교통공사 복구비만 505억원
영국 최대 사이버범죄 기소 사건으로 기록

[보안뉴스 김형근 기자] 2024년 런던교통공사(TfL)를 해킹한 사이버 범죄 조직 스캐터드 스파이더(Scattered Spider) 조직원이 5년 이상의 중형을 선고 받았다.

영국 울위치 형사법원은 해커 조직 핵심 멤버인 탈하 주베이르(20)와 오웬 플라워스(18)에게 각각 징역 5년 6개월을 선고했다고 보안 매체 더레코드가 보도했다.


▲오웬 플라워스(왼쪽)와 탈하 주베이르(오른쪽)는 런던 교통국(TfL) 시스템 해킹 혐의로 5년 6개월 징역형을 선고받았다. [출처: 영국 국가범죄청]

이 사건은 영국 법원이 기소한 최대 규모의 사이버 범죄 사건으로 평가된다. 두 사람은 재판 첫날 영국 컴퓨터오용법(Computer Misuse Act) 제3ZA조 위반 혐의를 모두 인정했다. 제3ZA조는 국가 기반시설이나 공공복지에 심각한 피해를 초래하거나 그 위험을 야기하는 무단 컴퓨터 침해 행위를 처벌하는 조항이다.

이들의 공격으로 런던교통공사는 시스템 복구에만 약 2900만파운드(약 505억원)의 비용을 투입했다.

공격 후에도 핵심 교통망은 계속 운영됐지만, 내부 시스템 148개가 일시적으로 마비됐다. 시스템 복구 과정에서 직원 2만7000명이 사무실에 출근해 비밀번호를 새로 설정해야 했다.

또 오이스터(Oyster) 교통카드 환불 시스템의 고객 데이터가 유출되면서 승객 환불 처리가 지연됐고, 어린이와 청소년용 오이스터 포토카드 발급도 일시 중단되는 등 공공서비스에 차질을 빚었다.

영국 국가범죄청(NCA)은 공격자들이 런던 교통망 전체를 마비시키는 데 성공했다면 경제적 피해가 최대 560억파운드(약 756억달러)에 달한것으로 추산했다.

스캐터드 스파이더는 사회공학 기법과 심 스와핑(SIM-swapping), 계정정보 탈취 등을 이용해 초기 접근 권한을 확보한 뒤 랜섬웨어를 배포하거나 금전을 갈취하는 공격을 반복해 왔다.

수사당국은 오웬 플라워스의 자택을 압수수색해 런던교통공사 인프라에 접속한 화면이 담긴 캡처와 탈하 주베이르가 시스템에 접속하는 모습을 촬영한 영상을 확보해 범행을 입증했다. 또 두 사람이 텔레그램과 온라인 협업 플랫폼을 통해 공격을 공모한 사실도 확인했다.

런던시 경찰은 이번 판결을 계기로 출소한 사이버 범죄자의 전자기기와 특정 온라인 서비스 이용을 제한하는 ‘사이버 범죄 위험 명령’(Cyber Crime Risk Orders) 제도 도입을 촉구했다. 이 제도는 재범 위험이 있는 사이버 범죄자의 기술 사용을 제한하는 방안이다. 일종의 ‘디지털 감옥’(Digital Prison)인 셈이다.

수사당국은 피해 기관인 런던교통공사가 사건 초기부터 수사기관과 적극적으로 협조하고 신속히 신고한 것이 핵심 피의자 검거와 기소에 중요한 역할을 했다고 밝혔다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>