티이나 파리카는 반쯤 옷을 입은 상태에서 그 이메일을 읽었다. 2020년 10월 말 어느 토요일이었고, 파리카는 그날 아침 자신이 교장으로 재직 중인 학교에서 코로나19가 발생한 후 원격 학습 계획을 수립하느라 보냈다. 핀란드 수도 헬싱키 외곽에 있는 반타에 있는 그녀의 아파트에서 사우나를 즙긴 후, 침실로 들어와 옷을 입으려던 중 무심코 휴대전화를 확인했다. 그곳에는 그녀의 이름과 사회보장번호(핀란드인이 의료, 교육, 금융 서비스를 이용할 때 사용하는 고유 식별 코드)로 시작하는 메시지가 있었다. "그 순간 이건 장난이 아니라는 걸 알았어요."
이메일은 핀란드어로 작성되어 있었다. 불쾌할 정도로 정중한 어조였다. "당신이 바스타모의 치료 및/또는 정신과 서비스를 이용했기 때문에 연락드립니다. 불편하시겠지만, 귀하의 개인정보를 안전하게 보호하기 위해 비용을 지불해 달라고 요청해야 합니다." 발신자는 24시간 내에 비트코인으로 200유로를 요구했고, 48시간 내에 지불하지 않으면 금액이 500유로로 인상될 것이라고 했다. "이후에도 여전히 금액을 받지 못한다면, 귀하의 정보가 공개될 것입니다. 여기에는 이름, 주소, 전화번호, 사회보장번호, 그리고 바스타모의 치료사나 정신과 의사와의 대화 기록을 포함한 상세 기록이 포함됩니다."
파리카는 이 기억을 되살리며 목이 메었다. "심장이 쿵쾅거렸어요. 정말 숨 쉬기 힘들었죠. 침대에 누워 배우자에게 '심장마비 올 것 같아'라고 말했던 게 기억나요."
누군가가 파리카가 심리 치료를 받았던 회사인 바스타모를 해킹한 것이었다. 그들은 그녀의 가장 사적이고 친밀한 감정, 가장 어두운 생각이 담긴 치료 기록을 손에 넣었고, 그것을 몸값으로 요구하고 있었다. 파리카는 3년 동안 매주 진행했던 치료 세션에서 털어놓았던 모든 것을 떠올리려고 머리를 쥐어뜯었다. 가족들이 그녀가 했던 말을 알게 된다면 어떻게 반응할까? 학생들은 뭐라고 할까? 노출과 침해당한 느낌은 헤아릴 수 없었다: "공개적인 강간을 당한 기분이었어요."
치료는 파리카의 생명줄이었다. 현재 62세인 그녀는 25세가 되기까지 세 아이를 낳았는데, 그중에는 1980년대에 극도로 조산되어 각각 수백 그램밖에 되지 않았던 쌍둥이도 있었다. 한 아이는 뇌성마비로 자랐고, 다른 아이는 시각 장애가 있었다. 파리카는 수년 동안 의료 응급 상황, 수술, 입원 생활을 힘든 직장 생활과 무너져 가는 결혼 생활과 병행해야 했다. "그런 세월 동안 아무도 나, 어머니에게 '어떻게 지내?'라고 묻지 않았어요."
그녀는 2014년 이혼했고 1년 후 현재의 동반자를 만났다. 그때쯤이면 아이들은 독립적인 삶을 사는 어른이 되어 있었다. 수십 년 동안 다른 모든 사람의 필요를 자신보다 우선시한 그녀는 마침내 숨을 내쉴 수 있어야 했다. 그러나 그녀는 신경 쇠약에 빠졌다. "전신에 걸친 불안이 끊임없이 흘렀어요. 잠을 잘 수 없었고, 공황 발작이 있었으며, 먹지도 못했죠." 어느 날 고속도로에서 빠른 속도로 운전하던 중 어두운 생각이 스쳤다. "이 차가 사고 나도 상관없겠다고 생각했어요."
