대기업일수록 대규모 도난 사건에 노출되기 쉽습니다. 작은 기업을 노리는 것보다 훨씬 큰 금액을 기대할 수 있기 때문입니다. 마이크로소프트도 예외는 아니었고, 실제로 한 전 직원이 회사에서 1천만 달러를 훔치면서까지 무고한 동료들에게 죄를 뒤집어씌운 사건이 있었습니다.
전 직원은 어떻게 마이크로소프트에서 돈을 훔쳤나
미국 법무부(DOJ)는 이번 사건에 대한 상세한 보고서를 공개했습니다. 사건의 주인공은 볼로디미르 크바슈크(Volodymyr Kvashuk)로, 마이크로소프트가 온라인 소매 판매 플랫폼 테스트를 위해 고용한 인물입니다. 이 업무 덕분에 그는 디지털 기프트카드를 손쉽게 다룰 수 있는 위치에 있었고, 결국 이 카드들을 자신의 이익을 위해 빼돌리기 시작했습니다.
기프트카드는 각종 사기 범죄에 악용되기로 악명이 높습니다. 일부 신용카드 사기 역시 피해자로 하여금 기프트카드를 구입해 암시장에서 되팔도록 유도하는 방식으로 진행되는데, 이는 은행 이체와 달리 기프트카드는 추적 흔적이 훨씬 적게 남기 때문입니다.
볼로디미르는 자신에게 시선이 집중되지 않도록 동료들을 방패 삼았습니다. 초기에는 5자리 금액, 즉 수만 달러 규모를 훔칠 때는 자신의 계정을 사용했지만, 금액이 커지기 시작하자 동료들의 테스트용 이메일 계정을 이용해 자신의 흔적을 감췄습니다. 사건 기록에 따르면 그는 무고한 사람들이 유죄로 보이게 만드는 일에 대해 아무런 양심의 가책도 느끼지 않는 것으로 나타났습니다.
기프트카드를 훔친 뒤에는 자신의 기술력을 활용해 흔적을 철저히 지웠습니다. 여기에는 '비트코인 믹싱 서비스'도 포함되어 있었는데, 이를 통해 훔친 재화를 암호화폐로 바꾸는 자금 세탁이 가능했습니다. 볼로디미르는 총 1천만 달러어치를 훔쳤고, 이 중 280만 달러는 개인 은행 계좌로 입금하는 데 성공했습니다.
그는 검거되기 전까지 이 자금으로 16만 달러짜리 차와 160만 달러짜리 수변 주택을 구입했습니다. 당시 연방검찰관 브라이언 모란(Brian Moran)은 다음과 같이 말했습니다.
고용주를 상대로 도둑질을 하는 것만으로도 충분히 잘못된 행위이지만, 훔친 뒤 동료들이 범인인 것처럼 꾸미면 피해는 금전적인 문제를 넘어 확대됩니다. 이 사건은 정교한 기술 역량이 요구되는 수사와 기소 과정을 필요로 했으며, 저희 법 집행 파트너들과 연방검찰청이 이러한 범죄자들을 정의의 심판대에 세울 역량을 갖추고 있다는 점이 다행입니다.
볼로디미르는 징역 9년형을 선고받았고, 마이크로소프트에 8,344,586달러를 배상하라는 명령도 함께 내려졌습니다. 여기에 출소 후 강제 추방 조치를 받을 가능성도 있습니다.
범죄자들의 안식처였던 암호화폐, 더 이상 안전하지 않다
볼로디미르의 전략 중 하나는 비트코인을 통해 자금을 세탁해 흔적을 숨기는 것이었습니다. 랜섬웨어 제작자들이 암호화폐를 선호한다는 인식 때문에 이 방법을 선택했을 가능성이 있습니다.
그러나 이번 사건은 암호화폐가 모든 행적을 완벽하게 가려주지는 못한다는 사실을 보여줍니다. 미국 국세청 형사수사국(IRS-CI) 특별수사관 라이언 L. 코너(Ryan L. Korner)는 다음과 같이 밝혔습니다.
간단히 말해, 오늘의 선고는 인터넷으로 돈을 훔치고 비트코인이 범죄 행위를 숨겨줄 것이라 믿어서는 안 된다는 사실을 증명합니다. IRS-CI 사이버범죄 부서의 지원을 받는 저희 사이버범죄 전문가 팀은 끝까지 추적해 여러분의 잘못된 행위에 대한 책임을 묻겠습니다.
따라서 이번 사건은 암호화폐를 이용해 정체를 숨기려는 사기 및 절도 범죄에 대한 법 집행기관의 본격적인 단속이 시작되는 신호탄이 될 수 있습니다.
마이크로소프트에겐 의미 있는 승리
볼로디미르가 마이크로소프트에서 막대한 금액을 빼돌렸지만, 도둑 본인 명의로 대부분의 금액이 배상될 예정이라는 점은 회사 입장에서 다행스러운 소식입니다.
게다가 이번 사건은 암호화폐를 사용한다고 해서 당국의 추적을 완벽히 피할 수 있는 것은 아니라는 경각심을 범죄자들에게 일깨워 준 사례이기도 합니다. 이번 판결을 계기로 사이버 범죄자들이 새로운 수법을 찾을지는 두고 볼 일입니다.
일부 사기꾼들은 큰 금액을 노리고 대기업을 표적으로 삼지만, 어떤 이들은 일반 대중을 상대로 대규모 사기를 시도하기도 합니다. 대표적인 예로, 성인 사이트에서 피해자를 촬영했다며 비밀을 유지하는 대가로 암호화폐를 요구하는 소위 '섹스토션(sextortion)' 사기가 있습니다.