[지오의 생각] 협박에 굴하지 않겠다는 도시, 그 원칙이 지키지 못한 것들

8월의 어느 목요일 저녁, 베를린 시정부의 한 서버에 익숙하지 않은 카운트다운이 떠올랐다. 탈취한 데이터를 7일 안에 경매에 부치겠다는 협박이었다. 요구액은 30비트코인, 약 200만 유로. 시장 카이 베그너는 하루 만에 답을 내놓았다. "베를린은 협박당하지 않는다."

표면적으로는 단호하고 원칙적인 답변처럼 보인다. 그러나 이 문장이 지키지 못한 것들이 있다. 이번 사건은 단순한 사이버 범죄가 아니라, 공공 인프라가 개인정보를 얼마나 취약하게 떠안고 있는지, 그리고 '원칙'이라는 말이 실제로는 누구의 비용으로 유지되는지를 드러낸다.

먼저 팩트를 정리하자. 해커들은 8월 7일부터 12일 사이 베를린 시정부의 고속 광섬유 네트워크 'BeLa'에 침투해 5.79테라바이트의 데이터를 빼냈다. 8월 14일에는 주택 혜택 신청과 지급이 며칠간 마비됐고, 이후 교통·환경 부서에서 추가 유출이 확인됐다. 배후로 지목된 리사이다(Rhysida) 그룹은 러시아와 동유럽에서 활동하며, 2023년 영국 도서관을 공격해 몸값을 받지 못하자 약 50만 개 파일을 다크웹에 공개한 전력이 있다. 이번에 탈취된 데이터에는 시의 계약 4만 6,500건, 행정처분 8만 건, 로그인 정보 6,000건이 포함된 것으로 알려졌다.

여기서 짚어야 할 지점이 있다. 베를린이 '협박에 굴하지 않겠다'고 선언한 것은, 그 데이터의 주인이 시정부가 아니라 시민이라는 사실을 잠시 가린다. 몸값을 안 내는 것은 원칙적으로 옳다. 랜섬웨어에 돈을 주는 것은 범죄를 조장하고, 다음 공격의 자금이 되기 때문이다. 그러나 그 원칙의 대가를 치르는 것은 시장이 아니라, 개인정보가 유출된 수십만 명의 시민이다. 영국 도서관 사례에서 보았듯, 몸값을 거부하면 데이터는 결국 공개된다. '원칙'이라는 단어는 강력하지만, 그 뒤에 숨은 비용을 정직하게 말하지 않는다.

더 날카롭게 보면, 이 사건은 랜섬웨어가 단순한 범죄가 아니라 하나의 산업이라는 사실을 보여준다. 리사이다는 데이터를 파괴하거나 암호화하는 대신 '경매'라는 시장 메커니즘을 쓴다. 몸값을 안 내면 데이터를 경매에 부쳐 제3자에게 판다. 이는 협박 대상이 도시 하나가 아니라, 그 데이터에 관심 있는 모든 이가 된다는 뜻이다. 범죄자들은 몸값을 받든, 데이터를 팔든, 어느 쪽이든 이득을 본다. 이런 구조에서 '안 낸다'는 답변은 도덕적으로는 옳지만, 전략적으로는 취약하다.

또 하나 놓치기 쉬운 점은 시점이다. 이 공격은 베를린 시의회 선거를 약 한 달 앞두고 발생했다. 시 당국은 선거 인프라는 안전하다고 밝혔지만, 시민의 개인정보가 유출된 상황에서 '선거는 100% 안전하다'는 말이 얼마나 신뢰를 얻을지는 의문이다. 사이버 공격은 이제 선거 시즌의 정치적 변수이기도 하다. 공격자가 이를 노렸는지는 알 수 없지만, 그 효과는 분명히 정치적이다.

나는 이 사건에서 가장 중요한 교훈은 '몸값을 내느냐 마느냐'가 아니라, 왜 이런 일이 반복되는가라고 본다. 공공기관은 예산과 인력 부족으로 보안에 취약하고, 범죄자들은 그 취약성을 정확히 알고 노린다. 베를린이 이번에 굴하지 않은 것은 칭찬할 만하다. 그러나 그 원칙이 다음 공격을 막지는 못한다. 진짜 해결책은 몸값 거부라는 원칙과 함께, 시민의 데이터를 애초에 지키는 보안 투자다. 원칙은 필요하지만, 원칙만으로는 데이터가 지켜지지 않는다.

카운트다운이 끝나면 리사이다는 데이터를 경매에 부칠 것이다. 베를린은 협박에 굴하지 않았지만, 그 데이터의 주인인 시민들은 이미 협박의 대상이 되었다. 이번 사건이 남긴 질문은 단순하다. 우리는 '협박에 굴하지 않는' 원칙을 자랑하기 전에, 그 원칙이 지키지 못한 것들에 대해 얼마나 정직해질 수 있는가. 그 답이 없으면, 다음 카운트다운은 또 다른 도시에서 시작될 것이다.