급한 도움을 찾아 그녀는 구글에 접속했고, 그곳에서 심리 치료를 찾는 사람들을 위한 핀란드의 원스톱 디지털 샵인 바스타모를 알게 되었다. 의사의 소개장도 필요 없었다. 그녀는 바로 다음 날 세션을 예약할 수 있었다. "그렇게 쉬웠어요."
완전한 낯선 사람에게 마음을 털어놓을 수 있다는 것은 해방감을 느끼게 했다. 그녀는 치료사에게 다른 누구에게도 말한 적 없는 것들을 털어놓았다. "관계 속의 트라우마. 장애를 가진 아이를 둔 실망과 비극, 그리고 그것이 내 삶에 미친 영향이요." 그녀가 말했다. "어리석은 것들, 유치한 것들. 증오, 분노, 격노를 느끼는 것은 매우 인간적인 일이죠."
숨이 턱턱 막히게 만드는 이메일을 읽은 후, 파리카는 어디에 도움을 요청해야 할지 전혀 알 수 없었다. 그녀는 뛰어나갔다... 긴급 서비스에 전화를 걸었지만, 경찰은 진짜 긴급 상황을 위해 회선을 비워두어야 한다며 전화를 끊으라고 했다. 목욕 가운을 입은 채, 여전히 휴대전화를 손에 쥔 채, 그녀는 완전히 고립된 기분이었다.
하지만 파리카는 결코 혼자가 아니었다. 핀란드 전역에서 바스타모를 이용했던 33,000명의 사람들이 해커가 자신들의 치료 기록을 손에 넣어 몸값을 요구하고 있다는 사실을 발견하고 있었다. 정의상 취약하고 도움이 필요한 사람들이었다. 각자는 깊이 개인적인 공포를 경험하고 있었다. 인구 560만 명의 나라에서 누구나 해킹당한 사람을 알고 있었다.
일부 피해자들의 기록은 이미 선별되어 세상에 공개된 상태였다. 협박 이메일이 발송되기 3일 전, "랜섬맨"이라는 핸들을 사용하는 누군가가 다크 웹, r/Suomi(핀란드어 서브레딧), 그리고 핀란드의 4chan에 해당하는 Ylilauta에 글을 올렸다. 이번 글은 영어로 작성되어 있었다. "안녕하세요, 핀란드 동료 여러분,"으로 시작했다. "우리는 심리 치료 클리닉 vastaamo.fi를 해킹하여 수만 건의 환자 기록을 확보했으며, 여기에는 극도로 민감한 세션 기록과 사회보장번호가 포함되어 있습니다. 우리는 연간 매출이 2천만 유로에 가까운 회사에게는 아무것도 아닌 40비트코인(작은 금액)을 요구했지만, CEO가 우리의 이메일에 답변을 중단했습니다. 이제 우리는 그들의 환자 기록을 하루에 100건씩 점차적으로 공개하기 시작할 것입니다."
다크 웹으로 연결되는 링크가 있었고, 이미 100건의 기록이 공개되어 있었다. 바로 아래에, 랜섬맨은 한 단어로 글을 마쳤다: "즐기세요!"
100건의 기록에는 정치인, 경찰관, 유명 인사들의 기록이 포함되어 있었다. 그들의 이름은 간통, 자살 시도, 아동 성추행, 성폭력에 대한 세부 사항이 담긴 치료 기록과 함께 나타났다. 일부 기록은 어린이들의 것이었다. 그리고 해킹 배후에 있는 자는 약속을 지켰다: 다음 날, 또 다른 100건의 환자 기록이 업로드되었다.
일부 피해자들은 자신의 기록이 있는지 확인하기 위해 필사적으로 다크 웹을 검색했다. 일부는 시간이 다가오는 가운데 비트코인을 급히 구해 몸값을 지불했다. 피해자들을 대리하는 변호사들은 치료 기록이 해킹당한 후 스스로 목숨을 끊은 사례가 최소 두 건 이상 있다고 말했다.
