방글라데시 은행 강도

방글라데시 은행 사이버 강도로도 알려진 방글라데시 은행 강도 사건은 2016년 2월 발생한 절도 사건이다.^[1] 방글라데시 중앙은행인 방글라데시은행 소속 뉴욕 연방준비은행 계좌에서 미화 10억달러에 가까운 불법이체 명령을 SWIFT 네트워크를 통해 보안 해커들이 내린 35건의 사기성 지시가 나왔다. 35건의 거짓 지시 중 5건은 1억 1천만 달러를 송금하는데 성공했으며, 2천만 달러는 스리랑카로, 8천 1백만 달러는 필리핀으로 추적되었다. 뉴욕 연방준비은행은 잘못된 지시로 인해 제기된 의혹 때문에 8억 5천만 달러에 달하는 나머지 30건의 거래를 막았다.^[2] 스리랑카로 송금된 돈은 이후 모두 회수됐다. 그러나 2018년 현재 필리핀으로 송금된 8100만 달러 중 약 1800만 달러만이 회수되었다.^[3] 필리핀으로 송금된 돈의 대부분은 개인 계좌 4개로, 회사나 법인이 아닌 개인 계좌로 갔다.

배경

방글라데시의 중앙은행인 방글라데시은행은 다른 많은 국립은행들과 마찬가지로 방글라데시의 외환보유액을 예치, 유지, 이체하기 위해 뉴욕 연방준비은행과 계좌를 유지하고 있다. 성장하는 경제인 방글라데시의 외환보유액은 종종 수십억 달러에 이른다. 2020년 9월 현재 방글라데시의 외환보유액은 390억 달러다.^[4] 세계은행간금융통신협회(SWIFT) 네트워크는 외환계좌를 보유한 은행과 통화의 인출, 송금, 입금 등을 위해 통신하는 데 사용된다.

방글라데시 은행에 대한 2016년 사이버 공격은 이런 유형의 공격이 처음은 아니었다. 2013년 방글라데시 소날리 은행도 25만 달러를 없앨 수 있었던 해커들의 표적이 성공적으로 잡혔다.

두 사건 모두 가해자들이 대상은행 내부 인사들의 도움을 받아 은행의 SWIFT 글로벌 결제 네트워크 접속 약점 이용에 도움을 준 것으로 의심받았다.^[5][6]

이벤트

일부 직원의 개입 가능성을 포함한 방글라데시 중앙은행의 보안상의 약점을 이용하여,^[7] 범죄자들은 뉴욕 연방준비은행에 있는 방글라데시 은행의 계좌에서 9억5100만 달러를 훔치려고 시도했다. 이번 절도 사건은 2016년 2월 4~5일 방글라데시 은행의 사무실이 주말 동안 문을 닫았을 때 발생했다. 가해자들은 방글라데시 은행의 전산망을 위태롭게 하고, 어떻게 이체되는지 관찰하며, 이체 여부에 대한 은행의 자격증을 취득하는 데 성공했다. 그들은 이 자격 증명을 사용하여 뉴욕 연방준비은행에 대한 약 30건의 요청을 승인했다. 스리랑카와 필리핀의 계좌로 자금을 이체해 달라는 요청이었다.

8억5100만 달러 상당의 30건의 거래가 은행 시스템에서 직원 심사를 위해 플래그로 찍혔으나 2016년 2월 5일 스리랑카에 2천만 달러(^[8][9]회수 후), 필리핀에 8100만 달러(환수 후) 등 5건의 요청이 접수돼 동남아 국가 은행시스템에 진입했다. 이 돈은 카지노를 통해 세탁되었고 일부는 나중에 홍콩으로 송금되었다.

스트레이츠 타임즈에 실린 한 보도에 따르면, 수사관들은 범인들이 드라이덱스 악성코드를 공격에 사용했을 것으로 의심했다.^[10]

스리랑카로 자금 전환 시도

2000만 달러의 스리랑카 이적은 해커들이 스리랑카에 본사를 둔 민간 유한회사인 샬리카 재단에 보내려는 의도였다. 해커들은 자금을 이전해 달라는 요청에 "파운데이션"이라는 철자를 잘못 써넣어 자금조달이라는 단어의 철자를 썼다. 이 철자 오류는 방글라데시 은행으로부터 해명을 요구하다가 문제의 거래를 중단시킨 은행인 도이체 은행으로부터 의심을 받았다.^[8][11][12]

