기업이 랜섬웨어 공격을 당하면 흔히 보험사가 지정한 사고대응(IR) 업체나 협상 전문업체를 통해 공격자와 접촉한다. 그런데 이 '중재자'들이 실제로는 공격 집단과 한 몸처럼 움직였다면 어떻게 될까. 미국 연방 수사당국이 최근 FBI 채용 사이트에서 극히 민감한 데이터를 탈취한 해킹 그룹 ShinyHunters를 추적하는 과정에서, 두 곳의 랜섬 협상업체 임원들이 이 갈취 집단과 비정상적으로 가까운 관계를 유지해 온 정황을 포착했다. 수사에 정통한 소식통들은 미국 쪽 임원 한 명이 피해 기업을 압박하는 갈취 웹사이트 운영까지 도왔다고 전했다.
ShinyHunters는 2019년 프랑스에 거주하던 사이버범죄자들이 주도하던 시절부터 수십 건의 대형 유출 사고를 자신들의 소행이라 주장해 왔다. 초기 멤버들이 하나둘 체포·수감되면서 브랜드의 통제권은 지난해 요르단 암만 출신의 10대 해커로 지목된 'Rey'에게 넘어갔다. FBI에 따르면 ShinyHunters가 올해에만 피해자들로부터 뜯어낸 금액은 7천만 달러를 넘는다. 9월 말에는 FBI 채용 사이트 fbijobs.gov를 해킹해 직원들의 의료·심리 기록, 사회보장번호, 집 주소, 소속 부서와 전문 분야 정보까지 확보했다며 공개를 위협했고, 이 사건을 계기로 FBI는 이례적으로 빠르게 관련자 검거에 나섰다. 로이터는 10월 3일 Rey가 요르단 당국에 구금돼 FBI에 협조 중이라고 보도했다.
시그널 메시지가 연 수사의 문
수사의 결정적 단서는 네덜란드에서 나왔다. 2026년 9월 15일 저녁, 네덜란드 경찰은 ShinyHunters 핵심 멤버로 지목된 유죄 전력의 해커 Pepijn van der Stap를 섬광탄까지 동원해 체포했다. 그가 각종 온라인 계정에 로그인한 상태, 특히 시그널(Signal) 메신저를 사용하던 중에 붙잡힌 덕분에 수사관들은 그가 캐나다·미국에 있는 랜섬 협상가들과 주고받은 최근 대화를 읽을 수 있었다. 이 메시지들은 체포 직후 드러난 청부살인 모의를 푸는 열쇠가 됐다. 네덜란드 매체 RTL은 해외에서 두 건의 살인이 계획됐으며 Van der Stap가 지시를 내린 정황이 있다고 전했는데, 실제로 실행됐다는 정황은 없다.
10월 9일에는 FBI가 54세 캐나다 사이버보안 임원 Edward Dubrovsky를 ShinyHunters 수사와 관련해 체포했다. 그는 최근 사이버 갈취 대응에 관한 책을 펴내면서 '항상 해커와 협상하라'고 권한 인물이다. 그에게는 탈취 데이터 공개 위협과 갈취를 통한 주(州)간 통상 방해 혐의가 적용됐고, 검찰은 재판 전 구금 유지를 요청했다. 소식통에 따르면 Van der Stap의 시그널 대화에는 Dubrovsky, 그리고 1천 명 이상이 소속된 대형 미국 컨설팅 회사의 임원과 잦은 교신이 담겨 있었다. 더 충격적인 것은 이들이 종종 피해 기업 자신보다 먼저 새 유출 사실을 알고 있었다는 점, 그리고 Dubrovsky가 FBI 데이터 탈취 사실을 알고도 X(옛 트위터)에 공개 위협이 올라오기 전까지 FBI에 알리지 않았다는 점이다. 수사관들은 미국 컨설팅사 임원 한 명 이상이 피해자 갈취 사이트 'shinywire[.]com' 운영에 적극 관여한 것으로 보고 있으나, 아직 기소 전이라 회사명과 임원 이름은 공개되지 않았다.
