2023년 MGM 리조트 해킹, 전화 10분이 부른 열흘 마비와 4500만 달러 배상

[핵심요약] 2023년 9월 MGM 리조트가 10분짜리 전화 통화 하나로 Okta 관리자 권한을 뺏겨 카지노 전체가 열흘 넘게 마비됐어요. 손실은 1억 달러를 넘었고, 2025년에도 4,500만 달러 배상 합의가 최종 마무리됐어요.

2023년 9월 10일부터 MGM 리조트 라스베이거스 전역에서 슬롯머신, 디지털 룸키, 온라인 예약 시스템이 일제히 먹통이 됐어요. 원인은 정교한 해킹 툴이 아니라 딱 10분짜리 전화 통화였어요. 해킹조직 스캐터드 스파이더(Scattered Spider)가 링크드인에서 찾은 직원 정보로 신원을 도용해 MGM IT 헬프데스크에 전화를 걸었고, 상담원이 그 요청대로 다중인증(MFA)을 초기화해주면서 회사 전체 로그인을 관장하는 Okta 관리자 권한이 통째로 넘어갔어요. 마비는 열흘 넘게 이어졌고, 피해 규모는 1억 달러를 훌쩍 넘었어요.

그날 무슨 일이 있었나

공격자들은 사전에 링크드인과 회사 조직도를 뒤져 실제 직원 이름·직급·부서 같은 정보를 수집했어요. 이 정보로 헬프데스크 상담원에게 자신이 그 직원이라고 믿게 만들었고, MFA를 새 기기로 등록해 달라고 요청했어요. 상담원은 규정대로 확인 절차를 거쳤다고 믿었지만 실제로는 공격자에게 문을 열어준 셈이었어요. 이렇게 확보한 계정은 MGM 전체 시스템 로그인을 관장하는 Okta 환경의 관리자 계정이었고, 여기서부터 슬롯머신 결제 시스템, 디지털 룸키, 온라인 예약, 사내 이메일까지 순차적으로 장악당했어요. 랜섬웨어 조직 ALPHV(BlackCat)가 배후를 자처하며 협상을 시도했지만 MGM은 몸값 지불을 거부했고, 그 대가로 열흘 넘게 정상 영업이 불가능했어요.

왜 지금도 회자되는가

이 사건이 3년 가까이 지난 지금도 계속 언급되는 이유는 두 가지예요. 첫째, 피해 규모가 계속 갱신되고 있어요. 2025년 1월 법원이 이 사고를 포함한 데이터 유출 소송에 4,500만 달러 규모 배상 합의를 예비 승인했고, 같은 해 6월 18일 최종 승인이 나면서 실제 배상금 지급이 지금도 진행 중이에요. 둘째, 전화 한 통으로 세계적인 카지노 기업 전체가 무너졌다는 사실이 "우리 회사는 최신 보안 솔루션을 다 갖췄으니 안전하다"는 착각을 정면으로 반박하는 사례로 계속 인용되고 있어요. 아무리 비싼 보안 장비를 들여도, 헬프데스크 상담원 한 명이 확인 절차 하나를 건너뛰면 전부 무너질 수 있다는 걸 보여준 거예요.

오늘날 조직이 배울 점

더 무서운 건 이 공격 방식이 사라지기는커녕 AI로 업그레이드되고 있다는 거예요. 최근에는 단 3초 분량의 음성 샘플만 있으면 특정 인물의 목소리를 그대로 복제하는 AI 음성 합성 기술이 등장했고, 이걸 이용한 보이스피싱형 공격(비싱)이 2026년 들어 급증하고 있어요. 2026년 8월에는 헤지펀드 업계의 포인트72, 시타델, 투 시그마, 밀레니엄 매니지먼트 등이 동시에 AI 음성 복제를 이용한 비싱 공격을 받았는데, 공격자가 IT 담당자나 동료 목소리를 그대로 흉내 내 헬프데스크에 전화를 걸고 실시간으로 계정 초기화를 압박하는 방식이었어요. 보안업계 통계로도 비싱 공격은 최근 1년 새 400% 넘게 늘었다고 집계돼요. MGM 사건 때는 사람이 목소리를 흉내 내는 수준이었다면, 지금은 AI가 그 목소리마저 실제처럼 복제해주는 시대라, 헬프데스크 담당자가 판단력만으로 걸러내기는 점점 더 어려워지고 있어요.

