미국 조지아주에서 가장 큰 카운티인 풀턴 카운티가 한 달 전 해커들에 의해 발생한 정부 시스템 손상을 아직까지 복구 중이다. 이 해커들은 사무실 전화선을 마비시키고, 차량 등록이나 결혼 증명서 발급을 불가능하게 만들었으며, 랜섬을 지불하지 않으면 도난당한 것으로 주장되는 민감한 데이터를 공개하겠다고 위협했다.
랜섬웨어 조직 록빗(LockBit)은 1월 말에 풀턴 카운티 정부 서비스를 일시적으로 마비시킨 사이버 공격의 책임을 주장했다. 이 그룹은 주민들의 개인 정보를 포함하여 온라인에 데이터를 덤프하겠다고 위협하며 지불을 요구했다. 또한, 이들은 전 대통령 도널드 트럼프에 대한 카운티의 계류 중인 형사 사건과 관련된 기록을 훔쳤다고 주장했다.
랜섬을 지불받을 확률을 높이기 위해, 랜섬웨어 그룹들은 네트워크 암호화 맬웨어를 활성화하기 전에 일반적으로 데이터를 도난한다. 일부 사이버 보안 분석가들은 풀턴 카운티 해커들이 실제로 트럼프 관련 파일을 소유하고 있는지에 대해 의문을 제기했다.
해커들의 마감일이 지난 목요일에 지났다. 이는 유럽과 미국의 법 집행 기관이 록빗의 작전을 방해하고 그룹의 시스템을 압수하며 해외에서 두 명을 체포한 후 2주도 채 되지 않아 발생했다.
단속 직후, 록빗은 다크 웹에서 다시 나타나 풀턴 카운티에 대한 위협을 갱신했다. 그러나 마감일이 지난 후에도 도난당한 데이터는 공개되지 않았으며, 카운티 관계자들은 지불을 거부했다.
풀턴 카운티 위원회 의장인 롭 피츠는 목요일 오후 기자들에게 “오늘 현재로서는 어떤 데이터도 공개된 것을 알지 못한다”고 말했다. “그렇다고 해서 위협이 끝났다는 의미는 아니다. 그들이 언제든지 — 오늘, 내일 또는 미래에 — 가지고 있는 데이터를 공개할 수 있다.”
피츠는 카운티 관계자들이 여전히 전화 서비스와 아직 다운된 온라인 시스템을 복구하기 위해 노력하고 있다고 말했다. 모든 카운티 사무실은 다시 문을 열고 주민들에게 최소한의 서비스를 제공하기 시작했다.
“우리는 어떤 랜섬도 지불하지 않았으며, 우리를 대신해 어떤 랜섬도 지불되지 않았다”고 피츠는 말했으며, 그의 짧은 발표 후 질문에 답하기를 거부했다.
풀턴 카운티 대변인은 금요일 추가 업데이트를 요청하는 이메일 메시지에 즉시 응답하지 않았다.
이 사이버 공격은 풀턴 카운티 지방 검사인 패니 윌리스가 2020년 조지아 대통령 선거 결과를 뒤집기 위한 노력으로 트럼프와 다른 이들에 대해 제기한 조직 범죄 사건을 기소하는 동안 발생했다.
해커들은 법원 서비스를 방해하여 법적 문서를 온라인으로 제출하는 시스템을 다운시켰지만, 윌리스는 트럼프에 대한 사건이 영향을 받지 않았다고 말했다.
“선거 사건과 관련된 모든 자료는 해킹되지 않았으며 무단 접근을 극도로 어렵게 만들어진 별도의 매우 안전한 시스템에 보관된다”고 윌리스의 사무실은 1월 30일 성명에서 말했다.
록빗은 FBI가 포함된 국제 법 집행 컨소시엄에 의해 2월 말에 크게 방해를 받았을 때 세계에서 가장 활발한 랜섬웨어 조직 중 하나였다. 단속 후, 많은 사이버 보안 전문가들이 록빗의 종말을 의미한다고 생각하는 가운데, 한 그룹 대변인은 당국이 말한 것처럼 심각하게 영향을 받지 않았다고 주장하는 장황한 성명을 발표했다.
록빗 대변인은 단속이 풀턴 카운티에서 도난당한 정보의 유출을 방지하려는 FBI의 욕망에 의해 동기부여되었다고 주장했다. 이 정보에는 “많은 흥미로운 것들과 다가오는 미국 선거에 영향을 줄 수 있는 도널드 트럼프의 법정 사건들이 포함되어 있다.”
사이버 보안 전문가들은 그 주장이 근거가 없을 가능성이 높다고 말하며, 크렘린궁이 용인하는 러시아어를 사용하는 운영인 록빗이 그러한 문서를 소유하고 있었을 가능성은 전혀 없다고 믿는다.
“저는 그 주장이 허위라고 생각한다”고 사이버 보안 회사 레드 센스의 수석 연구 책임자인 옐리세이 보후슬라브스키가 말했다.
그는 록빗이 지난 3년 동안 데이터 도난 주장을 가짜로 만들고 과장했으며, 다른 사람들이 얻은 데이터를 마치 자신들의 것인 양 발표했다고 말했다.
또 다른 가능성은 록빗이 법 집행 기관에 의한 방해로 도난당한 데이터에 대한 접근을 잃었을 수 있다는 것이다. 사이버 보안 회사 Emsisoft의 랜섬웨어 분석가인 브렛 캘로우는 전 트위터인 X에서 게시물을 통해 이렇게 말했다.
록빗은 2019년 운영을 시작한 이래 수천 명의 피해자로부터 1억 2천만 달러를 추출했으며, 지난해 전 세계적으로 거의 4천 건의 공격 중 23%를 차지하는 랜섬웨어 갱단이 도난당한 데이터를 공개하여 지불을 강요한 것으로 사이버 보안 회사 팔로 알토 네트웍스에 따르면 알려졌다.
사이버 보안 전문가들은 록빗이 브랜드로서 이제 죽음의 고비를 겪고 있을 수 있지만, 법 집행 압박을 받은 이전 랜섬웨어 그룹들과 마찬가지로 새로운 이름으로 재등장할 수 있다고 믿는다.
풀턴 카운티의 관계자들은 1월 27일 주말에 발생한 사이버 공격 이후 광범위한 중단을 보고했다. 카운티 경찰은 사건 보고서를 생성할 수 없었고, 보안관 사무실은 구금자를 처리하기 위해 종이 양식으로 전환해야 했다. 주민들은 온라인으로 카운티 유틸리티 요금을 지불할 수 없었으며, 인터넷을 사용하여 부동산 기록에 접근할 수 없었다. 사무원들은 결혼 증명서와 총기 허가증을 발급할 수 없었다.
“우리는 모든 풀턴 카운티 시스템을 복구하기 위해 노력하고 있으며, 일부 진전을 이루고 있다”고 카운티 의장인 피츠가 목요일에 말했다.
카운티 관계자들은 지난주에 수도 요금 지불 온라인 시스템이 복구되었지만, 재산세 지불 시스템은 아니라고 말했다. 카운티 이메일 시스템은 다시 온라인 상태가 되었고, 카운티 사무실의 전화선 절반 이상이 작동 중이다.
