🦅“역시 형이야 구하러 왔구나…” 다크웹 5형제 체포!

구독자님, 안녕하세요! 🐣 오늘은 다크웹에서 활동한 인텔브로커(IntelBroker)와 다크웹 포럼(커뮤니티)인 Breachforums의 운영진 4명을 체포했다는 이야기를 해보려고 해요.

지난 뉴스레터에서 다크웹은 우리들의 개인정보와 기업의 자산 그리고 국가에 위협이 될만한 것들을 거래하는 곳이라고 살펴보았어요. 특히 개인정보가 유출되는 다양한 원인 중 해킹이 과반수를 차지했었는데요?

오늘은 기업·기관을 해킹해 유출한 정보를 다크웹에 판매한 인텔브로커를 알아보도록 하겠습니다!

🧐 인텔브로커가 누구야?

[출처: Coinlive, Cyble Vision] 인텔브로커 사진과 다크웹 프로필

인텔브로커, 본명 카이 웨스트(Kai West)는 올해 2월 22일 프랑스에서 체포되었어요. 프랑스 사이버 범죄 단속반(BL2C)을 주도로 FBI와 유럽 주요국들(스페인, 영국, 네덜란드 등)도 수사 공조에 참여했다고 합니다.

6월 25일 공식적인 기사와 함께 현재 미국에서 인텔브로커에 대한 범죄인 인도 절차가 진행 중으로 프랑스에서 구금 중이라고 합니다. 그러면… 도대체 어떤 잘못을 했길래 여러 국가들이 공조까지 하며 체포를 했을까요? 먼저 인텔브로커에 대해 알아보도록 하겠습니다. 🔎

인텔브로커는 2022년 10월부터 딥다크웹에서 랜섬웨어 개발자 및 운영자로 활동하며 공격한 기업의 내부 정보 판매를 하거나 무료로 공개했어요. 특히, 2023년에는 유로폴, DC Health Link, Hilton Hotels, AT&T 등을 침해했다는 의혹을 받으면서 본격적으로 알려지게 되었습니다.

이후 2024년 Breachforums 관리자가 되어 활동 기간 동안 40여 개 이상의 기업·기관을 해킹해 데이터 유출로 인한 피해액은 2,500만 달러(약 330억 원) 이상으로 추정하고 있어요. 한국 커리어넷과 환경부도 피해을 입었다고 합니다. 😱

현재 미국 연방 검찰은 컴퓨터 침입 공모 2건(각각 최대 5년), 통신 매체 사기 2건(각각 최대 20년)의 혐의로 연방 법원에 기소장을 제출했다고 합니다.

👮 인텔브로커 체포 과정 공개! 🚔

[출처: Chainalysis] 인텔브로커 비트코인 주소

다크웹 범죄자들이 익명성을 믿고 활용하는 암호화폐가 이번 사건에서 결정적인 단서가 되었다고 하는데요. 구체적인 과정을 살펴보도록 하겠습니다! 🧐

2023년 1월, 탈취한 API 키를 250 달러에 판매하는 글에 FBI 수사관이 구매 의사를 밝히면서 작전이 시작되었습니다. 당시 인텔브로커는 프라이버시 코인 중 하나인 모네로(Monero) 코인으로 거래를 하며 그동안 추적을 피해왔지만, 수사관이 비트코인으로 거래하자고 설득해 인텔브로커의 비트코인 주소(bc1qj52d3d4p6d9d72jls6w0zyqrrt0gye69jrctvq)를 확보할 수 있었다고 합니다.

[출처: Chainalysis] 인텔브로커 가상화폐 추적

암호화폐 추적 솔루션 Chainalysis Reactor를 통해, 확보한 비트코인 주소가 램프(Ramp) 거래소로부터 자금을 받은 사실이 확인되었고, 계좌 정보를 확인하여 출금 계정이 Kai West라는 것과 생년월일까지 알아냈다고 합니다. 추가로 동일한 주소가 코인베이스(Coinbase)와 연동된 것을 발견, 계정명은 Kyle Northern이었지만, 신원 확인(Know Your Customer) 데이터는 Kai West라는 사실을 밝혀내며 비트코인 주소로 연결고리를 계속 이어나갈 수 있었다고 합니다. 🔗

이후 OSINT 연구원들의 활약으로 이메일 주소(kyle.northern1337@outlook.com)와 링크드인(LinkedIn) 프로필까지 찾아냈고, 과거 영국 국가범죄청(National Crime Agency)에서 보안 연구원으로 근무했던 이력까지 드러났다고 해요.

이처럼 비트코인 지갑 주소를 단서로 프랑스, 미국 검찰, 암호화폐 거래소들이 협력한 이번 사건은 코인 믹서나 프라이버시 코인 등으로 익명성을 높이더라도 추적을 피하기는 어렵다는 것을 보여주며, 암호화폐를 활용한 수사 기법이 얼마나 진화했는지 보여주는 중요한 사례가 되었다고 합니다!

🕵️ 어쩌다 블랙 해커가 된 걸까..?!

[출처: KBS] 인텔브로커 답변

그러면 인텔브로커가 블랙 해커로 활동하게 된 이유가 무엇일까요..? 과거 Cyber Express와의 인터뷰에 따르면, 인텔브로커는 첫 해킹이 정확히 언제라고 말하기 어렵고, 마치 기술을 배우듯이 다양한 시도를 통해 취약점을 찾고 시스템의 작동 원리를 이해하는 과정들이 쌓여 지금의 자신을 만들었다고 말했어요. 😮

특히 과거 한국 커리어넷을 해킹했던 동기에 대해서는 “별다른 이유가 없다”고 말해, 특정한 정치적 또는 개인적 목적이 있었다기보다는 해킹 행위 자체에 몰두했던 것으로 추정된다고 합니다.

[출처: Check Point] Breachforums 폐쇄

이번 작전으로 인텔브로커와 Breachforums 운영진 4명(Shinyhunters, Noct, Depressed, Hollow)이 체포되면서 사실상 Breachforums은 폐쇄되었지만 Breachforums을 모방한 DARK4RMY 포럼이 급부상하며, 올해 4월부터 6월 사이에 활동량이 무려 600%나 증가했다고 해요. 😓

과거 RaidForums이 폐쇄되자 Breachforums이 나타났듯, 다크웹 범죄자들은 활동하던 포럼이 폐쇄되더라도 새롭게 활동할 곳을 찾는다고 합니다.

😮‍💨 이걸 잡아? 말아?

다크웹에는 여전히 수사기관이 추적해야 할 인물이 엄청 많다고 해요. 그럼 “인텔브로커와 같이 범죄자들을 다 잡으면 되는 거 아닌가?”라고 생각할 수 있어요. 🤔 하지만 앞서 인텔브로커 체포로 Breachforums이 폐쇄되고 새로운 DARK4RMY 포럼이 등장한 것처럼, 수사기관은 흩어진 범죄자들을 다시 추적해야 하는 부담이 있기 때문에 선을 넘지 않는 이상, 감시할 수 있는 범위에 두는 것이 좋은 선택지일 수 있다고 하는데요?

여러분은 어떻게 생각하시나요? 자유로운 의견을 댓글로 남겨주세요!

다음 주에도 흥미로운 보안 이야기로 돌아오겠습니다. 감사합니다! 🐣

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