경찰, KillSec 운영 의심 16세 체포…랜섬웨어 유출 사이트와 서버 압수

한 줄 요약

스페인 경찰이 랜섬웨어 조직 KillSec을 운영한 혐의로 16세 청소년을 체포했습니다. 이 청소년은 조직의 주범으로 지목됐으며, 함께 영국과 루마니아에서 각각 20대 남성 1명씩도 체포됐습니다. 독일 함부르크 경찰과 유로폴 등이 주도한 이번 공동 작전으로 KillSec의 유출 사이트와 서버 5대가 압수됐고, 데이터 110테라바이트 이상이 보호 조치됐습니다. KillSec은 취약점과 허술한 클라우드 접근 통제를 악용해 조직에 침입한 뒤 민감 정보를 빼내 몸값을 요구했으며, 전 세계적으로 약 1,000건의 공격을 시도해 그중 약 500건이 성공한 것으로 조사됐습니다. 수사는 아직 진행 중이며 추가 피해자와 공범이 드러날 가능성이 있습니다.

사건

독일·스페인·유로폴 등이 공동 수사해 랜섬웨어 조직 KillSec의 핵심 인물로 추정되는 16세를 포함해 3명을 체포하고 유출 사이트와 서버를 압수했다.

영향

전 세계 약 1,000건의 공격 중 약 500건이 성공했고 확인된 피해자는 280명 이상이며, 일부는 실제로 몸값을 지불한 것으로 파악됐다.

원인

KillSec은 소프트웨어 취약점과 허술하게 보호된 클라우드 저장소 등 접근 지점을 악용해 조직에 침입한 뒤 내부 데이터를 빼냈다.

대응

수사당국이 KillSec의 주요 서버 5대를 차단하고 도메인 5개에 압수 통지를 걸었으며, 압수한 장비·데이터와 가상자산 흐름을 분석해 추가 피의자를 추적 중이다.

실무 포인트

KillSec은 2023년부터 랜섬웨어 서비스형(RaaS) 모델로 전환해 제휴자에게 도구를 제공했으므로, 기업은 클라우드 저장소 접근 통제와 자격증명 관리, 취약점 패치를 점검해야 한다.

본문

스페인 경찰이 랜섬웨어 조직 KillSec을 운영한 것으로 의심되는 16세 청소년을 체포했다. KillSec은 조직들로부터 데이터를 탈취한 뒤, 몸값을 지불하지 않으면 자신들의 유출 사이트에 공개하겠다고 협박한 혐의를 받고 있다.

이 16세 청소년은 9월 30일 체포된 3명 중 한 명이며, 같은 날 경찰은 해당 사이트에 대한 통제권도 확보했다.

수사당국은 그를 KillSec의 관리자로 추정되는 인물이자 주요 운영자로 지목했다고 함부르크 경찰이 10월 1일 밝혔다. 이번 작전은 함부르크 경찰과 검찰이 주도했다.

스페인 경찰 조직인 Guardia Civil과 Mossos d'Esquadra는 알리칸테에서 그를 체포하고, 해당 주의 한 주택과 호텔 내 사무실을 수색했다. elperiodic.com이 전한 이들의 공동 성명은 그를 조직의 관리자 중 한 명이자 추정되는 주요 관리자로 지칭했다.

나머지 체포된 2명은 20대로, 한 명은 영국에서, 다른 한 명은 루마니아에서 체포됐다고 유럽연합 경찰기구인 유로폴(Europol) 대변인이 로이터에 밝혔다.

푸에르토리코 주재 미국 검찰과 FBI 산후안 지부도 이번 작전에 참여했다. 유로폴 대변인에 따르면 푸에르토리코는 영국에서 체포된 남성에 대한 신병 인도를 요청했다.

루마니아에서는 조직범죄·테러 담당 수사기관인 DIICOT 검찰이 9월 30일 24세 남성을 체포하고 부쿠레슈티와 바슬루이주에서 주택 4곳을 수색했다. 신문 Bursa가 전한 DIICOT 성명에 따르면 그는 범죄조직 결성, 컴퓨터 시스템 불법 접근, 무단 컴퓨터 데이터 전송, 장비·소프트웨어 불법 운용, 협박 혐의로 수사받고 있다.

10월 1일 검찰은 부쿠레슈티 법원에 그를 30일간 구금해 달라고 요청했다. 그는 무죄로 추정된다. 함부르크 경찰은 이번 3건의 체포를 모두 잠정적인 것이라고 설명했다.

수사당국은 관리자, 개발자, 협상가, 제휴자 등 4가지 역할의 피의자를 특정했다. 제휴자란 조직의 랜섬웨어 도구를 이용해 공격을 수행하는 외부 협력자를 말한다.

