MGM 리조트 랜섬웨어 해킹, 라스베이거스 카지노 대란

2023년 9월 7일 라스베이거스 카지노 대기업 시저스 엔터테인먼트는 자사도 사이버 공격을 받았다고 공시하며 공격자에게 3000만 달러 요구액 중 약 1500만 달러를 지불하고 데이터 삭제 약속을 받아냈다고 밝혔다. 시저스를 공격한 조직은 이후 MGM을 공격한 것과 동일한 스캐터드 스파이더로 확인됐으며, 두 회사는 비슷한 시기에 같은 해킹 조직의 표적이 된 것으로 드러났다. 시저스는 랜섬을 지불하는 실용적 선택을 했지만, 이는 향후 유사 공격을 부추길 수 있다는 업계의 우려를 낳았다. 두 카지노 대기업이 잇따라 공격당한 사실은 라스베이거스 스트립 전체의 보안 취약성을 드러낸 사건으로 평가됐다. 이 사건은 며칠 뒤 벌어질 MGM 사태의 심각성을 예고하는 전조가 됐다.

2023년 9월 10일 무렵 해킹조직 스캐터드 스파이더는 MGM 리조트 직원을 사칭한 단 10분짜리 전화(비싱)로 IT 헬프데스크 직원을 속여 계정 정보를 넘겨받는 데 성공했다. 이렇게 확보한 자격 증명을 이용해 공격자들은 MGM의 옥타(Okta) 인증 시스템과 마이크로소프트 애저 환경에 대한 관리자 권한을 획득했다. 사회공학적 기법만으로 거대 기업의 핵심 인프라 권한을 탈취했다는 점에서 이 사건은 전통적 기술 해킹보다 인간의 실수를 노린 공격이 얼마나 치명적일 수 있는지를 보여주는 사례로 꼽힌다. 확보된 권한을 발판 삼아 공격자들은 알프브이(ALPHV)/블랙캣 랜섬웨어를 배포해 시스템 암호화를 시작했다. 이는 이후 10일 가까이 이어지는 대규모 마비 사태의 출발점이 됐다.

2023년 9월 11일 침입을 감지한 MGM은 피해 확산을 막기 위해 자체적으로 IT 시스템을 대거 차단하는 조치에 나섰다. 이로 인해 벨라지오, MGM 그랜드 등 라스베이거스 스트립의 30여개 호텔·카지노 시설에서 슬롯머신이 멈추고 디지털 객실 키가 작동하지 않았으며, 예약·결제 시스템도 마비됐다. 투숙객들은 신용카드 대신 현금으로 결제해야 했고 일부는 방에 들어가지 못해 장시간 대기하는 불편을 겪었다. 카지노 게임기까지 꺼지면서 매출에도 직접적인 타격이 발생했다. 이 장애는 소셜미디어를 통해 실시간으로 확산되며 전 세계적인 관심을 끌었다.

2023년 9월 12일 랜섬웨어 조직 알프브이(ALPHV)/블랙캣은 자신들이 MGM 공격의 배후라고 공개적으로 주장하는 성명을 냈다. 이들은 MGM이 협상에 나서는 대신 스스로 시스템을 차단한 결정이 오히려 피해를 키웠다고 주장하며 회사의 대응 방식을 비판했다. 이 성명은 공격 조직이 언론을 통해 피해 기업을 압박하는 전형적인 이중 갈취 전략의 일환으로 해석됐다. 보안 전문가들은 이러한 공개 성명이 향후 협상에서 유리한 고지를 점하려는 심리전이라고 분석했다. MGM은 이에 대해 구체적인 반박이나 협상 관련 언급을 하지 않았다.

2023년 9월 14일 스캐터드 스파이더/알프브이 측은 MGM으로부터 약 6테라바이트에 달하는 방대한 데이터를 탈취했다고 주장했다. 여기에는 고객의 이름, 연락처, 운전면허번호, 여권번호, 사회보장번호 등 민감한 개인정보가 다수 포함된 것으로 추후 확인됐다. 같은 날 MGM은 일부 시스템에 대한 복구 작업을 시작했다고 밝히며 사태 수습에 본격 나섰다. 그러나 복구는 시스템별로 순차적으로 이뤄져 완전한 정상화까지는 추가 시간이 필요한 상황이었다. 이 시점까지 공격 발생 나흘째를 맞으며 피해 규모는 계속 불어나고 있었다.

