트위터 유명 계정 무더기 해킹·비트코인 사기 사건 (2020)

2020년 7월 15일 오후(미국 동부시간) 버락 오바마 전 대통령, 조 바이든 당시 대선 후보, 일론 머스크, 빌 게이츠, 제프 베이조스 등 유명 인사와 애플, 우버 등 기업의 트위터 계정 130여 개가 동시다발적으로 해킹당했다. 해킹된 계정에서는 특정 비트코인 지갑 주소로 돈을 보내면 30분 안에 두 배로 돌려주겠다는 전형적인 이중지급 사기 트윗이 일제히 게시됐다. 공격자들은 트위터 직원만 접근할 수 있는 내부 관리자 도구를 장악해 계정 비밀번호 재설정 없이도 트윗을 직접 작성할 수 있었다. 사건 당일에만 해당 비트코인 주소로 400건이 넘는 송금이 몰리며 약 11만 8000달러(약 12.9비트코인) 상당이 모금됐다. 정치·경제계 최고위 인사들의 계정이 동시에 뚫린 전례 없는 사건으로 전 세계 언론의 집중 조명을 받았다.

해킹 확산이 심각해지자 트위터는 사건 당일 저녁 모든 인증(블루체크) 계정과 일부 계정의 트윗 작성 기능을 일시적으로 차단하는 초유의 긴급 조치를 단행했다. 이 조치로 세계 정상급 정치인과 유명 기업 계정을 포함한 수백만 개 계정이 몇 시간 동안 트윗을 올리지 못하는 사태가 벌어졌다. 회사는 공식 지원 계정을 통해 내부 시스템에서 이뤄진 조율된 공격을 인지했으며 조사가 끝날 때까지 서비스 일부를 제한한다고 밝혔다. 언론과 이용자들은 사상 최대 규모의 플랫폼 보안 사고로 규정했고, 트위터 주가는 이튿날 장 초반 하락세를 보였다. 사건은 소셜미디어 플랫폼의 내부 통제 시스템이 얼마나 취약할 수 있는지를 상징적으로 드러낸 계기가 됐다.

트위터는 공식 블로그를 통해 이번 사건이 일부 직원을 겨냥한 전화 기반 사회공학(보이스 피싱) 공격에서 비롯됐다고 공식 확인했다. 공격자들은 재택근무 중이던 직원들에게 IT 지원부서 직원인 것처럼 접근해 사내 시스템 로그인 정보를 빼낸 뒤, 내부 관리자 도구에 접근할 수 있는 권한을 획득했다. 회사는 이 도구로 총 130개 계정에 접근했고, 이 중 45개 계정에서 실제로 사기성 트윗이 게시됐으며 36개 계정의 다이렉트 메시지 수신함이 열람됐고 최대 8개 계정은 보유 데이터 전체가 다운로드됐다고 밝혔다. 이는 팬데믹 이후 재택근무 확산으로 내부 보안 통제가 느슨해진 상황을 공격자가 파고든 사례로 평가됐다. 트위터는 이후 관리자 도구 접근 권한을 대폭 축소하고 다중 인증을 강화하는 등 후속 보안 대책을 발표했다.

미국 연방 검찰과 플로리다주 힐즈버러 카운티 검찰은 사건 발생 보름여 만인 7월 31일 용의자 3명을 특정해 기소했다고 발표했다. 주범으로 지목된 플로리다 탬파 거주 17세 그레이엄 아이번 클라크는 미성년자임에도 성인으로 재판에 넘겨져 30개 중범죄 혐의를 받았고, 영국 보그너레지스의 메이슨 셰퍼드(19)와 미국 올랜도의 니마 파젤리(22)는 전신사기 공모·자금세탁 공모·컴퓨터 무단침입 등 연방 혐의로 각각 기소됐다. 검찰에 따르면 이들은 온라인에서 유명 사용자명을 사고파는 이른바 'OG 유저네임' 커뮤니티에서 활동하며 접근 권한을 확보한 것으로 조사됐다. 클라크는 체포 당일 탬파 자택에서 신병이 확보됐으며, 검찰은 이번 사건을 소셜미디어를 이용한 사기 범죄의 상징적 사례로 규정했다. 세 사람 모두 유죄가 확정될 경우 수십 년의 징역형이 가능한 중범죄 혐의를 적용받았다.

뉴욕주 금융서비스국(DFS)은 이번 해킹 사건을 자체 조사한 보고서를 공개하고 트위터의 사이버보안 체계가 심각하게 부실했다고 지적했다. 보고서는 트위터가 팬데믹으로 인한 전면 재택근무 전환 과정에서 내부 통제와 직원 보안 교육을 충분히 갖추지 못했으며, 소수의 권한 있는 직원이 사실상 거의 모든 계정에 접근할 수 있는 구조적 취약점을 방치했다고 비판했다. 특히 이번 사건이 국가 안보에도 영향을 미칠 수 있었던 사례로 꼽히며, 규제 당국은 소셜미디어 기업들도 금융기관 수준의 사이버보안 규제를 받아야 한다고 제언했다. 이 보고서는 트위터에 직접적인 벌금이나 제재를 부과하지는 않았지만, 이후 미국 내에서 소셜미디어 플랫폼에 대한 사이버보안 규제 도입 논의를 촉발하는 계기가 됐다. 트위터는 보고서 발표 이후 최고정보보안책임자(CISO) 직제를 강화하는 등 조직 개편에 나섰다.