스리랑카에 본사를 둔 범아시아 은행은 처음에는 스리랑카 같은 나라에게 너무 큰 거래라고 언급하면서 이 거래를 주목했다. 이 변칙적인 거래를 도이체방크에 회부한 것은 범아시아은행이었다. 스리랑카 펀드는 방글라데시 은행에 의해 회수되었다.^[8]

필리핀으로 자금 전용

필리핀으로 송금된 돈은 리잘상업은행(RCBC)과 5개의 별도 계좌에 입금됐다. 그 후 이 자금은 외국환 브로커에게 이체되어 필리핀 페소로 전환되었고, RCBC로 반환되어 중국계 필리핀 사업가의 계좌로 통합되었다.^[13][9] 2016년 2월 5일부터 13일까지 전환되었다.^[14] 또 관련 미 달러화 계좌 4개가 이르면 2015년 5월 15일 RCBC에서 개설돼 뉴욕 연방준비제도이사회(Federal Federal Bank of New York)로부터 이체가 이뤄진 2016년 2월 4일까지 손대지 않은 것으로 파악됐다.^[14]

방글라데시은행은 2016년 2월 8일 중국 새해 들어 SWIFT를 통해 RCBC에 자금이 이미 이체된 경우 지급 중지, 환급, "유보 및 보류하라"고 통보했다. 중국 설날은 필리핀의 비근로 공휴일로 방글라데시 은행으로부터 비슷한 내용이 담긴 SWIFT 메시지가 하루 만에 RCBC에 접수됐다. 이때까지 약 5,815만 달러에 달하는 인출은 RCBC의 목성 거리(마카티 시티) 지사에서 이미 처리되었다.^[14]

2월 16일 방글라데시 은행장은 2016년 2월 4일 RCBC에 유리하게 발행된 SWIFT 지급지시가 사기라며 방코 센트랄 ng 필리피나스의 자금 회수 지원을 요청했다.^[14]

조사

방글라데시

처음에 방글라데시 은행은 시스템이 손상되었는지 불확실했다. 중앙은행 총재가 미국계 기업인 월드정보화(World Informatix) 사이버 시큐리티를 참여시켜 보안사고 대응, 취약성 평가 및 교정조치를 주도했다. 월드 인포매틱스 사이버 시큐리티는 법의학 조사 회사인 만디안을 불러 조사했다. 이 조사관들은 해커들의 "발자국"과 악성코드를 발견했는데, 이것은 시스템이 뚫렸음을 시사했다. 조사관들은 또한 해커들이 방글라데시 외곽에 근거지를 두고 있다고 말했다. 방글라데시 은행이 이번 사건과 관련해 내사에 착수했다.^[8]

방글라데시 은행의 법의학 조사 결과 2016년 1월경 은행 시스템 내에 악성코드가 설치된 것으로 밝혀져 국제결제 및 자금 이체를 위한 은행 운영 절차 정보를 수집했다.^[14]

이번 조사에서는 또 2013년 미해결된 소날리 은행 해킹 사건도 조사했는데, 소날리 은행에서는 아직 확인되지 않은 해커들에 의해 25만 달러가 도난당했다. 보도에 따르면 2016년 중앙은행 해킹 때와 마찬가지로 이번 도용은 SWIFT 글로벌 결제망을 이용한 사기성 자금 송금도 이용했다. 이 사건은 2016년 방글라데시 중앙은행 강도사건까지 방글라데시 경찰당국에 의해 냉혹하게 다루어졌다.^[15]

필리핀

필리핀 국립수사국(NBI)이 조사에 착수해 불법 자금 세탁에 핵심 역할을 한 것으로 알려진 중국계 필리핀인을 조사했다. NBI는 한국의 돈세탁방지협의회(AMLC)를 포함한 관련 정부 기관과 조율하고 있다. AMLC는 2016년 2월 19일부터 정킷 사업자와 연결된 은행 계좌에 대한 조사를 시작했다.^[14] AMLC는 이 사건과 관련하여 RCBC 지점장과 5명의 거짓 이름을 가진 알려지지 않은 사람들을 상대로 법무부에 돈세탁 고소장을 제출했다.^[16]

2016년 3월 15일 푸른 리본 위원회 및 자금세탁방지법에 관한 의회 감독위원회 위원장인 테오피스토 구잉고나 3세 상원의원이 이끄는 필리핀 상원 청문회가 열렸다.^[17] 이후 3월 17일 비공개 청문회가 열렸다.^[18] 필리핀 놀이게임공사(PAGCOR)도 자체 조사에 착수했다.^[8] 2016년 8월 12일, RCBC는 필리핀 중앙은행이 부과한 10억 파운드의 벌금의 절반을 지불한 것으로 보고되었다.^[19] 이에 앞서 은행은 기존 4명에서 7명으로 사외이사를 늘리는 등 이사회를 개편했다.^[20]

