미국 공군에 복무하던 두 명이 약 2년간 기업들을 대상으로 BEC(비즈니스 이메일 침해, 이메일을 이용한 사기)와 피싱 공격을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소 형을 선고받았습니다. 이들은 직원 이메일 계정의 아이디와 비밀번호를 훔친 뒤, 피해 기업이나 거래처처럼 보이도록 이메일 주소를 위조해 송금을 자신들이 관리하는 계좌로 돌렸습니다. 아이오와주의 피해자에게서 168만 달러 이상, 오하이오주 피해자에게서 72만 달러 이상을 가로챘고, 금융 계좌 정보와 신용카드 정보 등도 함께 빼돌렸습니다. 두 사람 모두 형 선고 후 구금되었으며, 출소 후 3년간 보호관찰을 받게 됩니다. 최근 며칠 새 미군 소속이었던 인물이 사이버범죄로 처벌받은 두 번째 사례이기도 합니다.
미 공군 복무 중이던 두 사람이 약 2년간 기업 대상 BEC 및 피싱 캠페인을 벌여 직원 이메일 계정 자격증명을 훔치고 송금을 가로챘다.
아이오와주 피해자에게서 168만 달러 이상, 오하이오주 피해자에게서 72만 달러 이상을 편취했으며, 금융 계좌 정보와 신용·직불카드 정보 등 개인 금융정보도 유출됐다.
스팸·피싱 이메일로 이메일 계정 자격증명을 탈취하고, 피해자나 거래처를 사칭한 스푸핑 이메일 주소로 송금 지시를 조작했다.
두 사람은 각각 111개월(오디메그우)과 78개월(모가지) 징역형과 함께 피해 배상금(각각 366,617.59달러, 995,680.45달러)을 선고받고 구금됐으며, 출소 후 3년간 보호관찰을 받는다.
기업은 이메일 계정 자격증명 탈취와 이메일 주소 스푸핑을 이용한 송금 사기(BEC)에 대비해 결제 요청 시 별도 채널을 통한 확인 절차를 마련해야 한다.
본문
공군 복무 중 미국 기업들을 상대로 BEC(비즈니스 이메일 침해, 이메일을 이용한 사기)와 피싱 캠페인을 벌인 두 남성이 총 189개월의 연방 교도소 형을 선고받았다.
공개된 문서와 선고 공판에서 제시된 증거에 따르면, 델라웨어 출신인 Chijioke Timothy Odimegwu(25)와 Harafat Mogaji(26)는 거의 2년에 걸쳐 미국 전역의 기업들에 스팸 및 피싱 이메일을 발송해 직원 이메일 계정의 아이디와 비밀번호를 훔쳤다.
이들과 공범들은 탈취한 자격증명과 함께, 피해자나 거래 파트너의 것처럼 보이도록 위조한 스푸핑 이메일 주소를 이용해 피해자들과 소통하며 결제금을 자신들이 관리하는 계좌로 돌렸다.
미국 내외 공범들과 함께 활동한 Odimegwu와 Mogaji는 아이오와주 아이오와시티의 한 피해자가 보낸 168만 달러 이상의 송금액을 시카고의 조직 관리 계좌로 빼돌렸다. 이들은 또한 오하이오주 피해자가 보낸 72만 달러 이상의 송금액도 가로챘다.
법무부(DOJ)는 보도자료에서 "Odimegwu와 Mogaji는 스팸 및 피싱 캠페인의 일환으로 아이오와주 펠라에 위치한 한 비영리단체 피해자의 신용카드 정보를 포함해, 금융 계좌 번호와 정보, 개인식별번호, 신용·직불카드 번호 등 금융 정보도 수집했다"고 밝혔다.
두 사람은 또한 공범들로부터 도난된 금융 정보를 구매하기도 했다. 이들은 서로 정보를 공유하며 피해자들 모르게, 승인 없이 거래를 시도하거나 실행하는 데 사용했다.
Odimegwu는 징역 111개월과 함께 366,617.59달러의 배상금 지급을 선고받았다. Mogaji는 78개월을 선고받았으며 995,680.45달러의 배상금 지급 명령을 받았다.
두 사람 모두 선고 후 구금되었다. 각자 형기를 마친 후 3년간의 보호관찰을 받게 된다.
FBI 오마하 지부의 특수요원 담당관인 Eugene Kowel은 "모든 배경을 가진 범죄자들이 우리의 디지털 시스템을 공격한다. 이들은 기업 네트워크부터 개인 스마트폰에 이르기까지 다양한 표적을 노린다. 어떤 사람도, 어떤 기기도 이러한 위협에서 자유롭지 않다"고 말했다.
Kowel은 "이번 사건은 우리 지역사회를 표적으로 삼는 사이버범죄자들에게 책임을 묻겠다는 것을 보여준다. 또한 모든 조직과 개인이 자신의 기기와 시스템을 보호하고 사기 수법을 인지하고 피하는 방법을 배워야 한다는 것을 상기시킨다"고 덧붙였다.
이는 최근 며칠 사이 미군 복무자가 사이버범죄로 처벌받은 두 번째 사례다. 전직 미 육군 병사인 Cameron John Wagenius(22)는 2024년 Snowflake 고객 계정을 해킹하고 AT&T를 포함한 통신사들로부터 데이터를 탈취한 조직에 가담한 혐의로 70개월의 징역형을 선고받았다.
