사이버 범죄 새 거점 '다크포럼', 브리치포럼 뒤잇다…활동량 600% 폭증

사이버 범죄 커뮤니티에 또 다른 중심지가 급부상하고 있다. 보안 정보업체 KELA 리서치는 최근 보고서를 통해 ‘다크포럼(DarkForums)’의 급성장과 배후 인물들에 대해 상세히 조명했다. 이는 2023년 유명 해킹 포럼 ‘브리치포럼(BreachForums)’이 창립자 체포 후 폐쇄되며 생긴 공백을 메우는 과정에서 나타난 변화다. KELA는 다크포럼이 단기간에 이목을 끌며 브리치포럼의 사이버 지하 커뮤니티 내 영향력을 이어받았다고 분석했다.

브리치포럼은 수년간 데이터 유출과 악성코드 거래의 중심지로 군림해 왔으나, 2023년 창립자의 검거와 함께 점차 해체 수순을 밟았다. 이후 운영진이었던 ‘샤이니헌터(ShinyHunters)’와 ‘인텔브로커(IntelBroker)’까지 올해 6월 체포되면서 사실상 퇴장하게 됐다. 이 틈을 노려 다크포럼은 2022년 11월 ‘DARK4RMY 포럼’이라는 이름으로 출범한 후 브리치포럼의 디자인과 운영방식을 모방하고 텔레그램 사용자 그룹까지 인수하면서 세력을 빠르게 확장했다. 2025년 4월부터 6월 사이 포럼의 활동량은 무려 600% 가까이 급등한 것으로 나타났다.

포럼의 운영 주체도 구체적으로 드러났다. 초기 관리자 ‘루시퍼(Lucifer)’는 인도 발랑기르 출신 프로그래머이자 자칭 윤리 해커로, 다크포럼의 설계를 주도했다. 하지만 KELA는 루시퍼가 보안에 허점을 보여 각종 이메일, 깃허브 기록, 비활성 SNS 계정이 대거 노출된 사실을 지적했다. 그는 2024년 8월 공식적으로 은퇴하고 운영권을 ‘녹스(Knox)’라는 사용자에게 넘겼다.

신임 관리자 녹스는 2023년 포럼에 가입한 인물로, 전 닉네임은 ‘아스모데우스(Asmodeus)’였다. 이는 루시퍼 신화에 기반한 개인적 집착을 반영한 것으로 추정되며, KELA는 그가 인도네시아 출신일 가능성도 언급했다. 다크포럼은 기존 콘텐츠를 파일럿 공격 없이 집계·배포하는 운영 방식을 고수하고 있어 공격의 주체라기보다는 정보 제공에 중점을 둔 플랫폼 형태로 보인다.

한편 ‘애넌원(AnonOne)’이라는 또 다른 주요 인물은 루시퍼와 활동 양상이 상당 부분 겹쳤으며, 이전 브리치포럼·하이드라마켓(HydraMarket) 등 다양한 포럼에 유사한 글을 게시한 기록이 포착됐다. KELA는 이에 대해 포럼 내부에서 의도적으로 구축된 일종의 ‘이미지 메이킹형 가상인물’일 가능성을 제기하고 있다.

또 다른 핵심 구성원인 ‘미스터로봇(MrR0b0t)’과 ‘미스터노이즈(MrNoiz)’ 역시 뚜렷한 디지털 흔적을 남긴 인물들이다. 전자는 인도 하리아나주에서 활동한 것으로 확인됐으며, 후자는 미국 출신으로 확인된 뒤 온라인상에서 ‘스파이더(SPYDIR)’라는 새 정체성으로 옮겨갔다. 다만 이 과정에서도 악성 프로그램 감염을 통해 실제 신상이 노출되는 사고가 발생했다.

KELA는 보고서를 통해 다크포럼이 브리치포럼의 ‘대안’으로 급성장하고 있으나, 운영 수준이나 보안 능력에서는 과거의 포럼보다 훨씬 낮은 수준이라며, 콘텐츠 집계형 커뮤니티 이상의 위상은 아니라고 지적했다. 그럼에도 불구하고 이 플랫폼은 향후 사이버 범죄 시장에서 일정 수준 이상의 영향력을 계속 유지할 것으로 전망된다. 특히 관리자들의 관리 허점이 반복된다면 당국의 추적 대상이 되거나 또 다시 해체 수순을 밟을 가능성도 배제할 수 없다고 보고서는 덧붙였다.