2019년 1월 10일, RCBC의 전 매니저인 마이아 산토스 데귀토는 돈세탁 혐의로 유죄를 선고받고 필리핀 법원에서 징역 4년에서 7년을 선고받았다.^[21] RCBC는 2019년 3월 12일 방글라데시 은행을 고소했다."^[22]

미국

미국계 기업인 파이어아이 맨디안트 포렌식 부문과 월드인포매틱스사이버시큐리티가 해킹 사건을 조사했다. 수사관들에 따르면 가해자들이 방글라데시 은행의 내부 절차에 익숙해진 것은 아마도 노동자들을 염탐하면서 얻은 것일 것이다. 미국 연방수사국(FBI)은 요원들이 최소한 한 명의 은행 직원이 공범으로 행동하는 것을 가리키는 증거를 발견했다고 보고했다. FBI는 또한 방글라데시 은행의 컴퓨터 시스템을 탐색하는 데 있어 해커들을 도울 가능성이 있는 몇 명의 사람들을 지목하는 증거가 있다고 주장했다.^[23] 방글라데시 정부는 도난당한 자금을 회수하기 위해 뉴욕 연방준비은행을 상대로 소송을 제기하는 방안을 검토해왔다.^[8]

미 연방수사국 북한 의혹

미국 연방검찰은 북한 정부와 도난사건 사이의 연관성을 밝혀냈다.^[24] 이 보도에 따르면 미국 검찰은 이 절도 사건이 북한 정부의 지원을 받은 범죄자들에 의해 자행된 것으로 의심하고 있다. 보고서는 또 이번 혐의에 포함시킬 중국 중간인사들도 포함돼 있으며 이들은 필리핀으로 자금이 전용된 후 자금 이체를 용이하게 했다고 밝혔다.^[25]

시만텍과 BAE시스템즈 등 일부 보안업체들은 세계에서 가장 적극적인 국가지원 해킹집단으로 꼽히는 북한 소재 라자러스그룹이 이번 공격의 배후일 가능성이 크다고 주장했다. 이들은 방글라데시 하이스트에서 사용된 방법과 2014년 소니 픽처스 엔터테인먼트의 해킹과 같은 다른 사례의 방법들 간의 유사성을 언급하고 있는데, 이는 미국 관리들이 북한 탓이기도 하다. 사이버보안 전문가들은 2017년 5월 전 세계 컴퓨터 수십만 대를 감염시킨 워너크라이 랜섬웨어 공격의 배후에는 라자러스 그룹도 있었다고 말한다.^[26]

사이버보안청은 2016년 방글라데시 은행 해킹을 비글보이즈로 돌린 'FASTCASH 2.0: 북한 비글보이즈 로빙 뱅크스'를 발령했다. 소속사는 비글보이즈가 북한 정부 정찰총국 산하 위협 행위자 단체라고 주장했으며, 2014년부터 활동해왔다.[27]

리처드 레젯 미 국가안보국(NSA) 부국장도 "소니 배우에서 방글라데시 은행 배우로의 연계가 정확하다면 이는 한 국가가 은행을 털고 있다는 의미"라고 말한 것으로 전해졌다.^[28]

미국은 방글라데시 은행 해킹 혐의로 북한 컴퓨터 프로그래머를 기소했다. 같은 프로그래머도 워너크라이 2.0 바이러스, 2014년 소니픽처스 공격과 관련해 입건됐다.^[29]

기타 공격

컴퓨터 보안 연구원들은 이번 절도 사건을 11건의 다른 공격과 연계시켰으며, 만약 사실이라면 국가 행위자가 사이버 공격을 이용해 자금을 가로챈 최초의 사건이 될 것이라고 주장했다.^[30][31]

연결된 조직의 대응

리잘 상업은행(RCBC)은 이번 사건에 연루된 RCBC 지점의 불법행위를 묵인하지 않았다고 밝혔다. 로렌초 5세 탄 RCBC 총재는 이 문제와 관련해 은행이 자금세탁방지위원회와 방코 센트랄 ng필리피나스와 협력했다고 말했다.^[32] 탄 씨의 법률 변호사는 RCBC 주피터 스트리트 지점장에게 돈세탁 사기에 사용된 가짜 은행 계좌에 대한 설명을 요청했다.^[33]

