사이버 범죄를 겨냥한 기업들의 법적 대응이 확산되는 가운데, 구글이 피싱 서비스 인프라 제거를 위해 미 법원에 협력을 요구하며 대응 수위를 높이고 있다.
구글이 서비스형 피싱(Phishing-as-a-service, PhaaS)인 ‘라이트하우스(Lighthouse)’ 운영 인프라를 해체하기 위해 미국 법원의 협력을 요청했다. 이는 기술 기업이 법적 수단을 활용해 사이버 범죄를 억제하려는 최근 시도의 연장선에 놓여 있다. 다만 이번 조치가 의미 있는 효과를 낼지는 아직 알 수 없다.
구글 법무총괄 할리마 델레인 프라도는 12일 공식 블로그를 통해 라이트하우스 조직이 구글과 다른 브랜드의 상표와 서비스를 위조 사이트에서 불법적으로 사용하며 사기를 벌이고 있어 법원의 조치가 필요하다고 주장했다. 프라도는 “구글 로그인 화면을 사칭한 웹사이트 템플릿만 최소 107개를 발견했다”라며 “사용자에게 합법적인 사이트로 보이도록 정교하게 꾸며져 있다”라고 적었다.
라이트하우스 서비스를 구매한 위협 행위자는 조직 직원 등을 포함한 개인에게 문자 메시지를 보내며, 합법적인 기업에서 보낸 것처럼 보이도록 브랜드를 위장한다. 이들은 충분히 그럴듯해 보이기만 하면 사용자가 링크를 클릭하고 이메일 자격 증명, 금융 정보 등 민감한 데이터를 넘길 것이라고 기대한다.
다수의 법원 명령
구글의 이번 조치는 특히 마이크로소프트(MS)를 비롯한 여러 기술 기업과 일부 국가가 위협 행위자의 활동을 법원을 통해 제어하려는 흐름과 맞닿아 있다. 예를 들어 지난해 9월 MS는 ‘RaccoonO365’ 피싱 키트를 배포하는 데 사용된 338개 웹사이트를 압수할 수 있는 법원 명령을 받았다. MS에 따르면 2024년 7월 이후 이 키트는 94개국에서 최소 5,000건의 MS 계정 탈취에 사용됐다.
올해 1월 MS는 해외 기반 위협 조직이 생성형 AI 서비스의 안전 장치를 우회하는 도구를 배포하는 데 사용한 웹사이트를 압수할 수 있는 미국 법원 명령도 받아냈다. 이 조직은 공개 웹사이트에서 수집한 고객 계정을 악용했다.
지난 8월에는 미국 법무부가 ‘블랙수트(로열)’라는 이름의 랜섬웨어 조직에 대한 국제 공조 작전을 발표했다. FBI와 영국, 독일, 아일랜드, 프랑스, 캐나다, 우크라이나, 리투아니아 등 여러 나라 수사기관이 협력해 서버 4대와 도메인 9개를 폐쇄했다.
하지만 사이버 범죄 조직은 얼마 지나지 않아 다시 활동을 이어갈 만큼 집요하다. 2020년 MS, 시만텍, ESET, 통신업체 NTT, 루멘 테크놀로지스 등은 미 법원 명령을 통해 ‘트릭봇(Trickbot)’ 봇넷을 유포하는 IT 인프라를 폐쇄하려고 했지만, 보안업체 헌트리스 연구진은 지금도 트릭봇이 원격 접속 등에 사용되고 있다고 분석했다.
구글은 블로그에서 미국 의회가 세 가지 법안을 채택해야 한다고 밝혔다. 첫 번째는 은퇴자를 노린 금융 사기 조사를 위해 주·지방 수사기관이 연방 보조금을 활용할 수 있도록 하는 GUARD(Guarding Unprotected Aging Retirees from Deception) 법안이다. 두 번째는 해외에서 걸려오는 불법 자동 사기 전화를 미국 소비자에게 도달하기 전에 차단할 수 있도록 전담 태스크포스를 구성하는 해외 불법 로보콜 차단(Foreign Robocall Elimination) 법안이다. 세 번째는 국제 범죄조직이 운영하는 사기 범죄 거점에 대응하기 위한 국가 전략을 마련하고, 제재를 강화하며, 이 시설에서 강제 노동에 내몰린 인신매매 피해자를 보호하는 내용을 담은 SCAM(Scam Compound Accountability and Mobilization) 법안이다.
