지지자입니다. 궁금한 점이 하나 있는데요, 청취자 여러분, 저희 청취자 중에는 법 집행 기관 소속이거나 검사직, 혹은 정부 내 다른 직책을 맡고 계신 분들이 많이 계십니다. 여러분이 이러한 범죄자들을 더 효과적으로 저지할 수 있도록 돕기 위해 저희가 무엇을 할 수 있을까요?

윌:

정말 좋은 질문이네요. 저희는 공공 및 민간 부문의 파트너들과 소통하고 협력하는 데 점점 더 능숙해지고 있다고 생각합니다. 우리는 이 일을 혼자서 해낼 수 없다는 점을 분명히 인식하고 있으며, 외부에 존재하는 통찰력과 지식, 그리고 역량은 그야말로 타의 추종을 불허합니다. 따라서 파트너십을 맺고, 협력하며, 정보를 공유하는 것은 이 분야에서 성공을 거두는 데 있어 매우 중요한 부분입니다. 앞서 말씀드렸듯이, 어떤 법 집행 기관이나 단체도 고립된 섬처럼 홀로 존재하며 이러한 대규모의 파급력 있는 작전을 단독으로 수행할 수는 없을 것입니다.

네, 참여가 많을수록… NCA와 소통할 수 있는 방법은 여러 가지가 있으며, 영국 법 집행 체계의 모든 단계—경찰청 수준이든, 지역 범죄 수사대 수준이든, 국가 수준이든—와 소통할 수 있는 경로도 마련되어 있습니다. 그러니 네, 여러분께서 적극적으로 참여하셔서 이 싸움에 힘을 보태주시기를 진심으로 당부드립니다.

이안:

와, 대화를 마무리하기에 정말 좋은 지점인 것 같네요. 윌, 팟캐스트에 출연해 주셔서 정말 흥미로웠습니다. 필, 오늘 임시 공동 진행자로 함께해 주셔서 감사합니다. 두 분 모두, 정말 감사드립니다.

윌:

고마워요, 이안. 고마워요, 필.

필:

이안, 윌, 시간 내주셔서 감사합니다. 정말 감사드립니다. 감사합니다.

 

체이널리시스가상자산 팟캐스트가상자산 추적가상자산 팟캐스트가상자산 추적사이버 범죄사이버 범죄법 집행Lockbit크로노스 작전공개 키랜섬웨어서비스형 랜섬웨어

최근 게시물