연방 수사관, 랜섬 협상가가 ShinyHunters 협박 사이트를 운영한 것으로 의심

핵심 요점

연방 수사관들은 두 랜섬웨어 협상 회사의 임원들이 ShinyHunters 협박 웹사이트 shinywire.com 운영의 핵심 참여자임을 확인했습니다. 이는 올해 7천만 달러 이상을 갈취한 그룹을 도운 직접적인 이해 상충을 드러냈습니다.

ShinyHunters의 최근 확대

2019년부터 활동한 해킹 그룹 ShinyHunters는 2026년 9월 fbijobs.gov에서 민감한 FBI 인사 데이터를 훔쳐 FBI의 신속한 체포를 촉발했습니다.
그룹의 지도자는 요르단 암만 출신의 Rey로 알려진 10대 해커로, 초기 멤버들이 투옥된 후 통제권을 잡았습니다.
네덜란드 경찰은 2026년 9월 15일 Signal에 로그인한 상태에서 섬광탄을 사용하여 용의자 Pepijn van der Stap을 체포했습니다. 그의 메시지는 미국과 캐나다의 랜섬웨어 협상가들과의 빈번한 연락을 드러냈습니다.
FBI는 또한 10월 9일 캐나다 사이버 보안 임원 Edward Dubrovsky(54세)를 체포하여 훔친 데이터 공개 위협 및 주간 상거래 방해 혐의로 기소했습니다.

"Van der Stap의 Signal 메시지는 그가 Dubrovsky 씨와 미국 대형 컨설팅 회사의 최소 한 명의 임원과 자주 대화했으며, 이 임원들이 피해자들보다 먼저 새로운 ShinyHunters 피해자에 대한 세부 정보를 종종 알고 있었다는 것을 보여주었습니다." – 수사에 정통한 소식통

Shinywire 협박 사이트

shinywire.com은 2026년 5월 3일부터 10월 16일까지 운영되며 거의 100개의 손상된 조직을 나열하고 랜섬 지불을 요구했습니다.
각 항목은 훔친 파일 샘플을 표시하고 거부 시 Tor 전용 피해자 비난 블로그에 게시될 것이라고 경고했습니다.
이 사이트는 직원 1,000명 이상의 미국 명문 컨설팅 회사의 임원이 호스팅했지만, 회사는 기소되지 않았습니다.
예: 캐시된 페이지는 Intuitive Surgical을 대상으로 하여 전형적인 요구와 샘플 데이터를 보여주었습니다.

Shinywire 홈페이지

Intuitive Surgical 협박 페이지

랜섬 협상에서의 이해 상충

협상 회사는 종종 지불된 랜섬의 일정 비율 수수료를 받아 피해자를 지불로 유도하는 재정적 인센티브를 만듭니다.
CyberAcuView의 CEO Mark Camillo는 지불에서 이익을 얻는 협상가가 랜섬 금액을 부풀리려는 잘못된 인센티브를 가질 수 있다고 경고했습니다.
법무부는 최근 사기 및 공모 혐의로 협상가들을 기소했습니다. 예:
- Zohar Pinhasi, MonsterCloud CEO, 비밀리에 랜섬웨어 그룹에 지불하면서 고객에게 과다 청구한 혐의로 전신 사기 기소.
- Angelo Martino, BlackCat/ALPHV 그룹과 공모하여 공격자에게 피해자 전략을 제공한 혐의로 선고.

직접 협력의 증거

Van der Stap의 Signal 로그는 Dubrovsky가 FBI 침해를 알고 있었지만 ShinyHunters가 X/Twitter에 데이터 게시를 위협하기 전에 기관에 경고하지 않았음을 보여주었습니다.
Dubrovsky의 법원 문서는 그가 전 파트너 Daniel Tobok의 Cypfer(이후 Apros Group에 인수된 회사)와의 사업 분쟁의 피해자라고 주장합니다.
수사의 별도 스레드는 Tobok을 2018년 Dharma 랜섬웨어 이메일에서 피해자에게 ghostbyte@tutanota.com에 연락하도록 권장한 별명 **"Ghostbyte"**와 연결합니다.

"보장을 원하면 IT 회사에 쓸 수 있습니다..." – ghostbyte@tutanota.com을 언급한 Dharma 랜섬웨어 답변

업계 반응 및 지속적 위험

PowerSchool와 같은 피해자는 ShinyHunters 침해 후 285만 달러를 지불했지만, 훔친 데이터는 2차 협박 시도에 계속 사용되었습니다.
사이버 사고 대응 회사 Coveware와 Unit 221B는 그룹이 데이터를 보유하고 재판매한다는 증거를 인용하여 ShinyHunters에 지불하지 말라고 공개적으로 경고했습니다.
FBI의 2026년 5월 15일 경고는 조직에 ShinyHunters에 지불하지 말라고 조언했지만, 그룹은 Telegram에서 Coveware 직원을 괴롭히는 방식으로 보복했습니다.

보안 리더를 위한 핵심 교훈

협상가 개입은 협박 그룹에 직접적인 경로를 만들 수 있음 – Shinywire 사례는 협상가가 랜섬 요구를 호스팅하고 공개하는 데 도움을 줄 수 있음을 보여줍니다.
랜섬 크기에 의존하는 수수료 구조는 이해 상충 – 규제 기관과 보험사는 투명한 고정 수수료 모델을 요구해야 합니다.
법 집행 기관은 실시간 메시징 메타데이터를 활용할 수 있음 – 네덜란드 섬광탄 체포와 Signal 감청은 공모를 폭로하는 데 중추적이었습니다.
Tor의 피해자 비난 블로그는 압력을 증폭 – 지불 후에도 훔친 데이터가 재게시될 수 있어 랜섬 이상의 데이터 복구 필요성을 강조합니다.

모든 정보는 Krebs on Security 조사와 공개된 법원, 뉴스 및 정보 소스에서 가져왔습니다. 어떤 세부 사항도 조작되지 않았습니다.