구글은 이 ‘사기 범죄 거점’이 국제 범죄조직이 사이버 기반 사기 활동을 조직적으로 수행하는 실제 시설이며, 인신매매 피해자를 강제로 노동시키는 사례가 많다고 설명했다.
구글은 이번 발표와 관련해 추가 설명을 듣기 위한 인터뷰 요청을 거절하며, 프라도의 블로그 게시글 외에 더 언급할 내용이 없다고 전했다.
“실질적 효과는 크지 않을 듯”
사이버 대응 기업 사이퍼(Cypher)의 최고운영책임자 에드 두브롭스키는 법적 조치의 실효성에 회의적인 입장이다. 그는 PhaaS 운영자가 반드시 미국 내에 있을 필요가 없기 때문에, 법원 명령이나 입법 조치가 스미싱이나 피싱 공격을 실질적으로 줄이는 데 미칠 영향은 매우 제한적일 것이라고 설명했다. 다만 “작은 조치라도 누적되면 더 큰 효과로 이어질 수 있다는 점에서 구글이 이런 단계를 밟는 이유를 이해할 수 있다”라고 분석했다.
두브롭스키는 또 이러한 법적 조치가 위협 행위자의 행동을 바꾸지 못하며, 기업 IT 부서가 사이버 위험에 대응하기 위한 내부 통제를 유지해야 한다는 필요성 역시 달라지지 않는다고 지적했다.
캐나다의 보안 기업 딥코브 사이버시큐리티(DeepCove Cybersecurity)의 켈먼 메구는 전 세계 기술 기업들이 법원과 입법부에 기대는 이유가 사기 범죄를 막기 위한 목적뿐 아니라, 범죄성 온라인 서비스를 차단했을 때 향후 소송 위험에서 자신들을 보호하기 위한 목적도 있다고 분석했다.
그는 CSO와의 이메일 인터뷰에서 “현재 사기 운영은 사실상 위험이 거의 없다”라며 “공격자는 아무 제재 없이 시도를 반복하다가 결국 하나가 성공하면 된다”라고 말했다. 이어 “국경을 넘는 입법과 법적 효력이 실제로 구축된다면 이 위협을 줄이는 데 매우 도움이 될 것”이라고 설명했다.
다만 그는 글로벌 차원의 사이버 범죄 대응이 효과를 내려면 세계 각국의 기술 기업이 정부와 협력해 사이버 범죄 관련 정보를 공유해야 한다고 강조했다. 그러나 경쟁 관계에 놓인 많은 기술 공급업체가 공동 대응에 참여할 가능성은 낮다고 전망했다. 이들 기업은 경쟁사보다 더 안전하고 더 우수하다고 주장해야 더 많은 서비스를 판매할 수 있기 때문이다.
“사기 감소는 IT 부서의 큰 부담을 덜어줘”
SANS연구소의 연구책임자 요하네스 울리히는 구글이 유료 광고를 통해 피해자를 악성 사이트와 멀웨어로 유도하는 사기꾼들 때문에 큰 문제를 겪고 있다고 설명했다. 그는 “이런 사기 행위가 줄어들면 IT 부서가 네트워크를 방어하는 일이 훨씬 수월해질 것”이라고 말했다.
그는 미국에서 추진 중인 법안이 사기 행위에 실질적으로 새로운 장벽을 추가하는 것은 아니지만, 사이버 범죄 피해 관련 민원에 압도되고 있는 지역 수사기관에 더 많은 예산을 제공하는 역할은 할 것이라고 분석했다.
반면 로보콜 문제는 새로운 입법 없이도 통신사가 더 효과적으로 대응할 수 있으며, 실제로 일부 조치도 시행되고 있다고 지적했다. 스캠 사시 시설 문제 역시 관련 범죄 조직의 특성상 기동성이 높아 입법만으로는 큰 영향을 미치기 어렵다고 설명했다.
울리히는 “여러 문제 가운데 구글 유료 광고를 악용해 악성 자원을 홍보하는 행위가 보안팀에 가장 큰 위협”이라며 “구글이 이를 차단하는 조치를 강화하고, 공급지를 근본적으로 제거할 법적 방안을 찾는 것이 현재의 ‘두더지 잡기’식 대응보다 훨씬 효과적일 것”이라고 말했다.
[email protected]