주범으로 지목됐던 그레이엄 아이번 클라크는 2021년 3월 16일 플로리다주 법원에서 검찰과의 플리바게닝을 통해 유죄를 인정하고 소년원 3년 수감에 이은 보호관찰 3년을 선고받았다. 미성년자 신분이었던 그는 성인 재판에 넘겨졌음에도 소년 시설에 수감되는 조건으로 형량이 조정됐으며, 검찰은 그가 이번 사건을 설계하고 실행한 핵심 인물이라는 점을 재확인했다. 같은 날 공범으로 지목된 니마 파젤리도 청소년범죄자 신분으로 유죄를 인정하며 유사한 형량을 받았다. 검찰은 이번 선고를 통해 온라인 사용자명 거래 커뮤니티에서 출발한 십대들의 해킹이 초대형 플랫폼 보안 사고로 번질 수 있음을 보여준 사례라고 평가했다. 클라크의 자산 중 일부인 비트코인과 게임 계정 등도 범죄수익으로 몰수됐다.

사건 발생 1년 만인 2021년 7월, 영국 국적의 조지프 제임스 오코너(별칭 '플러그워크조')가 스페인에서 현지 경찰에 체포됐다. 오코너는 기존에 기소된 3명과 별개로 이번 트위터 해킹에 가담한 네 번째 공범으로 지목됐으며, 그 외에도 유명 소셜미디어 이용자들을 겨냥한 심 스와핑(유심 탈취) 공격과 약 78만 4000달러 상당의 가상자산 절취 등 다수의 사이버 범죄 혐의를 받고 있었다. 미국 뉴욕남부지검과 캘리포니아북부지검은 각각 별도의 기소장을 통해 그의 신병 인도를 요청했다. 오코너의 체포는 코로나19 팬데믹 기간 급증한 소셜미디어 계정 탈취·유심 스와핑 범죄에 대한 국제 공조 수사의 성과로 평가됐다. 이후 그의 신병 인도를 둘러싼 스페인 법원의 심리가 약 2년간 이어졌다.

조지프 오코너는 2023년 4월 26일 스페인에서 미국으로 전격 송환된 데 이어 5월 9일 뉴욕남부연방지방법원에서 컴퓨터 해킹 공모 등 혐의에 대해 유죄를 인정했다. 그는 2020년 트위터 해킹으로 조 바이든과 일론 머스크 등의 계정이 탈취돼 약 12만 달러 상당의 가상자산 사기가 벌어지는 데 가담한 사실을 인정했으며, 이와 별도로 유명인을 겨냥한 유심 스와핑, 틱톡·스냅챗 이용자 협박 등의 혐의도 함께 인정했다. 검찰은 그가 해킹으로 확보한 트위터 내부 관리자 도구 접근권을 다른 공범들과 공유해 대규모 계정 탈취를 가능케 한 핵심 조력자였다고 밝혔다. 이번 유죄 인정으로 2020년 사건에 연루돼 공개 기소된 4명 전원이 형사 절차상 유죄를 인정하거나 확정 판결을 받게 됐다. 검찰은 유죄 인정 혐의만으로도 최대 수십 년의 징역형이 가능하다고 설명했다.

뉴욕남부연방지방법원은 2023년 6월 23일 조지프 오코너에게 징역 5년을 선고하며 2020년 트위터 해킹 사건과 관련된 형사 절차를 사실상 마무리했다. 법원은 그가 트위터 사건 외에도 유심 스와핑을 통한 가상자산 절취, 미성년자를 포함한 소셜미디어 이용자 협박·괴롭힘 등 폭넓은 사이버범죄에 관여한 점을 반영해 형량을 정했으며, 형기 종료 후 3년의 보호관찰과 약 79만 4000달러의 범죄수익 몰수도 함께 명령했다. 이로써 2020년 7월 발생한 트위터 유명계정 해킹 사건은 주범 클라크의 소년원 수감, 파젤리의 유사 처분, 오코너의 징역형까지 관련자 전원에 대한 사법 처리가 마무리됐다. 다만 영국인 메이슨 셰퍼드에 대한 미국 내 재판 절차는 이 시점까지 별도로 진행 중인 상태로 남았다. 이 사건은 이후 소셜미디어 기업의 내부 관리자 권한 통제와 재택근무 환경의 보안 취약점을 재조명하는 대표 사례로 꼽히고 있다.