美정부가 서버 점령?..송유관 공격한 해커그룹 문 닫는다

콜로니얼 랜섬웨어 공격한 다크사이드, '폐쇄하겠다' 발표
'누군가에 의해 서버 점령, 가상자산도 털렸다' 루머 나와
청설 후 7개월 간 678억원 챙겨.."이름 바꿔 재활동" 우려
바이든 美대통령, 6월 러시아와 정상회담서 의제로 삼기로

[이데일리 이정훈 기자] 미국 최대 송유관 운영업체인 콜로니얼 파이프라인을 사이버 공격해 마비시켰던 해킹 범죄단체인 다크사이드가 결국 폐쇄하기로 했다. 특히 다크사이드의 서버가 누군가에 의해 점령된 것으로 알려지고 있고 미국 정부가 이들을 압박하고 있다는 관측도 나오고 있다.

15일(현지시간) 미국 블룸버그통신에 따르면 사이버 보안업체 파이어아이와 인텔471은 다크사이드가 자신들과 연계된 다른 해커들에게 랜섬웨어 서비스 운영을 중단하고 폐업할 예정이라고 밝혔다.

동유럽 또는 러시아에 근거지를 둔 것으로 추정되는 다크사이드는 지난해 8월 이후 급부상한 신생 조직으로 주로 서방 국가들의 기업 80곳 이상을 상대로 수백억달러의 손실을 입힌 것으로 전해졌다. 블록체인 리서치회사인 체이널리시스에 따르면 다크사이드는 창설 후 7개월 동안 최소 6000만달러(원화 약 678억원)를 벌어들인 것으로 추산된다.

파이어아이 맨디언트의 금융범죄분석 전문가인 킴벌리 구디는 “다크사이드는 법 집행당국 압력과 미국 정부로부터의 압력을 이러한 (폐쇄) 결정의 이유로 들었다”고 전했다.

실제 다크사이드의 서버가 알려지지 않은 누군가에 의해 점령된 것으로 보이는 가운데 블로그와 결제 서버를 포함한 일부 인프라서비스에 대한 액세스 권한을 잃어버린 것으로 알려지고 있다. 특히 다크사이드가 보유한 가상자산도 도둑 맞았다는 얘기가 흘러 나오고 있다.

이 단체가 다크웹에서 운영하던 웹사이트는 전날부터 이미 다운된 상태라고 사이버 보안 전문가들이 전했다. 다크사이드는 아직 몸값을 지불하지 않은 피해 기업들에는 조만간 시스템을 복구할 수 있는 복호화 키를 보내주겠다고 밝혔다.

미 연방수사국(FBI)을 비롯한 당국은 텍사스주에서 뉴저지주까지 총연장 8850㎞의 송유관을 운영하는 콜로니얼 파이프라인에 대한 랜섬웨어 공격 후 곧바로 다크사이드를 범인으로 지목하고 대대적인 수사에 나섰다.

콜로니얼은 지난 7일 오후 미 동부 해안 석유 공급의 45%를 책임지는 송유관 가동이 중단되자 수 시간 만에 가상자산으로 500만달러(원화 약 56억5000만원)에 가까운 몸값을 지급했지만, 엿새째인 지난 12일 오후부터 겨우 재가동을 시작한 상태다.

다만 일각에서는 다크사이드의 폐업 선언이 이번 콜로니얼 송유관 해킹에 따른 미 당국의 대대적인 수사를 피하기 위한 눈속임일 가능성도 제기된다.

다크웹 리서치회사인 다크아울 공동창업자인 마크 터니지는 “과거 다른 랜섬웨어 공격범들이 수사당국의 타깃이 될 때 그렇게 했던 것처럼 다크사이드도 조용히 지내다가 이름을 바꿔달고 나타날 가능성이 있다”고 말했다.

이에 조 바이든 미국 대통령은 이번 사이버 공격을 심각하게 보고 해커들의 활동 거점으로 주로 활용되는 러시아 정부와 협의를 진행해왔다. 오는 6월 열리는 미국과 러시아 간 정상회담에서 이 문제를 의제로 삼을 계획인 것으로 알려지고 있다.

이정훈 (futures@edaily.co.kr)