비밀번호 하나에 뚫린 1억 명 통화 기록: 주한미군 해커 70개월 실형이 드러낸 클라우드 보안 허점

군 기밀 취급 인가가 무색했던 1억 명 통화 기록 유출: ‘키버팬텀’ 사건의 전말

미국 주요 통신사를 겨냥해 전 세계를 뒤흔든 사상 최대 규모의 통신 기록 유출 사건의 주범 중 한 명이 법의 심판을 받았다. 미국 워싱턴 서부 연방지방법원은 통신사 AT&T와 버라이즌(Verizon)을 해킹해 가입자들의 통화 및 문자 내역을 탈취하고 이를 빌미로 거액을 요구하며 협박한 주한미군 현역 병사 카메론 존 바게니어스(Cameron John Wagenius, 22세)에게 징역 70개월(5년 10개월)과 29만 4,978달러(약 4억 원)의 배상금 지급을 선고했다.

사건의 발단은 단순한 외부 해커 집단의 정교한 국가 배후형 공격이 아니었다. 주한미군 기지에 복무하며 비밀 취급 인가(Secret Clearance)까지 보유하고 있던 현역 병사가 온라인상에서 ‘키버팬텀(Kiberphant0m)‘이라는 가명으로 활동하며 벌인 지능적 범죄였다. 바게니어스는 공범 3명과 함께 데이터 웨어하우스 서비스인 스노우플레이크(Snowflake)를 사용하는 대기업 고객사 계정을 노렸다. 공격 대상이 된 통신사 계정들은 외부에 계정 정보가 유출되어 있었음에도 불구하고, 로그인 시 추가 확인을 거치는 2단계 인증(다중 인증, MFA)을 켜두지 않은 상태였다. 현관문 열쇠를 길바닥에 떨어뜨렸는데 문에 걸쇠나 이중 잠금장치조차 걸어두지 않은 셈이었다.

바게니어스와 공범들은 이 빈틈을 파고들어 AT&T 고객 1억 명 이상의 통화 상대방 번호, 통화 시각, 통화 시간 등이 고스란히 담긴 통신 기록을 통째로 내려받았다. 이후 통신사들을 상대로 데이터를 공개하지 않는 대가로 금전을 요구하며 공개 협박을 감행했다. 심지어 AT&T가 협박 조직에 37만 달러 상당의 비트코인을 송금한 뒤에도 바게니어스는 약속을 깨고 재협박을 시도했다. 당시 대선 후보였던 도널드 트럼프와 카멀라 해리스의 통화 기록을 확보했다고 주장하는가 하면, 미국 국가안보국(NSA)의 내부 설계도까지 유출하겠다고 위협하며 판을 키웠다.

미 국방부 감찰관실 산하 국방범죄수사국(DCIS)과 연방수사국(FBI), 육군 범죄수사국(CID), 비밀경호국(USSS)이 합동 수사에 착수한 이유는 명확했다. 군 기밀 접근 권한을 가진 현역 군인이 직접 해킹 도구를 만들고 국가 주요 통신 인프라의 데이터를 유통하는 내부자 위협으로 비화했기 때문이다. 바게니어스는 결국 덜미를 잡혀 구속기소 되었고, 법원은 그에게 6년에 가까운 실형을 선고하며 무관용 원칙을 분명히 했다.

37만 달러 비트코인 몸값과 70개월 징역: 수치로 대조하는 피해 규모와 법적 처벌 수위

이번 사건은 통신 업계 역사상 유례없는 규모의 개인정보가 연루된 범죄였다. 단순한 계정 도용 범죄로 치부하기에는 유출된 데이터의 양과 피해 기업의 수, 범죄 수익을 노린 협박 액수가 막대했다. 특히 AT&T는 해커들의 데이터 유출 협박에 굴복해 37만 달러 규모의 암호화폐를 지급했음에도 불구하고 추가 협박과 정부 규제 기관의 전방위 조사를 피하지 못했다.

수사 당국이 밝혀낸 범죄 연루자들과 피해 규모를 대조해 보면, 이번 사건이 단독 범행이 아니라 전 세계에 흩어진 전문 사이버 범죄자들의 분업 형태로 이루어졌음을 알 수 있다. 바게니어스를 도운 공범 케네스 슈크먼은 2019년 사물인터넷(IoT) 기기를 감염시켜 대규모 분산서비스거부(DDoS) 공격을 일으킨 사토리(Satori) 봇넷 운영자 출신이었다. 또 다른 공범 코너 라일리 무카는 캐나다에서 체포되어 유죄를 인정했고, 2021년 T-모바일(T-Mobile) 7,600만 명 정보 유출 사건의 주범으로 수배 중이던 존 에린 빈스 역시 이번 스노우플레이크 탈취 공모자로 드러났다.

