회사 데이터를 훔친 해커와 대신 협상해 주는 사람이, 그 해커의 협박 사이트 운영도 도왔다면 누구를 위한 협상일까. 보안 전문 매체 KrebsOnSecurity는 2026년 10월 19일 미국 연방 수사당국이 샤이니헌터스(ShinyHunters)와 몸값 협상업체 임원들의 밀접한 관계를 조사하고 있다고 보도했다. 미국의 한 컨설팅업체 임원은 피해 기업을 압박하는 사이트 운영에 관여했다는 의심을 받고 있다.
이 미국 업체와 임원은 아직 기소되지 않았고 원문도 이름을 공개하지 않았다. 별도로 캐나다 보안업계 임원 에드워드 두브로브스키는 탈취 자료 공개 협박과 갈취를 통한 주(州) 간 상거래 방해 혐의로 기소됐다. 협상 과정에서 범죄자와 접촉하는 일, 고객 몰래 범죄자를 돕는 일, 몸값 규모에 따라 보수를 받는 계약은 각각 구분해서 봐야 한다.
피해 기업을 협상장으로 끌어들인 사이트
보도에 등장하는 샤이니와이어(Shinywire)는 피해 기업에 연락과 협상을 요구하는 웹사이트였다. KrebsOnSecurity에 따르면 2026년 5월 초부터 10월 16일 무렵까지 운영됐으며, 거의 100개 조직에 관한 항목이 올라왔다. 탈취 파일의 견본을 보여 주고, 요구를 무시하면 자료를 공개하겠다고 압박했다. 돈을 받고 파일 복구를 돕는 지원 창구가 아니라, 유출 사실을 협상 압력으로 바꾸는 장치였다.
공개된 홈페이지 화면에는 조용하고 우호적으로 해결하자는 문장과 함께, 좋든 나쁘든 약속을 실행한다는 경고가 나란히 적혀 있다. 원문은 피해 기업이 7일 동안 접촉하거나 협상하지 않으면 토르(Tor) 네트워크의 유출 사이트에 자료가 공개되는 방식이었다고 설명한다. 서버를 암호화하지 않아도, 이미 복사한 개인정보를 공개하겠다는 협박만으로 돈을 요구할 수 있다.
수사 관계자들이 전한 의혹은 단순히 협상가가 해커를 잘 안다는 수준을 넘어선다. 체포된 용의자의 시그널 대화에서, 협상업체 임원들이 피해 기업 스스로 침해를 알아차리기 전에 관련 정보를 알고 있었다는 정황이 나왔다는 것이다. 사실로 입증된다면 고객 대신 가격을 깎는 역할과 고객에게 돈을 내도록 압박하는 역할이 겹친 셈이다. 지금 단계에서는 이를 수사 취재원이 전한 의혹으로 읽어야 한다.
지급액에 비례하는 수수료는 무엇을 보상하나
범죄 공모가 없어도 계약 자체에서 이해충돌이 생길 수 있다. 사이버보험사들이 만든 업계 조직 CyberAcuView의 마크 카밀로 대표는 원문 인터뷰에서 일부 업체는 고정 보수를 받지만, 몸값 지급 협상을 전문으로 하는 업체들은 최종 지급액의 일정 비율을 받는다고 설명했다. 그 비율과 비용이 고객에게 항상 공개되는 것도 아니라는 지적이다.
수수료율이 같으면 지급액을 낮출수록 협상가의 보수도 줄어든다. 피해 기업은 덜 내고 싶어 하는데 대리인의 수입은 더 많이 지급할수록 커지는 구조다. 큰 금액의 암호화폐를 조달하고 거래 위험을 부담하는 데 비용이 든다는 업체 측 논리도 원문에 담겼다. 그렇다면 협상 보수와 암호화폐 조달 비용을 나눠 보여 줘야 고객이 무엇에 돈을 내는지 판단할 수 있다. 특정 수수료율이나 이 기사에 등장하는 모든 업체의 계약이 공개된 것은 아니다.