우리 회사도 대비하려면?

가장 먼저 손봐야 할 건 헬프데스크의 본인 확인 절차예요. 전화 통화만으로 신원을 확인하는 방식은 이제 안전하지 않아요. 관리자급 계정의 비밀번호나 MFA를 재설정할 때는 직속 상사나 인사 시스템을 통한 교차 확인, 혹은 사전에 등록된 별도 채널(사내 메신저 화상 통화 등)로 한 번 더 확인하는 절차가 필요해요.

또한 헬프데스크 직원이 의심스러운 요청을 거부해도 인사상 불이익이 없다는 걸 회사 차원에서 명확히 보장해야 해요. MGM 사건에서도 상담원은 규정을 어긴 게 아니라 오히려 성실하게 대응했을 뿐이에요 — 문제는 그 규정 자체가 사람의 목소리 하나로 뚫릴 만큼 허술했다는 데 있어요. 절차를 강화하는 것과 별개로, 관리자 권한을 가진 계정이 뚫렸을 때 피해가 시스템 전체로 번지지 않도록 권한을 세분화하고 백업 인프라를 분리해두는 것도 함께 준비해야 할 대목이에요.

이런 절차, 우리 회사 헬프데스크에도 있나요? 아래 항목으로 바로 점검해보세요.

• 비밀번호나 MFA를 재설정할 때 전화 통화만으로 본인 확인이 끝나나요?
• 헬프데스크 상담원이 요청자의 신원을 인사 시스템이나 직속 상사에게 재확인하는 절차가 있나요?
• 관리자급 계정의 MFA 재설정은 일반 계정과 다른, 더 엄격한 승인 절차를 거치나요?
• 최근 며칠 새 낯선 기기로 MFA를 재등록한 계정이 있는지 로그를 확인해본 적 있나요?
• 통화 상대의 목소리만 듣고 신원을 확신해서 민감한 요청을 처리한 적이 있나요?
• 헬프데스크 직원이 의심스러운 요청을 거부해도 불이익이 없다는 게 회사 방침으로 명확히 공지돼 있나요?

Q. 우리 회사는 카지노도 아니고 규모도 작은데, 이런 사고가 남 일 아닐까요?

공격자가 노리는 건 카지노가 아니라 헬프데스크가 존재하는 모든 조직이에요. 전산 인력이 1~2명뿐인 중견기업도 계정 초기화 요청을 전화나 메신저로 받는 순간부터 똑같은 위험에 노출돼요. 오히려 절차가 느슨한 소규모 조직이 더 쉬운 표적이 될 수 있어요.

Q. MFA(다중인증)를 쓰고 있으면 이런 공격은 막을 수 있는 거 아닌가요?

MFA 자체가 뚫린 게 아니라 재설정당한 거예요. 공격자는 기술적으로 MFA를 우회한 게 아니라, 사람을 속여서 MFA를 아예 새로 등록하게 만들었어요. MFA는 최소한의 방어선일 뿐, 그 MFA를 재설정하는 절차 자체가 허술하면 아무 소용이 없어요.

MGM 사건은 3년이 지난 지금도 "가장 비싼 보안 장비보다 가장 약한 절차 하나가 전체를 무너뜨린다"는 교훈으로 계속 소환돼요. 게다가 이제는 그 절차를 뚫는 도구가 사람 목소리까지 흉내 내는 AI로 진화하고 있어요. 헬프데스크의 확인 절차 한 줄이 조직 전체의 마지막 방어선일 수 있다는 걸, MGM은 1억 달러가 넘는 대가로 증명했어요.

이런 사고를 막으려면 헬프데스크 직원이 실수로 관리자 권한을 넘겨주더라도 백업 데이터만큼은 손댈 수 없는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 관리자 권한이 뚫려도 왜 백업은 못 건드리는지 궁금하다면 여기서 확인해보세요.