한국에 주둔했던 미군 병사 와그니우스가 SSH Brute와 노출된 Snowflake 계정으로 통신사 데이터를 빼내 100만 달러 넘게 요구하다 징역 70개월을 받았다. 검찰이 본 판매 수익은 약 1,500달러다.
사이버범죄 포럼에서 "Kiberphant0m"이라는 이름으로 AT&T 고객 수천만 명의 통화·문자 기록을 훔쳤다고 자랑하던 인물이 있었다. 정체는 한국 주둔 시절 이 이름을 만든 미 육군 병사 카메론 존 와그니우스(현재 22세)였다. 그는 훔친 기록을 풀겠다고 위협하며 통신사들에 몸값을 요구했다. 그렇게 해서 그가 실제로 손에 쥔 돈은 얼마였을까.
와그니우스는 범행 기간 한국과 텍사스 포트카바조스에 차례로 배치된 현역 미 육군 병사였다. 그는 2023년 4월부터 2024년 12월까지 "Kiberphant0m"이라는 온라인 닉네임으로 활동했다. 2024년 12월 20일 텍사스에서 체포됐고, 이틀 전 워싱턴주 대배심이 기밀 전화기록 무단 이전 혐의로 그를 기소한 상태였다. 이후 두 차례에 걸쳐 별도 사건으로 유죄를 인정했다. 2025년 3월엔 기밀 전화기록 정보 불법 이전 혐의 2건을, 2025년 7월엔 전신사기 공모·컴퓨터사기 관련 갈취·가중 신원도용 혐의를 인정했다. 미 법무부는 그의 행동을 돈과 명성을 향한 욕심에서 나온 것으로 규정했다.
법무부 기록에 적힌 침입 수단은 부정하게 얻은 로그인 정보다. 와그니우스와 공모자들은 그가 개발을 도운 해킹 도구 'SSH Brute' 등으로 피해 조직 네트워크의 로그인 정보를 손에 넣었고, 텔레그램 단체방에서 이를 주고받았다. 검찰 양형 메모에 따르면 SSH Brute는 사용자명과 비밀번호 조합을 추측해 수백 대의 서버에 무단 접속을 시도하는 도구였다. 해외 통신사 한 곳에는 이 도구로 처음 들어간 뒤 다른 서버로 옮겨 가며 수 GB의 민감 데이터를 빼냈다.
크렙스온시큐리티가 전한 경로는 하나 더 있다. 여러 기업이 데이터를 맡겨 두는 클라우드 서비스 Snowflake에는 고객사별 계정이 있다. 와그니우스는 공모자들과 함께 그중 로그인 정보가 노출돼 있고 다중인증도 걸려 있지 않던 대형 고객사 계정에서 데이터를 내려받았다. 2024년 Snowflake 고객 연쇄 침해와 같은 방식이다. 법무부는 무카 사건에서 공모자들이 2024년 2~10월 훔친 로그인 정보로 최소 165개 고객사의 클라우드 데이터를 빼냈다고 밝혔다. 보안업체 맨디언트는 이 캠페인을 UNC5537로 추적해 왔다.
크렙스온시큐리티는 그가 혐의상 공모자 3명과 함께 움직였다고 전했다. 갈취를 도운 케네스 슈크먼, 그리고 Snowflake 데이터 탈취로 기소된 코너 라일리 무카와 존 에린 빈스다.
법무부에 따르면 와그니우스는 최소 10개 조직을 대상으로 100만 달러 이상을 갈취하려 했다. 크렙스온시큐리티는 그가 2024년 AT&T 고객 1억 명 이상의 통화·문자 메타데이터를 훔쳤다고 전했다. 발신·수신 번호, 통화 시각과 길이 같은 기록이다. 버라이즌 푸시투토크(무전 통신) 사업부까지 해킹했다는 건 그의 주장이다. 그는 2024년 11월 이 서비스 고객에게서 훔쳤다는 통화기록을 판매에 내놓았다. 기소장에는 피해 기업 이름이 나오지 않는다.
2024년 11월엔 정부 고위 관료와 전직 관료 가족의 통화기록을 온라인에 공개하며 추가 유출을 위협했다. 크렙스온시큐리티가 전한 당시 게시글은 AT&T를 지목해, 연락하지 않으면 대통령 관련 정부 통화기록을 모두 풀겠다고 협박했다. 법무부는 이들이 훔친 데이터 일부를 실제로 팔았고, SIM 스와핑 같은 다른 사기에도 썼다고 밝혔다.
법원은 2026년 9월 25일 그에게 70개월(약 5년 10개월) 징역형과 29만 4,978달러의 배상금을 선고했다. 선고는 미 연방 서부 워싱턴 지방법원(시애틀)에서 나왔다.
그가 번 돈은 선고를 앞두고 검찰이 법원에 낸 양형 메모에 적혀 있다. 메모는 그가 훔친 데이터를 팔아 직접 얻은 돈을 약 1,500달러로 봤고, 범행 전체에서 얻은 이익도 이 정도로 보인다고 썼다. 크렙스온시큐리티는 그의 갈취 시도가 대부분 실패했다고 평가했다.
같은 공모에서 오간 돈은 규모가 달랐다. 무카가 체포될 무렵 AT&T는 이미 갈취 조직에 37만 달러어치 비트코인을 몸값으로 낸 상태였다. 법무부는 무카 사건에서 공모자들이 받아낸 몸값이 250만 달러를 넘는다고 밝혔다.
