경찰청 사이버수사국, 지난달 A씨 검거해 구속수사

허위 경찰홈페이지 만들고 출석통지서 발송 수법

랜섬웨어 감염시 복원비 요구…수익금 1200만원 확인

2년간 10개국과 공조수사 성과…개발자는 인터폴과 추적중

경찰청 사이버수사국은 경찰서, 헌법재판소, 한국은행 등을 사칭하며 ‘갠드크랩’이라는 랜섬웨어를 전 세계에 유포한 20대 남성 A씨를 구속했다고 9일 밝혔다. [헤럴드DB]
경찰청 사이버수사국은 경찰서, 헌법재판소, 한국은행 등을 사칭하며 ‘갠드크랩’이라는 랜섬웨어를 전 세계에 유포한 20대 남성 A씨를 구속했다고 9일 밝혔다. [헤럴드DB]

[헤럴드경제=강승연 기자] 경찰청 사이버수사국은 경찰서, 헌법재판소, 한국은행 등을 사칭하며 ‘갠드크랩’이라는 랜섬웨어를 전 세계에 유포한 20대 남성 A씨를 지난달 25일 구속했다고 9일 밝혔다.

랜섬웨어는 몸값을 의미하는 랜섬(ransom)과 소프트웨어(software)의 합성어로, PC 운영시스템을 잠그거나 데이터를 암호화해 사용할 수 없도록 한 뒤 금전을 요구하는 악성 프로그램이다. 갠드크랩은 랜섬웨어의 한 종류로 2018년부터 2019년 5월까지 전 세계적으로 유포됐다.

경찰에 따르면 A씨는 2019년 2월부터 6월까지 포털사이트 이용자 등 6614명에게 갠드크랩 랜섬웨어를 심은 이메일을 6486회 발송해 복원비용을 뜯어낸 혐의를 받고 있다.

A씨는 주로 경찰로 사칭한 이메일을 보내고 피해자가 첨부된 출석통지서 파일을 열면 PC를 랜섬웨어에 감염시키는 수법을 썼다.

피해자를 꾀기 위해 범행기간 동안 매일 20만건의 이메일을 발송했고, 발신자 이름을 특정 경찰관서로 기재하거나 ‘ulsanpolice.com’ 등의 인터넷 도메인까지 준비하는 치밀함도 보였다.

갠드크랩 랜섬웨어를 유포해 경찰에 구속된 A씨는 경찰관서를 사칭하고 파일로 첨부된 ‘출석통지서’를 클릭하면 랜섬웨어에 감염시키는 수법을 주로 사용했다. [경찰청 사이버수사국 제공]
갠드크랩 랜섬웨어를 유포해 경찰에 구속된 A씨는 경찰관서를 사칭하고 파일로 첨부된 ‘출석통지서’를 클릭하면 랜섬웨어에 감염시키는 수법을 주로 사용했다. [경찰청 사이버수사국 제공]

A씨는 피해자의 PC가 랜섬웨어에 감염되면 문서, 사진 등의 파일을 암호화하고 복원비용으로 미화 1300달러 상당의 가상통화를 전송할 것을 요구했다.

피해자가 낸 복원비용은 랜섬웨어 개발자가 우선 받고, 브로커를 거쳐 A씨에게 순차적으로 전달됐다. 개발자와 브로커가 각각 30%, 70%를 나눠갖고, 브로커가 이 중 7%를 A씨에게 떼주는 구조였다.

경찰은 A씨가 통장에 보관 중인 범죄수익금 1200만원을 확인했다. 이 금액이 120여명의 피해자에게서 받은 복원비용 중 일부인 만큼, 전체 피해규모는 더 클 것으로 추정하고 있다.

A씨는 수사기관을 따돌리기 위해 여러 국가를 거쳐 IP주소를 세탁하고 범죄수익금을 가상통화로 받는 등 노력했으나, 2년간 10개국과 국제 공조수사를 펼쳐온 경찰에 결국 덜미를 잡혔다.

경찰은 3000만건의 가상통화 입출금 흐름과 2만7000개의 통신기록을 끈질기게 분석한 결과 A씨를 특정하는 데 성공했다. A씨에 대한 구속 수사를 통해 다른 일당을 검거하는 데 수사력을 모을 방침이다.

경찰 관계자는 “개발자는 현재 인터폴과 함께 추적하고 있으며 브로커는 인적사항을 특정하기 위해 조사를 진행하고 있다”고 설명했다.

경찰은 의심되는 이메일을 받으면 안전이 확인될 때까지 첨부파일을 절대로 클릭하지 않도록 주의하고, 한국인터넷진흥원에서 권고하는 ‘랜섬웨어 피해 예방 5대 수칙’을 지켜줄 것을 당부했다.