"코인 내놔" 알라딘·입시학원 해킹한 고딩…203억 피해

/사진=임종철 디자이너

경찰청 사이버수사국이 올해 5월 인터넷서점 '알라딘' 등에서 해킹으로 전자책을 무단 취득하고 피해업체에 비트코인을 지급하지 않으면 이를 유포하겠다고 협박한 혐의를 받는 고등학교 2학년 학생 A군(16)을 검거했다고 21일 밝혔다. A군은 지난 7월 대치동 유명 입시학원인 '시대인재'의 강의 동영상도 해킹해 피해업체에 비트코인을 지급하라고 협박한 혐의도 있다.

경찰은 현재 고등학교 재학 중인 피의자 A군과 피해업체가 지급한 자금을 세탁하고 현금을 수거했던 B씨(29)와 C씨(25)를 구속했다. A군은 알라딘, 시대인재를 비롯해 다른 인터넷서점과 유명 학원 2곳을 추가로 해킹해 총 약 203억원의 피해를 입혔다.

A군(16)이 무단으로 획득한 전자책을 텔레그램 상에서 게시하고 판매하는 모습/사진제공=경찰청

경찰에 따르면 A군은 지난 5월 알라딘의 정보통신망의 취약점을 이용해 전자책 72만여권의 DRM(디지털저작권관리기술)을 해제할 수 있는 복호화키를 무단 취득했다. 그 중 전자책 5000권은 공갈 당시 DRM을 해제해 유포했다.

DRM은 디지털콘텐츠를 암호화해 권한을 가진자만 열람·접근할 수 있는 보안 기술을 뜻한다. 복호화키는 DRM을 해제해 암호화 이전 상태로 되돌릴 수 있는 비밀번호 같은 역할을 한다.

이 과정에서 A군은 알라딘에 당시 시세 기준 약 36억원의 비트코인을 지급하라고 협박했다. 알라딘은 추가 피해를 막고 피의자를 검거하기 위한 시간을 확보하기 위해 약 2억8800만원 규모의 비트코인을 A군에 주기로 했지만 거래소 시스템에 막혀 일부만 지급했다.

재협상을 진행해 알라딘은 A군에 7520만원을 현금으로 지급하기로 했다. A군은 텔레그램을 통해 비트코인을 환전해줄 B씨와 알라딘의 협상금을 수령할 C씨를 구했다. B씨와 C씨는 자신의 몫을 챙긴 후 약 8600만원을 A군에게 전달했다.

A군은 지난해 11월에도 이와 유사한 방식으로 또 다른 인터넷서점의 정보통신망에서 143만여권의 복호화키를 무단 취득했지만 별다른 공갈·협박은 하지 않았다.

유튜브로 '해킹 독학'한 고2…유명 입시학원 '인강'도 털었다

/사진=임종철 디자이너

A군의 해킹은 입시학원까지 이어졌다. 그는 지난 7월 '시대인재' 등 유명 입시학원 2곳의 강의 동영상 약 700개의 DRM을 해제해 유포한 뒤 피해 학원에 1억8000만원 상당의 비트코인 달라고 협박하기도 했다.

A군은 평소 DRM 해제 방법 등 각종 해킹 기술에 관심이 많았던 것으로 조사됐다. 그는 유튜브 등을 통해 프로그래밍 개발 능력을 키웠고 네트워크·서버 운영 방식을 이해하고 있어 범행을 저지를 수 있었다. 경찰 관계자는 "이같은 범행 방식은 처음"이라며 "(A군이) 해킹에 관심이 많아 습득능력이 뛰어났다"고 설명했다.

그는 오로지 인터넷 메신저만을 이용해 협박하고 공갈금액으로 비트코인을 요구했다. 인터넷을 쓸 때는 VPN(가상사설망)을 이용해 자신의 IP 주소를 세탁하는 등 추적이 어려운 수단만 사용하는 치밀함도 보였다.

경찰은 A군이 컴퓨터와 클라우드에 보관 중이던 전자책 복호화키를 전량 회수했다. 공갈 당시 유포된 전자책 5000권과 강의 동영상 약 700개 이외에 추가로 유포된 자료는 없었다.

경찰은 한국인터넷진흥원과 수사 초기 공동 분석해 공격방식, 취약점을 규명하고 DRM의 보안상 문제점을 피해업체에 공유했다. 문화체육관광부, 한국저작권보호원, 한국인터넷진흥원, 한국전자출판협회 등 관계기관 회의도 열어 추가적인 피해 방지를 위해 표준화된 전자책 보안 기술을 개발할 것도 권고했다.

경찰 관계자는 "앞으로도 전자저작물 유통 생태계의 존재를 위협하는 범죄에 대해 관계기관과 협업해 적극적으로 대응해 나갈 계획"이라고 말했다.