하지만 그들 모두에게는 이미 너무 늦었다. 2020년 10월 23일 새벽 2시—수만 개의 이메일 받은 편지함에 이메일이 도착하기 하루 전—랜섬맨은 훨씬 더 큰 파일을 업로드했다. 여기에는 바스타모 데이터베이스에 있는 모든 환자의 모든 기록이 담겨 있었다. 모든 사람의 치료 기록이 이미 무료로, 전 세계에 공개된 것이었다.
핀란드 역사상 가장 큰 범죄의 배후는 누구였을까? 그리고 그들이 돈 이외의 다른 동기로 움직였을 가능성은 없을까? 나는 18개월 동안 이 질문에 답하기 위해 유럽과 미국 전역에서 단서를 추적했다. 그 결과는 교도소 방문과 내가 지금까지 겪은 가장 소름 끼치는 대화 중 하나로 이어졌다.
핀란드는 지난 8년 연속 유엔이 선정한 지구상 가장 행복한 나라로 꼽혀왔다. 보육과 교육 분야의 세계적 선두주자인 핀란드는 또한 유명하게 하이테크 국가다: 유럽에서 가장 디지털화된 국가로, 통신 분야(노키아의 본고장으로)로 유명하며 사이버 보안과 AI 혁신을 선도하고 있다. 하지만 핀란드는 또한 극단적인 나라이기도 하다. 1인당 헤비메탈 밴드 수가 다른 어떤 나라보다 많다. 최북단에서는 동지 무렵 며칠 동안 해가 뜨지 않는다.
바스타모는 오랫동안 핀란드가 디지털 기술을 올바르게 활용하고 있는 예로 여겨져왔다. 2008년 기업가 빌레 타피오와 그의 어머니이자 심리 치료사인 니나가 설립한 이 회사의 목표는 대중이 치료에 접근할 수 있도록 하고 도움을 요청하는 데 대한 오명을 없애는 것이었다. 이 플랫폼은 사람들이 누가, 어디에서, 어떤 치료 접근법을 전문으로 하는지 쉽게 확인할 수 있게 했다. 로고는... 구급상자의 색상 팔레트를 사용했으며, 녹색 말풍선 안에 흰색 글씨가 있었다. "바스타모"는 "답을 찾는 곳"을 의미한다. 이는 치료사들에게도 매력적인 플랫폼이었다: 그들은 마케팅이나 청구에 대해 걱정할 필요가 없었고—바스타모가 모든 것을 처리해 주었다. 회사는 치료사들이 기록을 작성하고 저장할 수 있는 비공개 디지털 인터페이스도 제공했다. 이 공식과 치료 서비스에 대한 수요 증가가 결합되어 바스타모는 빠르게 성장했다. 2018년까지 핀란드 전역에 약 20개의 클리닉 네트워크를 열었고, 220명 이상의 심리 치료사를 고용하여 일부 핀란드인들은 이를 "치료계의 맥도날드"라고 부르기도 했다. 줌과 팀즈가 우리 일상의 일부가 되기 몇 년 전, 바스타모가 제공한 원격 치료는 혁신적이었다. 2019년, 한 사모펀드 회사가 이 회사의 지분 대부분을 인수하여 타피오 가족은 500만 유로 이상의 수익을 얻었다.
30세의 메리투울리 아우어는 바스타모 이용을 "치료계의 우버와 같다—편리하고, 접근성이 좋으며, 비교적 저렴하다"고 표현한다. 그녀는 인지 심리 치료를 제공했고, 그의 사진이 마음에 들어 그 치료사를 선택했다. "착해 보였어요. 다가가기 쉬운 인상이었죠."
헬싱키 외곽에 있는 아우어의 집은 분홍색으로 가득하다. 선반에는 바비 인형, 바비 책, 바비 테마 핸드백이 있고, 반짝이는 오픈탑 바비 스포츠카도 있다. 폴댄싱 폴은 거실 한가운데에서 자리를 잡고 있다.
