랜섬웨어 갱단에 돈을 지불하는 것은 결코 안전을 보장하지 않았지만, 새로운 연구는 그 도박이 실패하는 빈도를 구체적인 수치로 보여준다. 최근 연구 결과에 따르면, 랜섬웨어 공격을 받은 영국 조직의 58%가 요구된 몸값을 지불했으며, 그 중 22%가 다시 두 번째 갈취 시도를 당했다. IT 팀과 개인 데이터가 기업 네트워크를 통과하는 모든 사람에게 주는 메시지는, 예전의 '지불하고 넘어가자'는 작전법이 더 이상 통하지 않는다는 점이다.

새로운 현실: 돈을 내도 공격은 끝나지 않는다

랜섬웨어는 한때 예측 가능한 시나리오를 따랐다. 공격자가 파일을 암호화하면, 피해자가 돈을 내고 복호화 키를 받아 사건이 종료되는 식이었다. 하지만 그 시나리오는 다시 쓰였다. 데이터를 암호화하기 전에 훔쳐낸 뒤, 지불 여부와 상관없이 데이터를 유출하겠다고 협박하는 이중 갈취 방식으로 전환되면서, 몸값 거래는 아무것도 해결해 주지 않는다. 이미 돈을 낸 조직을 상대로 반복적인 강탈이 이뤄지고 있다는 22% 수치는, 수년간 보안 연구자들이 경고해 온 사실을 확인해 준다. 데이터가 외부로 나간 순간, 그 이후에 어떤 일이 벌어질지에 대한 실질적인 통제력은 사라진다는 점이다. 한 번 돈을 받은 범죄 집단은, 같은 집단이든 접근 권한을 재판매한 다른 집단이든, 다시 공격할 충분한 유인이 있다.

특히 Windows 관리자에게는 이것이 사고 대응 방식을 크게 바꾼다. 백업에서 복구하는 것은 한때 지불의 대안으로 여겨졌다. 이제는 지불이 데이터 유출을 확실하게 막아 주지 못하기 때문에, 백업 복구를 기본적인 기대치로 삼아야 한다. 검증된 오프라인 백업, 강력한 ID 보안 통제, 문서화된 복구 계획이 익명의 지갑으로의 송금이 아니라 악순환을 끊어내는 수단이다.

AI가 초기 침투를 가속화한다

이 연구의 또 다른 주요 주제는 공격 초기 단계에서 AI의 역할이 커지고 있다는 점이다. 공격자가 네트워크에 처음 발판을 마련하는 초기 침투 단계에서 AI 도구가 가장 큰 영향을 미치고 있다고 한다. 신속한 정찰, 더욱 설득력 있는 피싱 미끼, 그리고 악용 가능한 취약점을 더 빨리 식별하는 능력은 피해가 발생하기 전에 무언가 잘못됐음을 알아챌 방어자의 시간 여유를 모두 줄인다.

대부분의 랜섬웨어 방어는 공격자가 심각한 피해를 입히기 전에 네트워크 내에서 이동할 시간이 필요하다는 가정을 전제로 구축되어 있기 때문에 이는 중요하다. AI가 그 일정을 단축시키고 있다면, 주기적 패치 주기와 수동 모니터링에만 의존하는 조직은 점점 더 위험에 노출된다. 이는 다중 요소 인증, 권한 있는 접근 관리, 신속한 이상 탐지와 같은 ID 보안이 엔드포인트 보호만큼이나 중요해진 이유를 뒷받침한다.

왜 데이터 절도가 진짜 개인정보 이슈인가

암호화된 파일이 주로 뉴스 헤드라인을 장식하지만, 이중 갈취 모델은 일반 사람들에게 더 중요한 문제, 즉 데이터 자체에 초점을 맞춘다. 훔친 HR 기록, 고객 데이터베이스, 직원 파일을 포함하는 모든 랜섬웨어 사건은 그 본질이 개인정보 침해 사건이다. 남아프리카 통계청 HR 시스템 침해로 직원 데이터 노출 사례를 보면, 민감한 개인정보를 보유한 내부 시스템이 단순히 부수적 피해가 아니라 실제 공격 목표가 될 수 있음을 알 수 있다. 랜섬웨어 그룹이 시스템을 잠그기 전에 이런 종류의 데이터를 빼낸 경우, 몸값을 지불한다고 해도 이름, 급여, 주소, 건강 정보 등이 이미 범죄 서버에 있거나 매물로 올라와 있을 수 있다는 사실을 되돌릴 수 없다.

이는 순수하게 기술적인 랜섬웨어 보도에서 자주 빠지는 부분이다. 두 번째 갈취 시도는 단순한 기업의 골칫거리가 아니라, 처음에 데이터를 도난당한 개인들에게 가해지는 2차 노출의 물결이라는 점이다. 직원, 고객, 환자는 조직이 돈을 낼지 여부에 대해 거의 발언권이 없지만, 헤드라인이 사라진 후에도 신원 도용, 표적 피싱, 사기 등의 지속적인 위험을 떠안게 된다.

이것이 우리에게 의미하는 바

IT나 보안 분야에서 일한다면, 이 데이터는 몸값 지불을 해결책으로 여기지 말고 최악의 경우에 대비한 대체 수단으로 간주해야 한다는 분명한 신호다. 복구 계획, 불변 백업, ID 중심 보안에는 일반적으로 투입되는 예산과 테스트 시간보다 더 많은 예산과 시간이 필요하다. 랜섬웨어 사고를 공개한 조직의 직원이나 고객이라면, 시스템이 '복구됐다'는 말을 듣더라도 자신의 데이터가 복사됐을 수 있다고 가정하라. 계정을 모니터링하고, 이 침해를 언급하는 피싱 시도를 경계하며, 민감한 개인정보나 금융 정보가 연루된 경우 신용 모니터링을 고려하라.

실행 가능한 교훈

조직은 정기적으로 백업 무결성을 감사하고, 백업이 실제로 운영 네트워크로부터 격리되어 있는지 확인해야 한다. 다중 요소 인증과 최소 권한 접근은 핵심 시스템뿐 아니라 모든 시스템에서 반드시 적용해야 하는 원칙이어야 한다. 사고 대응 계획에는 탈취된 데이터가 공개될 때 필요한 법적·커뮤니케이션 조치를 포함, 이중 갈취 시나리오를 명시적으로 다루어야 한다. 랜섬웨어 공개에 영향을 받은 개인은 비밀번호를 변경하고, 가능한 경우 MFA를 활성화하며, 후속 사기 시도에 경계를 늦추지 말아야 한다. 데이터는 분명하다. 랜섬웨어 2차 갈취는 더 이상 드문 예외 사례가 아니라 공격 수명 주기의 표준 단계가 되어가고 있으며, 유일한 진정한 방어는 사전 대비뿐이다.