독일을 포함한 여러 나라 경찰이 'Operation KillSwitch'라는 공조 작전을 벌여 랜섬웨어(ransomware, 시스템을 잠그거나 자료를 훔친 뒤 돈을 요구하는 악성코드) 조직 'KillSec'의 유출 사이트와 서버를 압수하고, 조직을 이끈 것으로 의심되는 16세 청소년을 포함해 3명을 체포했습니다. KillSec은 2024년경부터 활동하며 소프트웨어 취약점과 보안이 허술한 네트워크 장비를 뚫고 기업 시스템에 침투해 자료를 훔친 뒤, 돈을 주지 않으면 공개하겠다고 협박하는 방식으로 약 500건의 공격에 성공한 것으로 파악됩니다. 특히 조직원들이 랜섬웨어 인프라 구축과 공격 대상 물색에 인공지능(AI)을 활용한 것으로 드러났습니다. 수사기관은 훔친 자료 110테라바이트 이상을 확보했으며, 압수한 서버와 컴퓨터를 분석해 추가 피해자와 공범을 찾고 있습니다.
독일 주도의 국제 공조 수사 'Operation KillSwitch'가 랜섬웨어 조직 KillSec의 유출 사이트와 서버 5대를 압수하고, 16세 주범 추정 인물을 포함한 3명을 체포했다.
약 500건의 공격이 성공한 것으로 파악되며 이 중 70건이 독일 소재 조직을 겨냥했고, 훔친 자료는 110테라바이트 이상으로 확인됐다.
KillSec은 소프트웨어 취약점과 보안이 허술한 엣지 장비·플랫폼을 악용해 기업 시스템에 침투한 뒤 탈취한 자료로 협박하는 수법을 썼으며, AI를 이용해 랜섬웨어 인프라 구축과 표적 발굴을 지원했다.
벨기에·미국·핀란드·독일·그리스·네덜란드·루마니아·스페인·스위스·영국 등 다국적 수사기관과 Europol, Eurojust, 보안기업 Bitdefender·Group-IB가 공조해 서버를 압수하고 8곳을 압수수색했다.
조직적 사이버범죄 집단이 미성년자를 포함한 조직원과 AI 도구까지 동원해 운영되고 있어, 기업은 취약점 패치와 엣지 장비 보안 강화가 여전히 핵심 방어 수단임을 확인할 필요가 있다.
본문
'Operation KillSwitch(킬스위치 작전)'라 불리는 국제 법 집행 작전이 랜섬웨어 조직 KillSec의 유출 사이트와 서버를 압수했으며, 3명을 체포하고 16세 청소년을 조직의 관리자로 지목했다.
이 공조 작전은 9월 30일 실행됐으며, 벨기에, 미국, 핀란드, 독일, 그리스, 네덜란드, 루마니아, 스페인, 스위스, 영국의 수사기관이 참여했다.
Europol과 Eurojust도 수사에 참여했으며, 보안 기업 Bitdefender와 Group-IB도 함께했다.
"이번 조치는 전 세계 약 1,000건의 의심 공격을 수사한 독일 당국 주도의 국제 수사 작전인 Operation KillSwitch의 일환이다"라고 Europol은 밝혔다.
"수사관들은 16세를 해당 조직의 주요 운영자로 추정되는 인물로 확인했다. 그리스, 루마니아, 스페인, 영국에서 3명의 용의자가 잠정 체포됐고 8곳의 자택이 수색됐다. 당국은 또한 조직의 범죄 수익도 추적했다."
수사는 2025년에 시작됐으며, 수사당국은 이를 통해 사이버범죄 조직의 관리자, 개발자, 협상가, 가담자로 추정되는 용의자들을 특정할 수 있었다.
Europol에 따르면 KillSec의 관리자 겸 주요 운영자로 추정되는 인물은 16세에 불과하다. 개발자로 묘사된 또 다른 용의자는 2026년 8월에 18세가 됐으며, 일부 혐의 범죄가 저질러질 당시에는 미성년자였다.
당국은 협상가와 가담자로 추정되는 인물들도 확인했다.
함부르크 경찰은 이 조직의 서버 인프라를 수사해 KillSec의 주 서버를 포함해 훔친 자료를 저장하는 데 사용된 것으로 추정되는 여러 서버 등 총 5대의 서버를 식별하고 차단했다고 밝혔다.
압수된 사이트 중 하나는 KillSec의 다크웹 유출 사이트로, https://ks5424y3wpr5zlug5c7i6svvxweinhbdcqcfnptkfcutrncfazzgz5id.onion/ 에 호스팅되어 있었으며 현재는 압수 안내 메시지가 표시되고 있다.
"Operation KillSwitch와 관련된 도메인, 서버 및 모든 관련 데이터는 함부르크 주 형사경찰청(State Criminal Police Office of Hamburg) 및 국제 법 집행기관에 의해 통제되었다"라고 압수 배너에는 적혀 있다.
압수된 KillSec 유출 사이트
출처: BleepingComputer
압수 배너를 클릭하면 Operation KillSwitch 웹사이트로 이동하며, 이 사이트에는 랜섬웨어 조직과 체포에 관한 법 집행기관의 영상이 포함되어 있다.
작전 과정에서 당국은 추가적인 무단 접근을 막기 위해 최소 110테라바이트의 탈취 자료를 압수했으며, 그리스, 루마니아, 스페인, 영국에서 8건의 압수수색을 진행하고 3명의 용의자를 잠정 체포했다.
수사관들은 지금까지 KillSec의 공격 중 약 500건이 성공한 것으로 파악했으나, 압수한 증거를 계속 분석하는 과정에서 그 수치가 바뀔 수 있다고 당국은 덧붙였다.
의심 공격 중 최소 70건이 독일 소재 조직과 관련되어 있으며, 이 중 18건은 함부르크와 연관되어 있다.
KillSec은 2024년경부터 활동해 왔으며, 소프트웨어 취약점과 보안이 허술한 엣지 장비 및 플랫폼을 악용해 기업 시스템에 침투하고 민감한 자료를 훔친 혐의를 받고 있다.
위협 행위자들은 훔친 기업 자료를 이용해 KillSec의 다크웹 유출 사이트를 통해 피해자들을 협박했으며, 몸값을 지불하지 않으면 자료를 공개하겠다고 위협했다.
Europol은 KillSec이 이러한 자료 탈취 공격을 통해 "상당한" 금액의 몸값을 받았다고 밝혔다.
수사관들은 또한 조직원들이 랜섬웨어 인프라를 구축하고 유지하며 잠재적 피해자를 물색하는 데 인공지능을 활용했다는 사실도 발견했다.
당국은 현재 암호화폐를 포함한 KillSec의 범죄 수익을 추적하는 한편, 압수한 컴퓨터, 서버 및 기타 자료를 분석하고 있다.
수사관들은 압수한 증거를 통해 추가 피해자, 공격, 랜섬웨어 조직 가담자들이 더 드러날 수 있다고 밝혔다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
