-인터폴 ‘오퍼레이션 람즈’ 5개월간 13개국 공조 201명 체포… 그룹아이비, 침해 계정 5000여건·피싱 인프라 매핑 제공
-요르단發 사기조직 15명 인신매매 피해자… 동남아 ‘스캠 컴파운드’ 모델, 중동 거쳐 부산항·여의도 금융망까지 경고음
요르단 당국이 인터폴 ‘오퍼레이션 람즈(Operation Ramz)’ 과정에서 압수한 휴대전화와 유심(USIM) 카드들. 인터폴은 이번 작전에서 MENA 지역 전역의 피싱·금융사기 조직을 추적하며 서버 53대와 대규모 디지털 증거물을 확보했다. 사진 속 압수품은 범죄 조직이 금융 사기·계정 탈취·가상번호 기반 연락망 운영 등에 활용한 통신 장비로 알려졌다. [사진=인터폴 요르단]
인터폴(INTERPOL)이 중동·북아프리카(MENA·Middle East and North Africa) 지역에서 처음 실시한 대규모 사이버 범죄 합동 단속 작전 ‘오퍼레이션 람즈(Operation Ramz)’에 그룹아이비(Group-IB) 한국 지사가 핵심 정보 제공자로 참여했다. 이번 작전은 국제 공조 성과를 넘어, 글로벌 사이버 안보 질서와 인텔리전스 체계가 어디를 중심으로 재편되고 있는지를 보여준 사례라는 평가가 나온다. 동시에 한국 항만·금융·국가 인프라 보안 체계 역시 앞으로 어떤 글로벌 정보 네트워크 안에서 움직이게 될지를 가늠하게 하는 신호탄으로 읽힌다.
19일 그룹아이비에 따르면, 지난해 10월부터 올해 2월까지 5개월간 진행된 이번 작전에는 MENA 지역 13개국이 참여했다. 작전 과정에서 총 201명이 체포됐고 추가 용의자 382명의 신원이 특정됐다. 피해자는 3867명으로 집계됐으며 서버 53대가 압수됐다. 참가국 간에는 약 8000건의 실행 가능한 데이터(actionable intelligence)가 공유됐다. 그룹아이비는 정부 인프라 관련 계정을 포함한 5000여건의 침해 계정 정보와 MENA 전역의 피싱 인프라 매핑 정보를 제공한 것으로 알려졌다.
이번 작전에서 주목해야 할 부분은 검거 숫자보다 정보 수집 방식의 변화다. 그룹아이비가 채택한 방식은 ‘적대자 중심(adversary-centric) 정보 접근법’이다. 기존처럼 침해 흔적(IoC·Indicator of Compromise)을 모아 차단하는 수준을 넘어, 피싱 자원을 제작·유포하는 집단과 유출 데이터를 판매·유통하는 집단을 각각 별개의 위협 행위자 클러스터로 구분해 추적했다.
이 변화는 글로벌 사이버 보안 산업의 표준 자체가 이동하고 있음을 보여준다. 한국 보안 시장은 오랫동안 시그니처 기반 탐지와 사후 IoC(침해지표·Indicator of Compromise) 수집 체계에 의존해왔다. 침해 흔적을 수집하고 차단하는 구조다. 반면 Mandiant와 CrowdStrike는 공격 행위자의 정체성과 동기, 활동 반경을 추적하는 ‘APT 그룹 명명 체계’를 발전시켜왔다. 그룹아이비의 MENA 작전은 이런 행위자 중심 모델이 인터폴급 국제 형사 공조에서 사실상의 표준 인텔리전스 포맷으로 자리 잡고 있음을 보여준 사례라는 평가가 나온다.
한국에 던지는 함의도 분명하다. 국가정보원과 한국인터넷진흥원(KISA), 금융보안원이 운영하는 위협 인텔리전스 체계가 IoC 공유 중심에서 ‘행위자 귀속(attribution)’ 중심 구조로 이동하지 못할 경우, 한국이 글로벌 사이버 인텔리전스 협력망의 주변부로 밀려날 가능성이 있다는 지적이 나온다. 정보의 단위 자체가 바뀌고 있기 때문이다.
그룹아이비라의 지정학적 이동 경로 역시 이번 사건에서 중요하게 읽힌다. 현재는 싱가포르 본사의 글로벌 사이버 보안 기업으로 알려져 있지만 출발점은 러시아였다. 그룹아이비는 2003년 모스크바에서 일리야 사치코프(Ilya Sachkov)가 창업했다. 이후 2018년 본사를 싱가포르로 이전했고, 사치코프는 미국 대선 개입 의혹 국면 이후 회사의 독립성을 유지하기 위해 본사 이전을 결정했다고 밝힌 바 있다.
그러나 2021년 러시아 연방보안국(FSB)은 사치코프를 반역 혐의로 체포했고, 2023년 모스크바 법원은 그에게 징역 14년형을 선고했다. 같은 해 그룹아이비는 러시아 시장에서 완전히 철수했고, 러시아 법인은 별도 소유주에게 매각돼 그룹아이비 브랜드와 분리됐다. 현재 그룹아이비는 싱가포르·두바이·암스테르담을 축으로 한 DCRC(Digital Crime Resistance Centers) 네트워크 체계 안에서 움직이고 있다.