이 수치들은 보안 사고의 파괴력이 해커의 기술적 난이도와 비례하지 않는다는 사실을 보여준다. 해커들이 수억 건의 데이터베이스에 접근하기 위해 사용한 수단은 수억 원짜리 해킹 도구가 아니라, 다크웹에 유출된 아이디와 비밀번호 단 한 줄이었다.

기업 실무와 데이터 보안 체계에 닥친 치명적 균열

현장 실무진 관점에서 이번 사건은 기업의 운영 비용, 침해 사고 수습 일정, 데이터 신뢰성에 막대한 타격을 안겼다. 외부 클라우드에 방대한 민감 정보를 위탁해 두면서도 접근 통제 규칙을 제대로 점검하지 않은 기업이 어떤 대가를 치르게 되는지 3가지 영역에서 극명하게 드러났다.

천문학적인 배상금과 사고 수습 지출이 만든 비용 부담

침해 사고가 발생하면 단순히 몸값을 지불하느냐 마느냐의 문제로 끝나지 않는다. AT&T는 해커에게 건넨 37만 달러 외에도 유출 통지서 발송, 피해 고객을 위한 신용 모니터링 서비스 제공, 대형 로펌 및 외부 포렌식 조사 업체 선임에 수천만 달러의 운영 자금을 쏟아부어야 했다. 여기에 연방통신위원회(FCC)와 연방거래위원회(FTC) 등 규제 당국이 부과할 수 있는 과징금 위험까지 겹쳤다. 기업이 매월 수십 달러 수준의 다중 인증 시스템 운영 비용을 아끼려다 그 수만 배에 달하는 사후 수습 비용을 떠안게 된 것이다.

2단계 인증 부재 하나로 무너진 공급망 신뢰도

통신사는 모든 산업의 인프라 역할을 담당한다. 통신사의 통화 기록이 털렸다는 것은 해당 망을 이용하는 일반 시민뿐 아니라 정부 기관, 금융사, 방위산업체의 통신 패턴까지 외부에 노출되었음을 의미한다. 누가 언제 누구와 몇 분 동안 통화했는지를 나타내는 메타데이터는 대화 내용 그 자체만큼이나 위험하다. 핵심 인물의 인맥 관계와 업무 동선이 그대로 드러나기 때문이다. 이로 인해 기업 고객들은 공급망 보안에 심각한 의문을 제기하게 되었고, 통신사와의 기업 간(B2B) 전용 회선 및 클라우드 계약을 전면 재검토하는 지연 사태가 벌어졌다.

교도소 내부에서도 이어진 탈옥용 생성형 도구 악용 리스크

주목할 부분은 바게니어스가 구속 수감된 이후의 행적이다. 검찰 공소장에 따르면 바게니어스는 연방 교도소에 수감되어 재판을 기다리는 동안에도 다른 수감자의 이메일 계정을 이용해 상용 생성형 인공지능(AI)을 악용하려 했다. 그는 외부 지인에게 AI를 상대로 윈도우 10 엔터프라이즈 권한 상승 취약점(CVE) 코드와 네트워크 장비 원격 명령 실행 취약점(CVE-2023-45208) 스크립트를 생성해 달라고 부탁했다. 또한 수감 시설 내 물품으로 무전 수신용 안테나를 만드는 방법과 탈옥 경로까지 AI로 조사하게 했다.

공격자들은 보안 필터를 우회하기 위해 “소설을 집필 중이다”라는 거짓 상황을 설정하는 프롬프트 조작(프롬프트 인젝션) 수법을 썼다. 생성형 AI 도구가 침투 테스트 코드를 작성하거나 수감 시설 탈출 방법을 연구하는 무기로 손쉽게 전환될 수 있음을 증명한 사례다. 이는 기업 보안 담당자들에게도 큰 경종을 울린다. 내부망에 생성형 AI 도구를 도입할 때 악의적인 프롬프트 입력을 통한 취약점 탐색 시도를 어떻게 차단할 것인가가 새로운 실무 과제로 떠올랐다.

