아누비스의 주장과 실제로 검증된 사실
아누비스(Anubis)로 알려진 랜섬웨어 그룹이 말보로 파트너스(Marlborough Partners)를 침해했다고 공개적으로 주장했지만, 현재까지 그 주장을 뒷받침하는 확인된 증거는 없다. 유출된 데이터도 공개되지 않았고, 몸값 요구도 공개되지 않았으며, 독립적인 보안 연구원이 실제 침해가 발생했다는 기술적 증거를 찾지도 못했다. 요컨대: 아누비스가 그런 일이 있었다고 말하지만, 그룹 외부에서는 아무도 이를 검증하지 못했다.
이러한 구분은 중요하다. 랜섬웨어 그룹의 유출 사이트에 게시된 주장은 확인된 데이터 침해와 동일하지 않다. 이는 공격자 자신이 한 진술일 뿐이며, 제3자 검증도, 샘플 파일도, 연구원들이 독립적으로 조사할 수 있는 포렌식 흔적도 없다. 이러한 것 중 하나라도 표면화되기 전까지는 이 alleged 사건의 침해 상태는 진정으로 불분명하다. 이 주장이 완전히 날조되었을 가능성도 있다. 또한 아직 공개 데이터 덤프로 확대되지 않은 갈취 시도의 초기 단계를 나타낼 가능성도 있다. 두 시나리오 모두 그럴듯하며, 현재로서는 둘 중 하나를 배제할 충분한 정보가 없다.
검증되지 않은 침해 주장이 일반적인 랜섬웨어 압박 전술인 이유
랜섬웨어-as-a-service 그룹은 침해가 완전히 입증되었는지와 별개로, 침해 발표 자체를 하나의 무기로 점점 더 취급하고 있다. 유출 사이트에 피해자의 이름을 게시하면 즉각적인 평판 압박이 발생한다. 고객, 파트너, 규제 기관은 회사 이름이 랜섬웨어 그룹의 브랜드 옆에 나타나는 순간 실제로 어떤 파일이 유출되었는지와 관계없이 질문을 시작한다.
이 전술은 조직이 확정적인 부인이나 확인으로 신속하게 대응하지 못하는 경우가 많기 때문에 효과적이다. 침해가 발생했는지, 그리고 그 깊이가 어느 정도인지 조사하는 데는 시간이 걸린다. 그 사이에 주장은 온라인에 남아 그 자체로 평판 피해를 입힌다. 일부 그룹은 실제로 훔친 데이터를 보유하고 있음을 증명하기 전에 조용히 몸값을 지불하도록 압박하기 위해 이 창구를 사용한다. 다른 그룹은 실제로 데이터를 보유하고 있으며 단순히 증거로 샘플을 공개하기 전에 마감일이 지나기를 기다리고 있을 뿐이다. "먼저 주장하고, 나중에 증명하거나(또는 전혀 증명하지 않거나)"라는 전략은 랜섬웨어 생태계 전반에 걸쳐 인지 가능한 패턴이 되었으며, 보안 팀이 유출 사이트 게시물을 확인된 사실이 아닌 조사할 단서로 취급하도록 훈련받는 이유 중 하나다.
아누비스가 랜섬웨어-as-a-service 그룹으로 운영되는 방식
아누비스는 랜섬웨어 세계에서 새롭거나 모호한 이름이 아니다. 이 그룹은 랜섬웨어-as-a-service 모델을 운영한다. 즉, 개별 대상을 공격하는 제휴사(affiliate)에게 멀웨어, 인프라, 갈취 플레이북을 제공한다는 뜻이다. 이러한 구조 덕분에 여러 제휴사가 동시에 같은 이름으로 다른 대상을 공격할 수 있으므로 아누비스 브랜드 공격이 대규모로 발생할 수 있다. 이 비즈니스 모델의 메커니즘(제휴사 모집 방식과 수익 분배 방식 포함)에 관심이 있는 독자는 아누비스의 RaaS 운영에 대한 이 분석에서 더 자세한 내용을 찾을 수 있다.
