BTS·대기업 회장까지 턴 유심 범죄…부정 개통 이어 복제도 있었다 [세상&]

21일 오규식 서울경찰청 사이버수사과 경정이 브리핑을 열고 사건 범행 개요도를 설명하는 모습. 정주원 기자

[헤럴드경제=정주원 기자] 중국 해킹조직의 ‘유심 부정개통’ 사건으로 알려졌던 700억원대 금융·가상자산 탈취 범죄의 전모가 1년 만에 더 커졌다. 지난해 경찰이 부정개통 조직 총책을 붙잡아 송치했지만 수사를 이어가면서 같은 총책이 별도의 ‘유심 복제’ 조직까지 운영한 사실이 새롭게 드러났고 피해 규모와 범죄 사실도 확대됐다.

서울경찰청 사이버수사과는 21일 종로구 청사에서 브리핑을 열고 유심 복제·부정개통 방식으로 금융·가상자산을 탈취한 해외 기반 해킹조직 총책 A·B씨 등 32명을 검거했다고 밝혔다. 이 가운데 10명이 구속됐으며 공동총책 A씨는 22일 구속 송치된다. 지난해 먼저 송치됐던 공동총책 B씨는 기존 유심 부정개통 혐의에 더해 유심 복제 총책 혐의가 추가 적용됐다.

경찰에 따르면 이미 송치된 조직원 30명은 유심 복제 조직과 유심 부정개통 조직으로 나뉘어 활동했다. 지난해에는 부정개통 범죄만 확인돼 총책 B씨가 먼저 재판에 넘겨졌지만 이후 포렌식과 빅데이터 교차분석 과정에서 A·B 두 사람이 과거 유심 복제 사건의 공동총책이었다는 사실이 추가로 확인됐다.

경찰은 이번 송치가 A씨의 18개 혐의 전건 송치와 B씨의 유심 복제 혐의 추가 송치 성격이라고 설명했다.

조직은 2022년 5월부터 올해 4월까지 약 3년간 활동했다. 경찰은 이번 사건을 “본인확인 체계와 정보통신 기반 자체를 흔든 신종 범죄”라고 규정했다.

경찰이 파악한 전체 해킹 피해자는 271명이다. 이 가운데 실제 금전 피해는 28명에게 발생했고 피해 규모는 총 734억원(기수 484억원·미수 250억원)에 달했다.

피의자 A씨가 태국 현지에서 경찰 조사를 받는 모습. [서울경찰청 제공]

세부적으로 보면 범행은 두 갈래였다. 먼저 ‘유심 복제’ 범죄는 2022년 5월~2023년 6월 진행됐다. 총책들은 이동통신사(MNO) 이용자 13명의 유심 고유 비밀정보를 비어있는 유심에 복제해 ‘쌍둥이 유심’을 만들고 피해자 휴대전화인 것처럼 기기 변경 인증을 받아 OTP(일회용 비밀번호)와 인증문자를 가로챘다. 이를 통해 피해자 4명의 가상자산 계정에 침입해 약 89억원을 탈취했다.

이후 통신사가 비정상 인증 차단 시스템을 도입하자 조직은 우회로를 찾았다. 2023년 7월부터는 ‘유심 부정개통’ 방식으로 전환했다. 알뜰폰 사업자 12곳의 비대면 개통 시스템 취약점을 해킹해 피해자 명의 유심 122개를 무단 개통했고 공공·민간 사이트 10곳을 해킹해 금융정보와 인증수단을 확보했다. 그 결과 24명의 금융기관·가상자산 계정에 침입해 395억원을 탈취하고 추가로 250억원 상당을 빼내려다 차단됐다.

금전 피해를 본 21명 중 기업 회장·대표·임원은 10명, 연예인·인플루언서 3명, 가상자산 투자자는 3명이다. 미수 피해자 7명 가운데도 기업인 4명과 연예인 1명, 가상자산 투자자들이 포함됐다.

총책들은 범행 대상을 치밀하게 선정했다. 한국 언론보도를 관찰하며 수감자·군복무자·해외 체류자·사망자 등 즉각 대응이 어려운 재력가를 선별했다. 경찰이 압수한 총책들의 대화 내용에는 “갑자기 사망했다는 말은 코인을 가족에게 주지 못했다는 말이지”라며 대상자를 물색하는 내용이 포함됐다.

이들로부터 개인정보가 해킹된 피해자 271명의 금융정보 잔액은 총 55조2200억원으로 파악됐다. 경찰은 총책들이 거액 자산을 노리고 범행 대상을 선별했다고 보고 있다.

범행 구조는 치밀했다. 조직은 총책·관리책·행동책·세탁책으로 분업화돼 있었다. 총책은 유심 정보 확보·사이트 해킹·계정 침입·신분증 위조·자금세탁을 총괄했고 관리책은 행동책 모집과 연결 역할을 맡았다. 행동책은 유심 복제와 휴대전화 개통·인증문자 수신을 담당했고 세탁책은 가상자산 전송과 현금화를 맡았다.

경찰이 공개한 범행 개요도에 따르면 유심 복제 조직은 총책이 유심 비밀정보 제공→ 행동책이 복제 장비로 ‘쌍둥이 유심’ 제작→ 기기변경 인증→ 인증정보 전달→ 가상자산 탈취→ 세탁·분산 송금 순으로 움직였다.

이번 사건 범행에 이용된 도구 중 하나인 비어있는 유심의 모습. [서울경찰청 제공]

유심 부정개통 조직은 더 복잡했다. 민·관 사이트와 알뜰폰 사업자, 본인인증기관 취약점을 연쇄 해킹해 개인정보·전자서명·공동인증서를 확보하고 이를 결합해 피해자 금융계좌와 가상자산 거래소에 침입했다.

경찰은 이를 “기존 열쇠를 몰래 복사하거나 남의 신분으로 새 열쇠를 만들어달라고 요청하는 것과 같다”고 비유했다.

수사는 국제공조로 이어졌다. 경찰은 첨단 사이버 추적기법으로 총책 B씨를 특정한 뒤 태국 입국 첩보를 입수해 인터폴·태국 경찰과 합동작전을 벌였다. 지난해 5월 방콕 은신처에서 B씨를 먼저 검거했고 함께 있던 A씨는 불법체류자로 구금됐다. 이후 포렌식과 기존 사건 빅데이터 교차분석으로 두 사람이 과거 유심 복제 사건의 공동총책이라는 사실까지 확인했다.

B씨는 지난해 국내 송환돼 이미 재판받고 있다. A씨는 한국행을 거부했지만 수사팀이 두 차례 현지 면담 끝에 범죄인 인도 절차를 진행해 지난 13일 국내 송환했다.

조직 피의자들이 보안 메신저로 대화 나눈 것을 재구성한 이미지. [서울경찰청 제공]

이번 수사는 총 1438일 동안 진행됐다. 경찰 수사관 55명이 투입됐고 압수수색·검증영장 531건, 해외 출장 7회가 이뤄졌다. 경찰은 지급정지와 금융기관 이상 거래 탐지 등을 통해 213억원을 피해자들에게 돌려줬다.

경찰은 또 이번 수법을 인터폴 ‘보라색 수배서’로 공유하고 알뜰폰 사업자 보안 강화와 비정상 인증 차단 시스템 도입을 이끌었다. 경찰은 유심 비밀정보 유출 경로와 통신사 서버 연관성 여부에 대해서도 수사를 이어갈 방침이라고 밝혔다.