예일 로스쿨 출신 M&A 변호사가 10년간 30건 딜 정보를 팔았다

빅로 6개 로펌 무대·30명 기소·아마존-아이로봇 인수 기밀도 새나가… "커피"는 내부 정보, "래비"는 공모자

2026년 5월 6일, 미국 법무부와 SEC가 동시에 발표한 기소장은 월가 법조계를 충격에 빠뜨렸다. 2014년부터 2024년까지 10년간 30건의 M&A 딜 기밀 정보를 빼내 수천만 달러의 부당이익을 거둔 글로벌 내부자거래 조직이 적발됐다. 기소된 30명 중 19명은 즉시 체포됐고, 러시아 국적자 1명과 이스라엘 소재 피의자 2명은 현재 도주 중이다. 무대가 된 곳은 Goodwin Procter, Sidley Austin, Latham & Watkins, Weil Gotshal, Willkie Farr, DLA Piper — 미국 최상위 빅로(BigLaw) 6개 로펌이었다.

예일 로스쿨을 나온 변호사가 휴직 중에 사내 시스템에 접속했다

사건의 중심에 니콜로 노우라프찬(43세)이 있다. 예일 로스쿨 출신으로 Sidley Austin, Latham & Watkins, Goodwin Procter를 순차적으로 거친 M&A 전문 변호사다. 검찰에 따르면 그는 각 로펌 재직 중은 물론, 공식 휴직 상태에서도 사내 문서관리시스템(DMS)에 원격 접속해 자신이 담당하지 않은 딜의 기밀 서류를 무단 열람했다. 빼낸 정보는 뉴욕주 변호사 자격을 보유한 공모자 로버트 야드가로프를 통해 트레이더 네트워크로 흘러 들어갔다.

Goodwin Procter는 2022년 아이로봇(iRobot)이 아마존에 17억 달러(약 2조3,000억 원)에 인수되는 딜에서 아이로봇 측 법률 자문을 맡고 있었다. 기소장에 따르면 노우라프찬은 공식 발표(2022년 8월 5일) 약 두 달 전에 이미 해당 정보를 공모자들에게 전달했다. 정보를 받은 이들은 미리 아이로봇 주식을 매수했고, 인수 발표 당일 주가가 19% 급등하자 대규모 차익을 실현했다. 아이러니하게도 이 딜은 2024년 1월 EU 반독점 규제 당국의 반대로 최종 무산됐다. 변호사들은 이미 수익을 챙긴 뒤였다.

"커피"는 내부 정보, "래비"는 공모자 — 10년을 버텨낸 은폐 수법

이 조직이 10년간 적발을 피한 데에는 치밀한 보안 전략이 있었다. 암호화 메신저 앱을 쓰고, 대면 미팅 시에는 참석자 전원의 휴대폰을 수거했다. 버너폰(일회용 선불폰)으로 교신했고 암호어를 썼다. 내부 정보는 "커피(coffee)", 주요 인물은 "래비(rabbi)"로 지칭했다. 수익금은 버진아일랜드·파나마 페이퍼컴퍼니와 러시아 국적 중간상을 통해 해외 계좌로 분산됐다. 사후에는 가짜 리서치 노트를 작성해 정상 투자처럼 위장했다. 킥백은 현금, 해외 송금, '사업 대출' 형식으로 정보 제공자에게 역으로 흘러 들어갔다.

기소장에 등장하는 주요 딜은 아마존-아이로봇 외에도 J&J-Actelion(300억 달러), Cigna-Express Scripts(540억 달러), Vista Equity의 KnowBe4 인수, C.R. Bard, 퀄컴, Care.com, SailPoint 등 10년간 30건에 달한다.

휴직 중에도 원격 접속이 됐다는 것 — 로펌 보안 체계의 민낯

이 사건이 M&A 딜 자체보다 더 충격적으로 받아들여지는 이유는 시스템의 허점이다. 피의자들은 여러 로펌을 옮겨다니며 10년간 범행을 지속했음에도, 어느 로펌도 채용 과정이나 재직 중에 이를 감지하지 못했다. 특히 휴직 상태에서 사내 DMS 원격 접속이 가능했다는 점은 로펌들의 접근권한 관리가 얼마나 허술했는지를 보여준다. 고객사의 M&A 전략 전체가 들어 있는 시스템이 그렇게 열려 있었다는 뜻이다.

전 직원이 부여된 신뢰를 저버리고 기밀 정보를 악용한 것에 깊은 실망을 느낀다.

Goodwin Procter, FT 코멘트

로펌 자체는 피의자가 아니다. 그러나 이 사건 이후 빅로 전반에서 접근권한 감사와 내부 보안 체계 점검 압력이 커질 것은 분명하다.