와그니우스 사건 고유의 로그는 공개되지 않았다. 검찰이 밝힌 흐름은 SSH Brute로 서버에 처음 들어간 뒤 다른 서버로 옮겨 가 데이터를 빼냈다는 데까지다. 비밀번호 조합을 반복해 넣는 이런 시도는 대상 서버의 SSH 로그인 실패 기록으로 남는다. MITRE ATT&CK는 비밀번호 추측(T1110.001) 탐지 전략 DET0551에서, 같은 원격 호스트가 SSH 로그인에 거듭 실패하다 성공하는 흐름을 분석 항목(AN1522)으로 든다.
Snowflake 쪽은 같은 캠페인(UNC5537)의 흔적이 공개돼 있다. 맨디언트 분석에 따르면 공격자들은 테이블 목록을 훑은 뒤 임시 스테이지를 만들었다. 이어 COPY INTO 명령으로 데이터를 그 스테이지에 옮겨 담고, GET 명령으로 로컬 디렉터리에 내려받았다. 접속에는 맨디언트가 FROSTBITE로 부르는 정찰 도구(공격자가 붙인 이름은 rapeflake)와 상용 DB 관리 도구 DBeaver Ultimate가 쓰였다. 이 도구 이름은 Snowflake 로그의 클라이언트 애플리케이션 값에 그대로 찍혔다.
헌터스시큐리티는 이 캠페인을 겨냥한 위협 헌팅에서 Snowflake 기본 감사 뷰(ACCOUNT_USAGE) 세 곳을 살폈다.
| 감사 뷰 | 확인한 값 | 걸러낸 흔적 |
|---|---|---|
| SESSIONS | client_environment의 APPLICATION | 기준 기간에 쓰지 않던 접속 도구 |
| LOGIN_HISTORY | CLIENT_IP, 로그인 성공 여부 | 비활성 계정 로그인 시도, 조직이 평소 쓰지 않던 IP |
| QUERY_HISTORY | BYTES_WRITTEN_TO_RESULT | 사용자별 하루 결과 바이트가 평균보다 표준편차 3배 이상 튄 날 |
아래는 공식적으로 확인된 매핑이 아니다. 노출된 로그인 정보로 정상 계정처럼 들어오는 방식은 MITRE ATT&CK의 T1078(정상 계정 악용)로 흔히 분류된다. SSH Brute 같은 조합 추측은 T1110.001(비밀번호 추측)과 같은 유형이다.
| 기법 ID | 기법명 | 관련성 |
|---|---|---|
| T1078 | Valid Accounts | 공식 확인 아님 — Snowflake류 클라우드 침해에서 흔히 관찰되는 진입 패턴 |
| T1110.001 | Password Guessing | 공식 확인 아님 — 검찰이 밝힌 SSH Brute의 사용자명·비밀번호 조합 추측과 같은 유형 |
와그니우스를 2024년 Snowflake 연쇄 침해 일당의 한 명으로 묶는 설명도 있다. The Record에 따르면 Unit 221B의 앨리슨 닉슨은 그의 유죄 인정을 'Snowflake 해커 일당'의 첫 유죄라고 소셜미디어에 썼다. 공식 기록이 확인하는 범위는 출처마다 다르다. 법무부 선고 보도자료는 공모자를 이름 없이 '공모자들'로만 적고, 진입 수단도 SSH Brute 등으로 얻은 로그인 정보라고만 쓴다. 보도자료에는 Snowflake도, 무카·빈스의 이름도, 해킹 그룹 이름도 나오지 않는다.
공모 관계는 다른 사건 기록에 나온다. 크렙스온시큐리티는 무카의 2026년 8월 유죄 인정을 다룬 기사에서 와그니우스를 무카의 공모자로 적었다. 검찰 양형 메모에 따르면 슈크먼도 유죄를 인정했다. 빈스는 아직 혐의 단계다. 맨디언트도 UNC5537 일부 구성원이 다른 추적 대상 그룹과 연관돼 있다고만 밝혔을 뿐, 그룹 이름은 적지 않았다.
그를 따로 쫓은 민간 추적도 있었다. 크렙스온시큐리티에 따르면 닉슨은 Kiberphant0m의 실제 신원을 찾는 데 힘을 보탰고, The Record는 법무부가 수사에 도움을 준 곳으로 Flashpoint와 Unit 221B를 꼽았다고 전했다. 닉슨은 자신과 익명의 동료가 2024년 11월 10일 그의 운영 보안 실수를 찾아낸 때부터 12월 6일 마지막 텔레그램 활동까지를 짚었다. 그 사이 수사기관이 자기 경력에서 본 미국 연방 사이버 사건 가운데 가장 빠른 처리 기록을 세웠다는 것이다. FBI도 공개 협박 뒤 몇 주 만에 그를 특정해 체포했다고 밝혔다.
그를 가리킨 단서는 그가 스스로 남긴 말이었다. 크렙스온시큐리티는 그가 체포되기 한 달이 채 안 된 시점에 그의 여러 텔레그램·디스코드 계정을 추적했다. 그리고 계정 주인이 다른 이들에게 육군 소속이며 한국에 주둔 중이라고 말해 왔다는 사실을 보도했다. 법무부가 범행 동기로 꼽은 '범죄 해킹 커뮤니티 안의 지위'를 얻으려던 과시가 추적의 단서로 돌아온 셈이다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.