경매 시작 전에 이루어진 거부

대부분의 랜섬웨어 사건은 익숙한 순서를 따른다: 공격자가 데이터를 탈취하고, 유출 사이트에 게시를 발표한 뒤에야 피해 기관이 공개적으로 대응한다. 베를린 주정부는 그 패턴을 깨뜨렸다. 해당 사건에 대한 보도에 따르면, 카이 베그너 통치 시장과 이리스 슈프랑어 베를린 내무·체육 상원의원은 협박범들이 공개적으로 주장을 게시하기도 전에 베를린 시간 오후 3시 39분에 몸값 지불을 거부하는 공동 성명을 발표했다. 같은 날 오후, 책임 랜섬웨어 조직은 베를린 주정부 데이터 5.79테라바이트라고 주장하는 자료를 경매에 부쳤다.

이 순서는 중요하다. 베를린 관리들은 협박 시도가 어떻게 전개될지, 혹은 여론의 압박이 형성될지 기다리지 않았다. 그들은 선제적으로 입장을 밝혔고, 이는 공개 유출을 위협함으로써 공격자들이 얻고자 했을 어떤 레버리지도 사실상 제거했다. 이는 베를린이 랜섬웨어 요구를 전면 거부하기로 한 결정으로 이미 주목을 받은 사건에서 작지만 의미심장한 세부 사항이다.

라이시다가 누구이며 무엇이 탈취되었나

이 공격의 배후 조직은 라이시다(Rhysida)로, 정부 및 공공 부문 네트워크를 표적으로 삼아 온 랜섬웨어 조직이다. 베를린의 경우, 시 주정부 행정 시스템에 대한 침입은 즉시 발견되고 차단되지 않았다. 해당 사건의 시간대에 대한 보도는 탐지와 차단 사이 약 7일의 공백이 라이시다에게 연결이 최종 차단되기 전에 5.79테라바이트 전체를 유출할 충분한 시간을 주었다는 것을 시사한다. 의심스러운 활동을 발견하고 실제로 차단하기까지의 이 창은 랜섬웨어 사건이 통제 가능한 수준에서 치명적인 상황으로 전환되는 지점인 경우가 많다.

베를린이 지불하지 않겠다고 분명히 밝히자, 라이시다는 위협을 실행에 옮겼다. 이 조직은 탈취한 데이터를 경매에 부쳤고, 이는 더 이상 시스템 암호화에만 의존하지 않는 랜섬웨어 운영자들 사이에서 점점 더 흔해지는 전술이다. 대신 그들은 먼저 민감한 데이터를 탈취하고 피해자가 지불을 거부하면 판매하거나 공개하겠다고 위협한다. 이는 종종 이중 갈취(double extortion)라고 불리는 모델이다. 탈취한 데이터를 경매에 부치는 것은 추가적인 복잡성을 더한다: 단순한 유출보다 더 많은 사람의 손에 정보가 들어갈 수 있게 되면서, 원래 피해자뿐만 아니라 모든 구매자에게 문을 열어주는 것이다.

정부가 점점 더 거부를 선택하는 이유

베를린의 거부는 공공 부문 기관들의 더 넓은 추세에 부합한다. 몸값을 지불한다고 해서 탈취된 데이터가 실제로 삭제되거나 공격자가 두 번째 지불을 요구하러 돌아오지 않을 것이라는 보장이 없다. 또한 특정 도시나 기관이 협상할 의사가 있다는 신호를 다른 범죄 조직에 보내 향후 공격을 초래할 위험도 있다. 주정부의 경우 추가적인 고려 사항이 있다: 범죄 조직에 지불하는 데 사용된 공공 자금은 조사를 불러일으킬 수 있으며, 그렇게 하는 것은 몸값 지불을 전면적으로 권장하지 않는 국가 또는 지역 지침과 충돌할 수 있다.

경매 게시물이 공개되기 전에 발표된 베를린의 거부 시점은 관리들이 협박 시도가 공개되기 훨씬 전에 이미 입장을 정해 두었음을 시사한다. 이런 종류의 준비성, 즉 사건이 확대되기 전에 대응 계획을 마련해 두는 것은 보안 전문가들이 오랫동안 모든 규모의 조직에 채택할 것을 권고해 온 것이다.

이것이 당신에게 의미하는 바

대부분의 독자는 정부 네트워크를 관리하지 않겠지만, 베를린 사건은 여전히 실용적인 교훈을 제공한다. 시청 기관, 의료 제공자, 또는 기업 등 당신이 사용하는 서비스가 랜섬웨어 공격을 경험한다면, 그 조직의 대응은 종종 여기서 일어난 일을 그대로 반영한다: 지불 거부, 그리고 그 뒤를 이은 탈취 데이터의 판매 또는 경매 등장. 이는 실제 절도가 발생한 후 상당한 시일이 지나서, 때로는 격리 조치가 얼마나 빨리 이루어졌는지에 따라 며칠 또는 몇 주 후에 통지서, 신용 모니터링 제안, 또는 침해 공개가 도착할 수 있음을 의미한다.

유사한 침해의 영향을 받을 수 있는 정부 또는 기관 시스템과 상호작용한다면, 귀하의 정보가 알려진 데이터 노출에 나타났는지 정기적으로 확인하고, 공식 채널을 통해 확인할 수 있을 때까지 예상치 못한 알림 이메일이나 전화에 주의를 기울이는 것이 좋다.

핵심 요점

라이시다가 경매를 열기 전에 베를린이 몸값 요구를 거부하기로 한 결정은 공공 기관이 협박 시도를 처리하는 방식의 변화를 강조한다: 일찍 결정하고, 명확하게 소통하며, 공격자의 다음 움직임을 기다리지 말 것. 일반 독자에게 이 사건은 랜섬웨어의 여파가 종종 단계적으로 전개된다는 점, 즉 탐지, 차단 지연, 거부, 그리고 그다음의 데이터 판매를 상기시킨다. 그리고 당신이 거래하는 어떤 조직과 관련된 침해 알림에 계속 주의를 기울이는 것이 자신을 보호하는 가장 간단한 방법 중 하나라는 점을 상기시킨다. 영향을 받은 시스템과 연결되어 있다면 베를린 주정부 기관의 공식 업데이트를 주시하고, 랜섬웨어 사건이 당신이 의존하는 조직에 닿을 때마다 개인 정보를 사전에 모니터링하는 것을 고려하라.