개발자로 추정되는 인물은 8월에 18세가 됐으며, 일부 혐의 행위 당시에는 미성년자였다. 로이터에 따르면 그의 신원은 특정됐지만 아직 체포되지는 않았다.

함부르크 경찰과 DIICOT 모두 영국과 루마니아에서 체포된 남성들이 어떤 역할을 맡았다고 의심되는지는 밝히지 않았다.

경찰은 스페인, 그리스, 영국, 루마니아에서 총 8건의 수색을 진행했다. 유출 사이트를 장악하면서 최소 110테라바이트의 데이터를 추가 무단 접근으로부터 보호 조치했다.

수사 과정에서 함부르크 수사관들은 KillSec의 주요 서버를 포함해 서버 5대의 가동을 중단시켰으며, 이 중 다수는 피해자들로부터 탈취한 데이터를 보관하는 데 쓰였다. 또한 조직의 도메인 5개에 경찰 압수 통지를 걸었다.

스페인에서는 수사관들이 컴퓨터 장비, 휴대전화, 가상자산 지갑을 압수했다. 스페인 경찰에 따르면 1차 분석 결과 일부 피해자의 몸값 지불과 일치하는 거래 내역이 확인됐다.

Guardia Civil의 수사는 2025년 FBI 푸에르토리코 산후안 지부와의 협력으로 시작됐으며, 스페인에 거주할 가능성이 있는 KillSec 관련 인물을 찾기 위한 것이었다. 단 하나의 프로필 사진에서 출발해 수사관들은 알리칸테주에 거주하던 해당 피의자를 특정했다.

Mossos d'Esquadra는 2025년 초 카탈루냐의 한 조직을 겨냥한 공격이 KillSec의 소행으로 의심되자 별도의 수사를 개시했다. 피해 규모는 약 100만 유로에 달하는 것으로 추산됐다.

여러 국가의 당국은 2025년 초부터 KillSec의 소행으로 지목된 공격들을 수사하기 시작했다. 유로폴과 EU 사법협력기구인 유로저스트(Eurojust)가 이 작업을 조율했으며, 보안기업 Bitdefender와 Group-IB가 수사를 지원했다.

KillSec은 어떻게 피해자를 협박했나

함부르크 경찰에 따르면 KillSec은 소프트웨어 취약점과 허술하게 보호된 접근 지점, 특히 클라우드 저장소를 악용해 조직에 침입했다. 이후 조직원들은 민감한 내부 데이터를 자신들이 통제하는 서버로 복사했다.

이 조직은 다크웹 유출 사이트에 피해자 명단을 공개하고, 몸값을 지불하지 않으면 데이터를 공개하겠다고 위협했다. 피해자가 몸값을 지불하지 않을 경우 탈취한 파일을 무료로 다운로드할 수 있도록 공개하기도 했다.

이번 수사는 전 세계적으로 약 1,000건의 공격 의심 사례를 다루고 있다. 지금까지 약 500건이 성공한 것으로 파악됐으며, 수사관들이 압수한 증거를 분석함에 따라 두 수치 모두 바뀔 수 있다.

수사관들은 또한 이 조직이 AI를 활용해 자신들의 인프라를 구축·운영하고 잠재적 피해자를 식별한 방식도 밝혀냈다고 함부르크 경찰이 밝혔다. 다만 성명에는 추가적인 세부 내용은 담기지 않았다.

DIICOT 검찰은 조직원들이 다크웹에서 판매되는 접근 자격증명을 구매했으며, 피해자에게 그들 자신의 데이터 샘플을 보내 증거로 제시하고, 몸값을 지불하지 않으면 데이터를 다른 범죄조직에 팔겠다고 위협했다고 밝혔다.

스페인 경찰은 피해자 수를 280명 이상으로 집계했다. 유로폴은 로이터가 인용한 성명에서 이 조직이 "상당한 금액의 몸값을 받아냈다"고 밝혔다.

관계 기관들은 KillSec을 랜섬웨어 조직으로 지칭하고 있지만, 이들이 설명하는 행위는 데이터 탈취와 협박에 해당한다.

보안기업 Rapid7은 2025년 보고서에서 KillSec이 적어도 2021년부터 활동한 핵티비스트(해킹을 이용한 사회·정치적 행동주의) 그룹으로 시작해 2023년 10월 랜섬웨어로 전환했다고 밝혔다. 이 조직의 랜섬웨어인 KillSecurity 2.0과 3.0은 파일을 암호화하도록 설계됐지만, 일부 사건에서는 탈취한 데이터만으로 피해자를 협박하기도 했다. 2024년 6월부터는 제휴자들에게 랜섬웨어를 제공하기 시작했는데, 이는 랜섬웨어 서비스형(ransomware-as-a-service)으로 알려진 방식이다.