더 넓은 랜섬웨어 환경에서 아누비스가 주목할 만한 이유는 실제로 확인된 공격과 검증이 필요한 주장 모두의 이력이 있기 때문이다. 유용한 비교 지점은 코카콜라의 유제품 자회사인 페어라이프(Fairlife)를 침해한 그룹의 확인된 사례다. 아누비스는 회사가 협상을 거부했다고 알려진 후 위협을 실행에 옮겨 결국 상당한 양의 훔친 데이터를 유출했다. 해당 페어라이프 침해 사례는 검증된 아누비스 사건이 실제로 어떤 모습인지 보여준다: 유출, 데이터 양, 그리고 문서화된 지불 거부가 그것이다. 말보로 파트너스 주장에는 현재 이러한 확인 세부 사항이 전혀 없으며, 이것이 바로 더 신중하게 읽어야 하는 이유다.
기업과 소비자가 침해 주장의 신뢰성을 평가하는 방법
랜섬웨어 그룹이 주장을 게시할 때, 사실로 취급하기 전에 주목할 만한 몇 가지 실질적인 신호가 있다. 첫째, 샘플 데이터가 공개되었는가? 실제로 훔친 정보를 보유한 그룹은 합법성을 입증하고 압박을 높이기 위해 종종 작은 미리보기를 공개한다. 둘째, 지명된 회사가 조사를 인정하는 신중한 성명서라도 발표했는가? 셋째, 독립 연구원이나 보안 매체가 유출된 자격 증명, 포럼 대화, 그룹과 연결된 인프라 등 뒷받침하는 기술적 증거를 찾았는가?
현재 말보로 파트너스 주장에는 이러한 신호 중 어느 것도 존재하지 않는다. 이것이 주장이 거짓임을 보장하지는 않지만, 최악을 가정하기보다는 검증을 기다리는 것이 책임 있는 접근 방식이라는 것을 의미한다.
이것이 당신에게 의미하는 바
말보로 파트너스와 연결된 고객, 파트너 또는 직원이라면 즉각적인 조치는 공황이 아니라 기본적인 경계심과 함께하는 인내심이다. 회사의 공식 커뮤니케이션을 주시하고, 이 주장을 언급하는 원치 않는 이메일이나 전화에 회의적으로 대응하라. 실제 침해가 발생하지 않았더라도 사기꾼이 피싱 시도를 위해 침해 헤드라인을 악용하는 경우가 있기 때문이다.
더 넓게 보면, 이 상황은 조직이 이와 같은 모든 주장이 실제로 현실화될 수 있다고 가정하고 그에 따라 준비해야 한다는 것을 상기시킨다. 백업 복원력을 검토하는 것이 하나의 구체적인 단계이며, 일부 사건에서 불변 백업이 여전히 랜섬웨어에 피해를 입는 이유를 이해하는 것이 가치 있다. 결정적인 RaaS 제휴사에 대한 완전한 방어책은 백업 전략만으로는 부족하기 때문이다.
실행 가능한 핵심 사항
- 데이터, 성명서 또는 독립 연구가 확인할 때까지 랜섬웨어 유출 사이트 주장을 검증되지 않은 것으로 취급하라.
- 앞으로 며칠간 샘플 데이터 공개나 말보로 파트너스의 공개 성명서 등 위험 신호를 주시하라.
- 이 주장의 헤드라인에 편승하여 고객이나 직원을 표적으로 삼는 피싱 시도에 주의하라.
- 기업은 확인된 침해가 발생할 때까지 기다렸다가 테스트하는 대신 지금 백업 및 사고 대응 계획을 점검하라.
- 갈취 그룹의 주장에만 의존하지 말고 신뢰할 수 있는 보안 보도에 따르라.
아누비스 랜섬웨어의 말보로 파트너스 주장은 확인된 침해, 허세, 또는 그 중간 어딘가로 결론날 수 있다. 검증된 증거가 나타날 때까지 가장 유용한 대응은 경보가 아닌 신중한 회의주의다.