"저는 복합적인 성격이에요," 그녀가 무민 머그잔으로 차를 마시며 말했다. "사람들과 어울리는 것을 좋아하지만, 그런 생각이 들어요, 그 의심: 어쩌면 그들 모두가 내가 거짓말쟁이에, 멍청하고, 못생겼고, 내가 무엇을 하는지 모른다고 생각할지도 모른다고요." 아우어는 평생 대부분을 우울증과 싸워왔다. 18세 때, 그녀는 자신보다 29살 많은 남자와 비밀스럽고 어려운 관계를 맺었고, 이는 그녀의 자존감을 더욱 떨어뜨렸다. 그녀는 과음을 했다. "치료를 받지 않았다면, 내가 어떻게 되었을지 모르겠어요. 아마 제가 30세까지 살지 못한 다른 우주가 있을 거예요."
아우어의 치료 비용 대부분은 핀란드 의료 시스템에서 부담했고, 그녀는 매주 세션당 약 25유로만 지불했다. 그녀는 큰 진전을 보이고 있었다. "2018년과 2019년에 치료를 받은 후, 기본적인 안전감을 얻었어요. 그런데 2020년에 그것을 잃었죠."
바스타모의 CEO는 고객들이 알기 몇 주 전에 회사의 환자 등록부가 몸값으로 요구받고 있다는 사실을 알고 있었다. 2020년 9월 28일, 빌레 타피오는 데이터를 안전하게 보호하기 위해 45만 유로 상당의 비트코인을 요구하는 이메일을 받았다. 이메일에 첨부된 환자 기록 샘플은 협박자가 허세를 부리는 것이 아니라는 것을 증명했다. 타피오는 사이버 보안 회사를 불러 조사에 착수했다.
의료 정보는 잠재적 협박자들에게 명백한 표적이라고, 타피오가 고용한 보안 전문가 안티 쿠리투는 말한다. 하지만 이번 사건은 달랐다: "내가 치료사에게 말하는 것은, 본질적으로 내 혈압 수치보다 훨씬 더 사적인 정보입니다,"라고 그는 무덤덤하게 말한다.
쿠리투는 과거 핀란드 경찰의 사이버 범죄 수사관이었으며, 그는 경찰이 별도의 수사를 시작할 수 있도록 몸값 요구 시도에 대해 알려야 한다고 주장했다고 말한다. 한편, 그는 바스타모의 서버를 조사하기 시작했고, 해킹 배후가 누구일지에 대한 단서를 찾는 중 가장 먼저 눈에 띈 것 중 하나는 보안이 얼마나 허술했는지였다. "이런 종류의 정보를 저장하기에는 분명히 적합하지 않았습니다,"라고 그는 말한다. 그는 환자 기록 데이터베이스가 인터넷을 통해 접근 가능했으며, 방화벽이 없었고, 아마도 가장 심각하게는 빈 비밀번호로 보호되어 있어 누구나 엔터 키만 누르면 열 수 있었다고 말한다. 쿠리투는 바스타모를 해킹한 자가 아마도 인터넷을 스캔하면서 보안이 허술한... 해커들은 이익을 얻을 수 있는 가치 있는 데이터베이스를 찾고 있었다. "그들은 다양한 금고를 테스트하며 어떤 것이 잠겨 있지 않은지 확인하다가 우연히 이 금고를 발견한 거예요,"라고 쿠리투는 설명한다.
우리의 가장 사적인 비밀—세상에 결코 드러내고 싶지 않은 것들—이 온라인에 존재한다.
몇 주 동안 해커와 바스타모는 이메일로 소통했지만, 바스타모는 몸값을 지불할 생각을 전혀 하지 않았다. 그렇게 하는 것은 범죄자의 기록 삭제 약속을 믿는 것을 의미할 것이다. 게다가 쿠리투는
