현금인출기에서 내가 원하는만큼 돈이 나온다... 美 법무부, 배네수엘라 해킹 조직 기소

ATM 턴 돈, 테러·마약·인신매매 자금줄로...유죄 시 최대 335년 징역

[보안뉴스 김형근 기자] 미국 법무부는 플라우투스(Ploutus)라는 악성코드를 이용, 미국 전역의 ATM 기기를 해킹해 수천만 달러를 탈취한 혐의로 54명을 기소했다고 발표했다.

이 사건 배후엔 베네수엘라의 악명 높은 갱단으로 미 국무부가 외국 테러 조직으로 지정한 ‘트렌 데 아라과’(TdA)가 있는 것으로 밝혀졌다.

이들은 ATM 기기 덮개를 열어 보안 수준을 확인하는 사전 정찰 단계를 거친 뒤, 미리 준비한 악성코드 포함 하드디스크나 USB를 설치했다.

설치된 플라우투스 악성코드는 ATM의 현금 방출 모듈에 무단 명령을 내려 공격자가 원하는 만큼 현금을 쏟아내게 만드는 잭팟팅 기능을 수행한다.

이 악성코드는 은행 직원들이 해킹 사실을 눈치채지 못하도록 관련 증거를 자동으로 삭제하고 허위 정보를 생성하는 기능도 갖추고 있었다.

이 수법은 윈도우 기반 ATM의 취약점을 악용하며, 2013년 멕시코에서 처음 발견됐다. 범죄 조직은 마스터 키와 외부 키보드를 사용해 단 몇 분 만에 거금을 인출해 왔다.

미 당국에 따르면 2021년 이후 미국에서만 1529건의 불법 잭팟팅 사건이 기록됐으며, 올해 8월 기준으로 피해 금액은 약 4073만달러(약 540억원)에 달한다.

검찰은 탈취된 자금이 테러 활동, 마약 밀매, 인신매매 등 TdA의 광범위한 범죄 활동을 지원하는 자금줄로 사용됐다며 엄정 처벌을 예고했다.

기소된 피고인들은 은행 사기, 컴퓨터 해킹, 자금 세탁 등의 혐의를 받고 있으며, 유죄가 확정될 경우 최소 20년에서 최대 335년의 징역형에 처해질 수 있다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다