계약직의 접근 권한이 범죄로 변하다

카메론 커리는 브라이트리 소프트웨어의 계약직 데이터 분석가로 일했던 인물로, 전 직장을 상대로 250만 달러 규모의 갈취 계획을 주도한 혐의로 2년 징역형을 선고받았다. 법원 기록에 따르면, 커리는 재직 중 민감한 급여 데이터에 접근했으며, 계약이 종료된 후 해당 데이터를 협박 수단으로 활용했다. 그는 회사가 몸값을 지불하지 않으면 정보를 공개적으로 유출하겠다고 위협했다.

브라이트리 소프트웨어는 결국 법 집행 기관이 개입하기 전까지 7,540달러 상당의 비트코인을 지불했다. FBI는 이후 이 계획과 관련된 증거를 압수했으며, 이는 커리의 유죄 판결과 선고에 결정적인 역할을 했다. 갈취 금액 자체는 커리가 요구한 것으로 알려진 250만 달러의 일부에 불과했지만, 이 사건은 내부자 갈취 계획이 요구 금액 전액에 도달하지 않아도 재정적, 평판적으로 심각한 피해를 초래할 수 있다는 점을 보여준다.

내부자 위협이 외부 공격과 다른 이유

사이버 범죄에 대한 대부분의 보도는 외부 공격자, 즉 네트워크에 침투하고 랜섬웨어를 배포하거나 패치되지 않은 소프트웨어를 악용하는 해커에 초점을 맞춘다. 이 사건은 유용한 반례다. 커리는 방화벽을 뚫거나 인증 시스템을 우회할 필요가 없었다. 계약직으로서 그는 이미 업무의 일부로 급여 데이터에 대한 합법적인 접근 권한을 가지고 있었다. 도난은 아무도 문제를 인지하기 전에 발생했고, 갈취 시도는 그의 계약이 종료되고 접근 권한이 철회되었어야 했던 이후에야 표면화되었다.

이것은 내부자 사고에서 반복적으로 나타나는 패턴이다. 기술적 진입 장벽이 낮은 이유는 이미 접근 권한이 부여되어 있기 때문이다. 실제 취약점은 조직적 측면, 즉 기업이 퇴직 관리를 어떻게 처리하는지, 계약 종료 후 데이터 접근을 어떻게 모니터링하는지, 급여 정보와 같은 민감한 기록을 누가 볼 수 있는지 감사하는 방식에 있다. 자동화된 탐지 도구는 외부 침입을 포착하는 데 놀라울 정도로 빨라졌다. 예를 들어 마이크로소프트 디펜더(Microsoft Defender)는 악성 활동을 감지한 후 단 128초 만에 QNET의 랜섬웨어 공격을 중단시켰다. 그러나 이러한 속도는 무단 접근을 포착하도록 설계된 것이지, 이미 유효한 로그인 정보를 가진 사람의 권한 남용을 포착하기 위한 것이 아니다.

데이터 노출에 관한 더 큰 그림

내부자 갈취는 훨씬 더 큰 데이터 보안 문제의 한 조각에 불과하다. 2026년 버라이즌 데이터 유출 조사 보고서(Verizon Data Breach Investigations Report)에 따르면 유출의 31%가 이제 기술적 취약점 악용과 관련되어 있으며, 이는 조직들이 소프트웨어 패치와 기술적 공백 해소에 얼마나 많은 관심을 쏟고 있는지를 보여준다. 커리의 사례와 같은 내부자 사건은 전적으로 이 범주에 속하지 않는다. 이는 코드가 아닌 신뢰와 프로세스 공백을 악용하므로, 방화벽, 엔드포인트 탐지, 취약점 스캐닝으로는 이 특정 계획을 막을 수 없었을 것이다.

급여, 인사 또는 재무 데이터를 처리하는 기업에게 이 사건은 특정하고도 종종 과소 투자되는 위험 범주를 강조한다. 계약직과 단기 직원은 업무를 효과적으로 수행하기 위해 광범위한 접근 권한이 필요한 경우가 많지만, 해당 접근 권한은 업무가 끝난 후 재검토되는 경우가 거의 없다. 계약 종료와 접근 권한 철회 사이의 공백이 바로 이러한 계획이 뿌리를 내리는 지점이다.

이것이 당신에게 의미하는 바

민감한 데이터에 접근할 수 있는 직원이나 계약직이라면, 이 사건은 갈취 시도가 회사뿐만 아니라 시도한 개인에게도 심각한 법적 결과를 초래한다는 분명한 신호다. FBI 개입과 법의학적 증거 수집을 동반한 2년 징역형은 도난당한 급여 데이터와 관련된 몸값 요구가 사적 분쟁이 아닌 연방 범죄로 취급된다는 것을 보여준다.

계약직 접근 권한을 관리하는 회사 측에 있다면, 시사점은 더 운영적인 측면에 있다. 급여 및 인사 데이터는 실제로 필요로 하는 최소한의 인원으로 제한되어야 하며, 계약이 종료되는 즉시 접근 권한을 검토하고 차단해야 하며, 비정상적인 데이터 다운로드나 내보내기는 더 큰 문제가 되기 전에 경고를 발생시켜야 한다. 위협이 도착할 때까지 기다리는 것은 너무 늦은 것이다.

이와 같은 사건에 개인 정보나 급여 정보가 연루될 수 있는 개인의 경우, 표준적인 예방 조치가 여전히 적용된다: 비정상적인 계좌 활동을 모니터링하고, 데이터가 연루되었다는 통지를 받으면 신용 동결을 고려하며, 고용이나 재정 세부 사항을 언급하는 원치 않는 연락에 대해 의심을 품는 것이다.

주요 시사점

이 사건은 데이터 갈취가 외부 위협만의 문제가 아니라는 점을 상기시킨다. 조직은 특히 계약직과 퇴사 직원에 대한 접근 권한 관리를 방화벽과 패치 관리만큼 진지하게 다뤄야 한다. 채택할 가치가 있는 몇 가지 실용적인 조치는 다음과 같다:

  • 계약이나 고용이 종료되는 즉시 시스템 접근 권한을 검토하고 철회하되, 며칠 또는 몇 주 후가 아니라 즉시 처리한다.
  • 급여 및 인사 데이터 접근 권한을 필요한 최소 인원으로 제한하고, 해당 데이터를 조회하거나 내보내는 사람을 기록한다.
  • 모든 몸값 또는 갈취 요구는 사적 협상이 아닌 법 집행 기관의 문제로 취급한다. 지불이 위협의 종식을 보장하는 경우는 거의 없기 때문이다.

카메론 커리의 선고는 이 이야기의 한 장을 마감하지만, 민감한 직원 데이터를 취급하는 모든 조직이 자체 퇴직 관리 및 접근 통제 절차가 유사한 시도를 비용이 많이 드는 갈취 요구로 발전하기 전에 포착할 수 있을지 스스로에게 질문해야 한다.