베를린 정부 부처에 무슨 일이 있었나

8월, 해커들이 독일의 도시주인 베를린에 있는 두 개의 정부 부처에 침입해 엄청난 양의 민감한 자료를 빼돌렸다. 랜섬웨어 그룹 라이시다는 계약서, 내부 이메일, 비밀번호, 기밀 정보를 포함한 5.79테라바이트의 데이터를 훔쳤다고 주장한다. 그런 다음 이 그룹은 훔친 파일을 경매에 올렸고, 입찰 시작가를 약 230만 달러로 책정했다.

베를린 당국은 탈취 사실과 랜섬 요구를 모두 확인했지만, 도시주는 공개적으로 지불하지 않겠다고 밝혔다. 이 결정은 베를린을 대부분의 정부 사이버보안 지침, 즉 랜섬을 지불해도 데이터가 실제로 반환되거나 삭제된다는 보장이 없기 때문에 지불을 지지하지 않는다는 FBI의 오랜 입장과 같은 입장에 서게 한다.

지불 거부는 정책적 관점에서 종종 올바른 선택이다. 공격자들이 공공 기관을 계속 표적으로 삼을 재정적 유인을 차단하고, 추가 범죄 활동에 자금을 대는 것을 피할 수 있다. 그러나 그것은 또한 훔친 데이터가 돌아오지 않을 가능성이 높다는 것을 의미하며, 그 데이터는 이제 그것을 팔거나, 유출하거나, 직접 사용할 모든 이유가 있는 범죄자들의 손에 있다는 뜻이다.

라이시다의 5.79TB 탈취물이 일반적인 침해보다 더 위험한 이유

모든 데이터 침해가 동일한 위험을 지니는 것은 아니며, 이번 건의 규모와 구성이 바로 주목할 만한 이유다. 계약서, 비밀번호, 기밀 파일이 포함된 정부 랜섬웨어 데이터 침해는 관련 부처에게 단순한 불편이 아니다. 이는 후속 공격을 위한 도구 키트다.

계약서와 내부 이메일은 공급업체 관계, 조달 프로세스, 조직 구조를 드러낼 수 있으며, 이는 모두 공격자들이 나중에 설득력 있는 피싱 캠페인을 제작하는 데 도움이 된다. 기밀 정보는 민감도에 따라 진행 중인 수사, 외교 관계 또는 보안 작전을 손상시킬 수 있다. 그리고 비밀번호는 해시나 암호화가 되어 있더라도, 특히 직원들이 업무 계정과 개인 계정 간에 자격 증명을 재사용할 때 크래킹이 가능하거나 여러 시스템에서 재사용될 수 있는 경우가 많다.

이것이 랜섬 금액에 초점을 맞춘 헤드라인에서 종종 놓치는 부분이다. 이 규모의 단일 침해는 한 기관에만 국한되지 않는다. 그것은 다른 범죄 조직들이 이후 몇 달 또는 몇 년 동안 사고, 채굴, 재활용할 수 있는 원자재가 된다.

훔친 자격 증명과 계약서가 시민을 겨냥한 후속 공격을 부추기는 방법

여기서 베를린 사건이 독일 정부 IT 직원을 넘어 중요한 이유가 있다. 훔친 비밀번호와 내부 문서는 거의 원래 맥락에 국한되지 않는다. 공격자들은 유출된 자격 증명을 사용하여 관련 없는 서비스에 대한 계정 탈취를 시도하며, 사람들이 이메일, 은행, 정부 포털에서 비밀번호를 재사용한다는 점을 이용한다. 계약 세부 정보와 조직도는 정부 서비스를 이용하는 직원, 계약자, 심지어 시민을 겨냥한 사회공학 스크립트에 통합된다.

이러한 연쇄적 위험이 바로 보안 연구원들이 유출된 자격 증명과 세션이 외부로 노출된 후 어떻게 악용되는지 더 주의 깊게 살펴본 이유다. 최근 공개된 Claude와 ChatGPT Atlas의 제로클릭 결함에 대한 세부 보고서는 공격자가 사용자 상호작용 없이 활성 AI 브라우저 세션을 탈취할 수 있는 방법을 보여주었다. 이러한 기법을 훔친 비밀번호와 내부 서신의 대규모 데이터와 결합하면, 원래 침해가 시사했던 것보다 훨씬 더 큰 공격 표면이 만들어진다. 한 기관에서 훔친 자격 증명은 수십 개의 관련 없는 서비스에서 테스트될 수 있으며, 세션 탈취 기법은 다중 요소 보호 기능조차도 결심한 공격자를 항상 막지 못한다는 것을 의미한다.

개인과 조직이 노출을 제한하기 위해 할 수 있는 일

이런 침해의 영향을 받으려면 정부 부처에서 일할 필요가 없다. 영향을 받은 시스템을 통해 정보가 유통된 직원, 계약자, 시민은 모두 잠재적으로 노출될 수 있으며, 실질적인 방어책은 주요 정부 랜섬웨어 데이터 침해 이후마다 보안 전문가들이 권장하는 것과 동일하다.

자격 증명 위생부터 시작하라. 비밀번호 관리자를 사용하여 모든 계정에 고유하고 복잡한 비밀번호를 생성하면, 한 번의 침해로 유출된 비밀번호가 다른 계정을 여는 데 재사용될 수 없다. 다중 요소 인증이 제공되는 곳에서는 어디든 활성화하고, 예상치 못한 로그인 프롬프트나 비밀번호 재설정 이메일은 의심스럽게 취급하라.

시립 건물의 공공 Wi-Fi나 공유 사무실 네트워크 등 정부와 인접한 네트워크를 사용한다면, VPN을 사용하면 해당 네트워크를 도청하는 사람이 트래픽을 가로채기 어렵게 만드는 암호화 계층이 추가된다. 그것이 원천에서 침해를 막지는 못하지만, 연결되어 있는 동안 노출을 줄여준다.

마지막으로, 이메일이나 자격 증명이 유출된 데이터 덤프에 나타날 때 알려주는 침해 모니터링 서비스에 가입하라. 라이시다가 훔쳤다고 주장하는 규모를 고려할 때, 베를린 정부와 직접적인 관련이 없더라도 모니터링은 합리적인 예방 조치다.

이것이 당신에게 의미하는 바

베를린 사건은 정부 랜섬웨어 데이터 침해가 피해 기관에만 국한되는 경우가 거의 없다는 것을 상기시킨다. 훔친 비밀번호, 계약서, 내부 통신은 바깥으로 퍼져나가 원래 침해와 직접적인 관련이 없는 일반인과 기업을 겨냥한 피싱 캠페인, 자격 증명 채우기 공격, 세션 탈취 시도를 부추긴다.

베를린의 랜섬 지불 거부는 방어 가능한 입장이지만, 노출을 되돌리지는 못한다. 나머지 우리를 위한 실질적인 대응은 침해가 어디서 발생했는지와 관계없이 동일하다: 고유한 비밀번호, 다중 요소 인증, 신중한 네트워크 습관, 정기적인 침해 모니터링. 이러한 조치가 모든 공격을 막지는 못하지만, 후속 침해가 계정과 신원에 미칠 수 있는 피해를 상당히 줄여준다.

이번 주에 몇 분을 내어 계정 중 비밀번호를 공유하는 것이 있는지 확인하고, 해당 비밀번호를 업데이트하라. 작은 단계이지만, 베를린과 같은 침해가 당신의 디지털 생활에 얼마나 깊숙이 닿을 수 있는지를 제한하는 바로 그런 습관이다.