지급을 말리는 조언이 공격자에게 불리하다는 점은 별도의 대화 기록에서도 드러난다. KrebsOnSecurity가 공개한 텔레그램 화면에서 샤이니헌터스 계정은 Coveware가 아니었으면 여러 회사가 돈을 냈을 것이라며 불만을 표한다. Coveware의 조언을 ‘잘못된 정보’라고 부른 것은 공격자다. 이를 피해 기업이 받은 조언의 정확성에 대한 평가로 받아들일 이유는 없다.
기소된 사건과 선고된 사건은 따로 봐야 한다
미 법무부가 10월 7일 공개한 MonsterCloud 대표 조하르 핀하시 사건은 비용을 숨기는 문제가 어떻게 벌어질 수 있는지 보여 준다. 검찰은 업체가 몸값을 내지 않고 자체 기술로 복호화한다고 홍보했지만, 실제로는 고객 몰래 공격자에게 돈을 내고 복호화 키를 받았다고 주장한다. 기소장에 제시된 2023년 8월경 한 사례에서는 공격자에게 약 8,200달러를 지급하고 고객에게는 약 15만 달러를 청구했다.
두 금액의 차이 전부를 순이익이라고 계산할 수는 없다. 검찰이 문제 삼은 것은 비용 차이만이 아니라, 공격자에게 지급하지 않는다는 설명과 실제 행동이 달랐다는 혐의다. 핀하시 사건은 기소 단계다. 앞서 나온 샤이니와이어 운영 의혹과도 별개의 사건이다.
반면 협상가 안젤로 마르티노는 2026년 7월 9일 징역 70개월을 선고받았다. 법무부에 따르면 그는 고객의 협상 입장과 전략을 BlackCat 공격자에게 넘기고 대가를 받았다. 고객이 얼마까지 낼 수 있는지에 관한 비밀이 상대방에게 전달되면, 협상가는 피해를 줄이는 사람이 아니라 더 많은 돈을 받아 내도록 돕는 내부자가 된다. 이 사건의 선고 사실을 다른 협상업체에 대한 유죄 판단으로 넓혀서는 안 된다.
복구 계약에서 고객이 볼 수 있어야 할 것
피해 기업은 사고 직후 서비스 복구를 서둘러야 한다. 보험사가 지정한 대응업체에 맡기고, 그 업체가 제시한 총액만 보고 결정하기 쉽다. 원문은 몸값 지급을 중개하지 않는 대응업체가 지급을 원하는 고객에게서 교체되는 업계 사정도 짚는다. ‘지급하지 않는 편이 낫다’는 판단이 업체의 일감을 줄이는 환경이라면, 계약을 맺기 전에 지급 여부와 무관한 자문을 어떻게 보장할지 물을 필요가 있다.
계약을 검토할 때는 복구 작업비, 협상 보수, 실제 몸값과 암호화폐 거래 비용을 구분해 볼 수 있는지부터 물을 수 있다. 최종 지급액에 연동되는 항목이 있는지, 공격자와 주고받은 메시지를 고객이 보관할 수 있는지, 송금 승인권자가 누구인지도 정해야 한다.
돈을 보냈다는 기록과 데이터가 지워졌다는 사실도 다르다. FBI는 5월 15일 샤이니헌터스 관련 경보에서 탈취 자료가 재판매되거나 후속 공격에 재사용될 수 있다고 경고하고, 직접 협박을 받으면 지급하거나 요구에 응하지 말라고 권고했다. 복호화 키로 파일을 다시 열었다고 해도 공격자가 갖고 있는 사본까지 회수한 것은 아니다. 복구 완료를 확인할 때는 시스템을 되살린 범위와 유출 자료에 남은 위험을 따로 기록해야 한다.
출처: KrebsOnSecurity, 10월 19일 보도 · 미 법무부, MonsterCloud 기소 · 미 법무부, 마르티노 선고 · FBI, 샤이니헌터스 경보