이 구조는 글로벌 사이버 보안 산업의 동서 분할이 어디를 중심으로 재편되고 있는지를 보여준다. 러시아 기원의 사이버 보안 역량이 비러시아권 인터폴 공조 체계 안으로 재배치되면서, 글로벌 사이버 안보 협력 인프라 역시 싱가포르를 거점으로 한 DCRC(Digital Crime Resistance Centers) 네트워크 중심으로 재편되고 있다는 의미다. 업계에서는 그룹아이비가 김기태 한국 지사장 체제로 한국 시장 공략을 본격화한 시점 역시 이런 흐름과 맞물려 있다고 보고 있다. 한국 사이버 보안 시장의 다음 경쟁 기준이 ‘글로벌 인텔리전스 네트워크 가입 자격’으로 이동하고 있다는 해석이다.
인터폴 요르단이 ‘오퍼레이션 람즈(Operation Ramz)’ 과정에서 압수한 컴퓨터·서버 장비들. 수사 당국은 이번 작전에서 피싱 인프라 운영과 금융 자격증명(credential) 유통에 사용된 것으로 추정되는 다수의 PC·모니터·네트워크 장비를 확보했다. 인터폴은 해당 장비 분석을 통해 MENA 지역 사이버 범죄 조직의 통신·데이터 유통 구조를 추적 중이라고 밝혔다. [사진=인터폴 요르단]
이번 작전에서 가장 충격적인 사례는 요르단에서 확인됐다. 합법적 거래 플랫폼을 사칭한 금융 사기 조직을 적발하는 과정에서 사기에 가담했던 15명이 사실상 인신매매 피해자로 드러난 것이다. 이들은 아시아 지역에서 허위 취업 제안으로 모집된 뒤 요르단 도착 직후 여권을 압수당했고, 협박과 강압 속에 사기 행위에 동원된 것으로 조사됐다. 인터폴은 작전을 주도한 혐의로 2명을 체포했다.
이는 캄보디아 시아누크빌과 미얀마 묘와디(Myawaddy), 라오스 골든트라이앵글에 집중돼 있던 ‘스캠 컴파운드(scam compound·사기 단지)’ 모델이 중동까지 확산됐음을 보여주는 첫 공식 사례라는 점에서 의미가 크다. Office of the United Nations High Commissioner for Human Rights가 2023년 보고서에서 경고한 ‘디지털 사기와 인신매매의 결합’ 구조가 MENA 지역에서도 실제 작동하기 시작했다는 뜻이다. 사이버 범죄가 가상공간을 넘어 물리적 인신구속과 결합한 초국경 조직범죄 단계로 진화하고 있다는 경고이기도 하다.
한국에 던지는 메시지도 두 갈래다. 첫째, 동남아·중동 지역 한국인 취업사기 피해 문제가 외교부 영사 데이터 수준을 넘어 인터폴-그룹아이비 라인의 글로벌 인텔리전스 체계 안에서 통합 관리될 가능성이 열렸다는 점이다. 둘째, 한국 금융기관을 겨냥한 보이스피싱·로맨스스캠 인프라가 동남아에서 중동으로 이동하는 과정에서 금융감독원과 금융보안원의 국제 공조 체계 역시 인터폴 DCRC 네트워크 수준까지 확장될 필요성이 커지고 있다는 점이다.
부산항 신항 7부두 전경 [사진=BPA]
한국으로 시선을 좁히면 이번 작전의 파장은 항만과 금융 두 영역에서 특히 크게 다가온다. 항만 측면에서 보면 MENA 지역의 피싱·악성코드 인프라는 호르무즈 해협을 통과하는 한국 LNG·원유 운반선의 선박 통신 시스템(ECDIS·AIS·VSAT)을 겨냥한 위협 거점으로 발전할 가능성이 있다는 분석이 나온다. 카타르 사례에서 확인된 ‘피해자도 인지하지 못한 채 악성 위협 유포에 악용된 시스템’ 구조는 한국 선사들이 운용하는 위성통신 단말의 잠재적 취약성과도 위험 구조가 유사하다는 지적이다. 부산항만공사와 인천항만공사가 운영하는 항만 IT 인프라가 글로벌 DCRC 네트워크의 위협 매핑 범위 안에 포함돼 있는지 여부 역시 앞으로 중요한 정책 과제로 떠오르고 있다.
금융 측면에서도 경고음은 뚜렷하다. 모로코에서 압수된 은행 데이터와 피싱 도구가 담긴 컴퓨터·외장 드라이브는 글로벌 금융 자격증명 유통망이 MENA 지역을 거점으로 움직이고 있음을 보여준다. 한국 시중은행의 해외지점과 국제 결제망 역시 이 유통망에 노출돼 있을 가능성을 배제하기 어렵다는 지적이 나온다. 업계에서는 금융보안원과 그룹아이비 간 협력 채널이 실제 구축될 경우, 한국 금융망 인텔리전스 체계를 글로벌 표준에 맞춰 재편하는 첫 시험대가 될 수 있다는 평가도 내놓고 있다.
드미트리 볼코프(Dmitry Volkov) 그룹아이비 CEO는 “이번 작전은 MENA와 APAC 지역 전역에 구축된 DCRC 간 긴밀한 협력을 통해 이뤄졌으며, 이는 사이버 범죄 발생 지역과 관계없이 이를 추적·근절하겠다는 의지를 보여준다”며 “국제 공조를 통해 사이버 범죄 생태계를 지속적으로 해체해 나갈 것”이라고 했다.
닐 제튼(Neal Jetton) 인터폴 사이버범죄국장은 “사이버 범죄자들이 국경 없는 디지털 환경을 악용하는 상황에서 오퍼레이션 람즈는 글로벌 협력의 효과를 입증한 사례”라며 “인터폴은 회원국과 민간 부문 파트너들과 함께 악성 인프라 제거와 범죄 조직 무력화를 지속해 나갈 것”이라고 했다.
[뉴스로드] 최지훈 기자 jhchoi@newsroad.co.kr
댓글
0