비밀번호 의존 시스템을 대체하는 보안 완충 장치와 접근 통제 모델

사건 이후 스노우플레이크는 모든 계정에 다중 인증(MFA)을 강제 적용하도록 정책을 바꿨다. 사용자가 귀찮다는 이유로 MFA를 비활성화할 수 없도록 원천 차단한 것이다. 하지만 진정한 보안 완충벽을 세우려면 단일 도구의 설정 변경을 넘어, 인프라 전체의 접근 방식을 근본적으로 재설계해야 한다.

기존의 단순 비밀번호 방식은 한 번 유출되면 공격자가 합법적인 관리자 행세를 하며 내부 자료를 자유롭게 퍼 나르는 것을 막지 못한다. 반면 물리적 보안 키(FIDO2 하드웨어 토큰)나 지문 인식 기반의 패스키(Passkey)를 도입하면, 공격자가 비밀번호를 손에 쥐고 있더라도 실제 물리 장치가 없으면 접속 자체가 불가능하다.

또한 외부 저장소와 데이터베이스에 접근할 때는 상시 접속 권한을 주는 대신, 승인된 작업 시간 동안만 임시 토큰을 발급하는 접근 제어 방식을 도입해야 한다. 비정상적인 위치나 생소한 IP 대역에서 대량의 데이터 다운로드가 시도될 때 이를 즉각 포착하고 세션을 끊어버리는 실시간 접근 모니터링 환경을 구축하는 것이 필수적이다. 클라우드 인프라 전반의 비정상 접속과 권한 오남용을 상시 추적하기 위해 Datadog 같은 중앙 집중형 인프라 관제 도구를 연동해 감사 로그를 실시간으로 대조하는 기업들이 늘어나는 이유도 여기에 있다.

실무 리스크 완화 및 위기 대응 3단계 방어선

클라우드 데이터 유출 사고는 한 번 터지면 기업의 존립을 위협한다. 바게니어스 사건이 남긴 교훈을 바탕으로, 데이터 관리 부서와 보안 실무팀이 즉각 구축해야 할 현실적인 3단계 방어선은 다음과 같다.

1차 방어선: 다중 인증(MFA) 강제 적용과 방치된 관리자 계정 소탕

• 다중 인증 예외 정책 전면 폐지: 개발, 운영, 데이터 분석 등 어떤 직군이나 계정이든 로그인 시 2단계 인증을 거치지 않으면 접근할 수 없도록 강제 규칙을 적용한다. 문자메시지(SMS) 방식은 가로채기 위험이 있으므로 모바일 인증 앱(OTP)이나 하드웨어 보안 키를 우선 사용한다.
• 휴면 계정 및 서비스 계정 일괄 정리: 과거 외주 프로젝트나 테스트 용도로 생성해 두고 방치된 클라우드 계정은 공격자의 1차 표적이 된다. 90일 이상 미사용 계정은 자동 비활성화하고, 소스코드에 하드코딩된 API 키를 전수 조사해 즉각 폐기한다.

2차 방어선: 대용량 반출 감시 및 내부자 권한 통제

• 데이터베이스 대량 다운로드 임계치 설정: 정상적인 업무 범위를 초과하는 대용량 데이터 쿼리나 파일 다운로드가 발생할 경우 즉시 보안 담당자에게 경보를 발송하고 세션을 일시 정지시키는 자동차단 정책을 둔다.
• 최소 권한 부여 원칙 준수: 군 기밀 취급 인가를 가진 현역 군인이 내부에서 일탈을 저질렀듯, 직급이 높거나 신뢰할 수 있는 직원이라도 업무에 반드시 필요한 최소한의 데이터에만 접근하도록 역할을 잘게 쪼개어 배정한다.

3차 방어선: 협상 불가 원칙과 신속한 사법 공조 체계

• 해커와의 몸값 협상 금지: AT&T 사례에서 보듯, 37만 달러를 건네도 해커는 데이터를 파기하지 않고 정치인을 겨냥한 2차 협박을 일삼았다. 범죄 집단에 돈을 건네는 것은 추가 공격의 자금줄이 될 뿐 데이터 회수를 보장하지 못한다.
• 조기 수사 의뢰 및 규제 신고 프로토콜 정비: 침해 사실을 인지한 즉시 연방수사국(FBI)이나 경찰청 사이버수사대 등 사법 당국과 공조를 시작해야 한다. 이번 사건 역시 국방부 범죄수사국과 민간 보안 전문가들의 긴밀한 정보 공유 덕분에 피의자의 위치를 빠르게 특정하고 추가 피해를 막을 수 있었다.