미국 재무부 산하 해외자산통제실(OFAC)은 지난 1일(현지시각) 북한 해킹그룹 등 악성 사이버 행위자들에게 랜섬웨어 공격에 대한 피해 복구 비용, 이른바 몸값을 지불하는 것을 용이하게 하는 것이 제재 위반으로 이어질 수 있다고 경고하는 주의보(Advisory)를 발령했다.
미국의소리방송(VOA)에 따르면,OFAC는 신종 코로나바이러스 대유행 기간 동안 이같은 랜섬웨어 몸값 요구가 증가하고 있다면서 금융 기관, 사이버 보험회사 등이 피해자를 대신해 해커들에게 몸값을 지불하는 것을 용이하게 하는 기업들은 OFAC 규정을 위반할 위험이 있다고 경고했다.
몸값을 요구하는 사이버 행위자가 제재 대상일 수 있거나 제재 연관성이 있다고 판단할 이유가 있는 경우 몸값 지불을 용이하게 하는 행위가 야기할 제재 위반 위험을 설명하기 위해 이번 주의보를 발령했다고 OFAC는 설명했다.
OFAC는 랜섬웨어 공격 가해자 등 ‘수많은 악성 사이버 행위자’를 제재 대상자로 지정했다고 밝히며, 대표 사례 중 하나로 북한 해킹그룹 라자루스 그룹을 지목했다. 라자루스 그룹을 북한의 지원을 받는 사이버범죄 조직으로 2017년 5월 적어도 150개 국가의 약 30만 대의 컴퓨터를 감염시킨 워너크라이 2.0 (WannaCry 2.0)로 알려진 랜섬웨어 공격과 연관이 있다고 OFAC는 지적했다.
OFAC는 지난해 9월 라자루스 그룹과 하위 단체인 '블루노로프', '안다리엘' 등 3곳을 ‘특별지정 제재 대상 명단(SDN List)’에 추가했다.
OFAC는 제재 대상과 연관 단체에 몸값을 지불하는 것이 '국가안보 이익을 위협'하는 행위라고 경고했다. OFAC는 북한 해킹그룹 등에 대한 몸값 지불이 "미국의 국가 안보와 정책 목표에 반하는 활동을 후원하는 데 쓰일 수 있다"고 설명했다. 국제긴급경제권한법(IEEPA)과 적성국 교역법(TWEA)을 제시하면서 미국인과 단체들은 제재 대상자와 포괄적 제재를 받고 있는 북한 등과의 직간접적인 거래가 금지돼 있다고 명시했다.
OFAC는 특히 제재와 규제로 금지된 거래에 개입된 사실을 인지하지 못하고 있더라도 제재 위반 행위에 대해 민사 책임을 물을 수 있다고 경고했다.
특히 제재대상자와 북한 등 포괄적 제재대상국이 개입한 랜섬웨어 지불금 지급에 연루될 수 있는 기관들이 위험 기반 접근법을 적용한 제재 이행 프로그램을 실행해 제재 위반에 노출될 수 있는 위험성을 줄여야 한다고 OFAC는 주문했다.
박희준 글로벌이코노믹 기자 jacklondon@g-enews.com