RCBC의 이사회는 또한 은행의 자금세탁 사기 연루에 대한 별도의 조사에 착수했다. RCBC 사장 로렌초 5세 탄씨는 이 사건에 대한 당국의 조사에 자리를 양보하기 위해 무기한 휴직을 신청했다.^[34][35] 2016년 5월 6일, 은행 내부 조사로부터 어떠한 위법 행위도 무혐의 처리되었음에도 불구하고, 탄은 이 사건에 대한 "전적인 도덕적 책임을 지기 위해" RCBC 총재직을 사임했다.^[36][37] RCBC 설립자 알폰소 유청코의 딸인 헬렌 유청코-데가 은행 업무를 인수한다. 은행도 강도 사건에 연루된 것에 대해 국민에게 사과했다.

필리핀 RCBC 직원의 중앙은행 강도사건과 그에 따른 자금세탁이 조사되고 있는 가운데 방글라데시 은행장 아티우르 라흐만이 사임했다. 그는 2016년 3월 15일 셰이크 하시나 총리에게 사직서를 제출했다. 사표가 공개되기 전 라만은 조국을 위해 사임을 하겠다고 밝혔다.^[38] 사임 후 라만은 1년 전 사이버 보안 취약점을 예견했고 은행의 방화벽, 네트워크, 전반적인 사이버 보안을 강화하기 위해 미국의 사이버 보안 회사를 고용했다고 주장하면서 자신을 변호했다. 그러나 그는 이 보안회사가 사이버 강도 사건 이후까지 방글라데시에서 영업을 시작하지 못하게 한 것은 관료주의적 장애물 때문이라고 비난했다.^[39]

2016년 8월 5일, 방코 센트랄 ng필리피나스는 은행 강도사건과 관련해 은행법과 규정을 준수하지 않은 것에 대해 RCBC에 10억 달러(5292만 달러)의 벌금을 부과하기로 승인했다. 이는 BSP가 어떤 기관에 대해 승인한 사상 최대 규모의 벌금이다. RCBC는 BSP의 결정에 따라 은행이 부과된 벌금을 지불할 것이라고 밝혔다.^[40]

방글라데시 은행은 도난당한 돈을 회수하기 위한 노력을 계속했고, 주로 메트로 마닐라에 기반을 둔 게임 정킷 운영자로부터 약 1,500만 달러를 회수했을 뿐이다. 2019년 2월 연방준비제도이사회(FRB)는 방글라데시 은행의 자금회복을 돕겠다고 약속했고 SWIFT도 중앙은행의 인프라 재건을 돕기로 했다. 방글라데시 중앙은행도 RCBC가 2019년 초 미국 뉴욕 남부지법에 필리핀 은행을 '대규모 음모'로 고발한 사건과 관련해 소송을 제기한 데 공모했다고 봤다. 이에 대해 RCBC는 방글라데시은행의 주장이 근거가 없다고 보고 방글라데시은행을 명예훼손 혐의로 고소했다.^[41]

여파

이 사건은 필리핀을 돈세탁에 대해 불충분한 노력을 기울인 국가들의 '돈세탁에 관한 금융조치 태스크포스(TF)'에 복직시키겠다고 위협했다.^[42] 2012년 국회의원들이 돈세탁방지위원회에 신고해야 할 단체 명단에서 카지노를 제외하면서 필리핀 당국의 돈세탁방지 노력이 약화될 수 있다는 점에 주목했다.

이 사건은 또한 사이버 범죄자들이 실제 은행 허가 코드를 사용하여 주문을 진짜처럼 보이게 하는 것에 의한 정부와 민간 기관 모두에 대한 사이버 공격의 위협을 강조하였다. SWIFT는 SWIFT Alliance Access 시스템을 사용하는 은행들에게 사이버 보안태세를 강화하고 SWIFT 보안지침을 준수할 것을 권고했다. 실시간으로 운영되는 카스퍼스키랩이 개발한 사이버 위협지도에 따르면 방글라데시는 20번째로 사이버 공격을 많이 받는 국가인 것으로 알려졌다.^[43]

참고 항목

• 제로 트러스트 보안 모델

참조

외부 링크

• 해킹당한: 방글라데시 은행 하이스트. 알자지라 영어, 2018년 5월 (영상, 25분)
• 레자로스 하이스트 10부 팟캐스트 시리즈