MGM 리조트는 같은 공격 조직의 표적이 됐던 시저스 엔터테인먼트와 달리 처음부터 공격자에게 몸값을 지불하지 않겠다는 방침을 고수했다. 회사는 연방수사국(FBI) 등 사법당국과 공조하며 자체 복구 역량으로 사태를 해결하는 방식을 택했다. 이 결정은 단기적으로 복구 기간을 늘리는 대가를 치렀지만, 랜섬웨어 조직에 자금을 대주지 않겠다는 원칙을 지킨 선택으로 평가받았다. 업계 전문가들 사이에서는 MGM의 강경 대응이 장기적으로 유사 범죄를 억제하는 데 기여할 수 있다는 긍정적 평가와, 단기 피해를 키웠다는 비판이 동시에 나왔다. 이는 이후 랜섬웨어 대응 전략을 둘러싼 업계 논쟁의 대표 사례로 자주 인용됐다.

2023년 9월 20일 MGM 리조트는 공식 소셜미디어 계정을 통해 사업 운영이 완전히 정상화됐다고 발표하며 9월 10일 시작된 사태를 사실상 마무리 지었다. 슬롯머신과 디지털 키, 예약 시스템 등 핵심 서비스가 모두 복구되면서 라스베이거스 스트립 전역의 혼란도 진정됐다. 그러나 이번 사태로 발생한 예약 취소와 매출 손실, 고객 신뢰 저하 등의 여파는 이후로도 상당 기간 이어졌다. 회사는 구체적인 재발 방지 대책을 마련하겠다고 약속했지만 세부 내용은 공개하지 않았다. 이로써 열흘 가까이 이어진 물리적·디지털 마비 사태는 일단락됐다.

2023년 10월 MGM 리조트는 증권거래위원회에 제출한 분기 실적 공시를 통해 이번 사이버 공격으로 인한 손실이 약 1억 달러에 이를 것으로 추정된다고 밝혔다. 회사는 이 손실의 상당 부분이 사이버보험을 통해 보전될 것이라고 설명했지만, 카지노 매출 감소와 복구 비용, 평판 손상 등 정량화하기 어려운 피해도 상당했다는 지적이 나왔다. 이는 라스베이거스 카지노 업계 사상 최대 규모의 단일 사이버 공격 피해액 중 하나로 기록됐다. 이 공시는 랜섬웨어 공격이 단순 IT 문제를 넘어 상장기업의 실적에 직접 영향을 미치는 중대 리스크임을 다시 한번 각인시켰다. 이후 여러 기관투자자와 이사회 차원에서 사이버보안 투자 확대 논의가 촉발됐다.

2024년 11월 20일 미국 법무부는 스캐터드 스파이더로 알려진 해킹조직의 조직원으로 지목된 5명을 전신사기 공모 등 혐의로 기소했다고 발표했다. 이들은 최소 12개 기업을 표적으로 삼아 최소 29명의 개인 계좌에서 약 1100만 달러 상당의 암호화폐를 탈취한 혐의를 받았다. 스캐터드 스파이더는 MGM과 시저스를 비롯해 약 100여개 기관을 공격한 것으로 알려진 조직이지만, MGM 측은 이번에 기소된 인물들이 자사에 대한 공격과 직접 연관돼 있는지는 불분명하다는 입장을 밝혔다. 이 가운데 노아 어반은 2024년 1월 체포돼 2025년 4월 유죄를 인정하고 징역 10년을 선고받았다. 이번 기소는 스캐터드 스파이더발 사이버 범죄 생태계 전반에 대한 사법당국의 대응이 본격화됐음을 보여주는 사례로 평가된다.

2025년 1월 29일 네바다 연방법원은 MGM 리조트가 2019년과 2023년 두 차례 데이터 유출 사건과 관련해 제기된 십여 건의 집단소송을 4500만 달러에 합의하기로 한 내용을 예비 승인했다. 이번 합의는 3700만 명이 넘는 MGM 고객을 대상으로 하며, 사회보장번호나 군인신분증이 유출된 피해자에게는 75달러, 여권번호나 운전면허 정보가 유출된 경우 50달러가 지급된다. 또한 신원도용 등으로 입증 가능한 손해를 본 피해자는 1인당 최대 1만5000달러까지 배상받을 수 있으며, 전체 피해자에게는 신용 모니터링 서비스도 제공된다. 이 합의는 2023년 9월 랜섬웨어 공격으로 촉발된 각종 법적 분쟁의 최종 매듭으로 평가된다. 이로써 약 1년 4개월에 걸친 MGM의 사이버 공격 후폭풍은 금전적 배상 절차로 일단락됐다.