'Ghostbyte'라는 오래된 꼬리표
Shinywire 사이트는 대략 5월 3일부터 10월 16일까지 운영되며 약 100개 피해 조직의 항목을 올려두고, 협상에 응하라고 압박했다. 탈취 파일 샘플을 함께 걸어두고 7일 안에 응하지 않으면 토르(Tor)로만 접속 가능한 폭로 블로그에 전량 공개하겠다고 협박했다. 3월 피싱으로 직원 계정이 뚫린 미국 의료기기 업체 Intuitive Surgical도 그 대상에 올라 있었다. 한편 Globe and Mail은 Dubrovsky가 체포 몇 달 전 Cypfer 전 CEO였던 Daniel Tobok를 상대로 온타리오에서 소송을 냈다고 보도했다. 두 사람은 2017년 동업했다 2024년 갈라섰고, Tobok는 반소를 통해 Dubrovsky가 기밀정보에 접근하고 CyberSteward라는 다른 회사에서 부당 경쟁했다고 맞섰다. Tobok는 8년 전부터 랜섬웨어 업자들 사이에서 'Ghostbyte'로 불렸다고 전직 동료들은 전했는데, 2018년 Dharma 랜섬웨어 측이 한 캐나다 피해 기업에 'ghostbyte@tutanota.com'으로 연락해 보증을 받으라고 권한 기록이 남아 있다. 유출 추적 서비스 Constella는 Tobok가 자주 쓴 이메일(dtobok@me.com)이 스냅챗 등 'ghostbyte' 사용자명 계정과 연결돼 있다고 확인했다. Cypfer는 10월 14일 성명에서 자사는 랜섬 지불을 하거나 중개하지 않으며, Dubrovsky 체포 사실을 언론 보도로 처음 알았고 수사 대상도 아니라고 밝혔다. Cypfer는 FBI 특수요원 출신 Jason Hogg가 이끄는 Apros Group에 최근 인수됐다.
실무자가 눈여겨봐야 할 지점
이 사건의 법적 미묘함은 한국 실무자에게도 시사점이 크다. 미국에서는 복호화 키나 데이터 삭제 약속의 대가로 해커에게 돈을 주는 행위 자체가 불법이 아니며, 미 재무부 제재 대상 그룹에 지불할 때만 문제가 된다. ShinyHunters는 현재 어느 정부의 제재 목록에도 없다. 바로 이 틈에서 '지불을 도와주는' 업체가 공격자와 사실상 한편이 되는 구조적 위험이 생긴다. 보험사가 특정 IR 업체를 지정하지만 모든 업체가 지불을 대행하지는 않고, 지불을 거부하는 업체는 결국 거리낌 없는 업체로 교체된다는 지적은 협상 생태계의 이해충돌을 날카롭게 드러낸다.
지불이 해결을 보장하지 못한다는 점도 분명하다. 2024년 12월 ShinyHunters에 학생 6,200만 명·교사 950만 명의 정보가 털린 교육기술 기업 PowerSchool은 CyberSteward의 도움으로 285만 달러를 지불했지만, 2025년 5월 개별 학군들이 같은 탈취 데이터를 근거로 별도의 협박을 받았다. 삭제 약속이 지켜졌는지 기술적으로 검증할 방법이 없고, 동일 데이터의 재악용을 막을 수단도 없다는 현실을 그대로 보여준다. Coveware와 Unit 221B 같은 대응 업체들은 '파기됐다'던 데이터가 되팔리거나 고객을 직접 겨냥하는 데 쓰인다며 ShinyHunters에 대한 지불을 일관되게 경고해 왔고, FBI도 5월 15일 같은 취지의 경보를 냈다. 이들 업체 직원들이 그 조언 때문에 ShinyHunters의 협박에 시달리고 있다는 사실은, 협상 중재자의 '중립성'이 결코 당연하지 않다는 점을 상기시킨다. 결국 기업으로서는 사고 발생 전에 대응·협상 파트너의 이해관계와 이력을 검증하고, 지불이 사태의 종결이 아닐 수 있음을 전제로 복구와 통지 전략을 세우는 일이 더욱 중요해졌다.