무슨 일이 있었나: 양측 모두를 위해 일한 협상가
기업이 랜섬웨어 공격을 받으면 가장 먼저 연락하는 사람 중 하나가 협상가입니다. 공황 상태의 피해자와 범죄 조직 사이에서 몸값 요구를 줄이거나 복구 시간을 벌기 위해 신뢰받는 전문가죠. 이 관계는 전적으로 신뢰에 기반합니다. Malwarebytes의 보도에 따르면, 한 협상가가 가장 치명적인 방식으로 그 신뢰를 저버렸습니다. 피해자들을 도와 BlackCat 랜섬웨어 조직에 맞서도록 돕기는커녕, 피해자들을 대신해 진행 중인 협상 내부 정보를 범죄자들에게 몰래 흘린 것입니다.
그 결과, 피해자들은 수백만 달러의 손실을 입는 랜섬웨어 협상가 내부자 위협 시나리오가 현실이 되었습니다. 기업과 공격자 사이의 방화벽 역할을 하기는커녕, 협상가는 사실상 두 번째 공격자나 다름없었습니다. 피해자의 재정적 한도, 법적 전략, 몸값 지불 의사 등 민감한 정보에 접근할 수 있는 특권을 가진 존재였으니까요. 이는 사고 대응 실패 중에서도 최악의 상황에 가깝습니다. 조직이 비용을 지불하고 의지하는 바로 그 안전 장치가 오히려 부채로 돌변했기 때문입니다.
서비스형 랜섬웨어 조직이 신뢰받는 중개자를 포섭하는 방법
ALPHV라고도 알려진 BlackCat은 서비스형 랜섬웨어(RaaS) 그룹으로 운영됩니다. 이는 맬웨어와 인프라를 제휴 조직원들에게 라이선스 형태로 제공하고, 이들이 공격을 실행해 수익을 나누는 구조입니다. 이 비즈니스 모델은 항상 수익 일부를 대가로 협력하려는 사람들의 네트워크를 구축하는 데 의존해 왔습니다. 훔친 자격 증명을 판매하는 초기 접근 중개인부터 실제 암호화 페이로드를 배포하는 제휴 조직원까지 다양합니다. 타협되었거나 공모한 협상가는 이러한 네트워크의 다음 단순한 연장선에 불과합니다. 합법적인 사고 대응 생태계에 내재되어 있어, 조직이 스스로는 절대 얻을 수 없는 정보를 공유할 수 있는 사람이죠.
바로 이 점 때문에 이번 사건이 BlackCat 그 자체를 넘어 중요한 의미를 갖습니다. 랜섬웨어 조직들은 침해 대응에서 가장 취약한 고리가 방화벽이나 패치되지 않은 서버가 아닐 수 있다는 점을 점점 더 잘 이해하고 있습니다. 바로 사람, 특히 보안 사고라는 가장 스트레스가 극심한 순간에 피해자가 신뢰하기로 선택한 바로 그 사람일 수 있습니다. 신뢰와 접근 권한을 악용하는 동일한 원칙은 유럽 평의회 HR 시스템에 대한 ShinyHunters 침해 사건과 같은 사례를 포함한 랜섬웨어와 데이터 갈취 환경 전반에서 나타납니다. 이 사건에서도 공격자들은 내부 접근 경로를 확보하기만 하면 얼마나 효과적으로 이를 활용할 수 있는지 다시 한번 입증했습니다.
침해 피해자의 공격 표면을 확장하는 이유
대부분의 조직은 랜섬웨어 위험을 자사 네트워크 측면에서 생각합니다. 엔드포인트, 서버, 백업, 직원 교육 등이죠. 공격이 이미 시작된 후에 투입하는 외부 업체나 컨설턴트가 초래하는 위험을 고려하는 곳은 훨씬 적습니다. 하지만 협상가는 포렌식 조사관이나 침해 대응 코치와 마찬가지로, 위기 상황에서 기업이 보유한 가장 민감한 정보, 즉 피해자가 지불할 용의가 있는 몸값 액수, 실제로 어떤 데이터가 도난당했는지, 공개를 피하기 위해 조직이 얼마나 절박한지 등에 접근할 수 있는 경우가 많습니다.
그러한 접근 권한이 악용되면 피해는 복합적으로 커집니다. 피해자는 몸값 자체로 인한 금전적 손실뿐 아니라 협상에서 가졌던 모든 레버리지를 잃게 됩니다. 대화가 시작되기도 전에 조직이 이미 피해자의 마지노선을 알고 있기 때문입니다. 이번 사건은 사고 대응 공급망도 다른 어떤 공급업체 관계와 마찬가지로 동일한 수준의 정밀 검토를 받아야 하며, 위기 상황에서 누군가 적절한 직함을 가졌다는 이유만으로 신뢰를 가져서는 안 된다는 점을 상기시킵니다.
위기가 닥치기 전에 사고 대응 담당자와 협상가를 검증하는 방법
랜섬웨어 협상가나 사고 대응 업체를 검증하기 가장 좋은 시점은 공격이 발생하기 전입니다. 시간 압박 때문에 신중한 실사가 거의 불가능한 상황이 닥친 후가 아니라요. 조직은 다음과 같은 몇 가지 구체적인 조치를 취할 수 있습니다.
- 해당 업체의 실적을 확인하고, 유사한 사고를 경험한 기존 고객의 추천인을 요청하세요.
- 업체가 자체 직원을 어떻게 검증하는지, 즉 신원 조회나 협상 세부 정보에 접근할 수 있는 인원에 대한 내부 통제 방안을 확인하세요.
- 단일 접촉 지점에만 의존하지 말고, 모든 협상 과정에서 문서화되고 감사 가능한 의사소통 로그를 요구하세요.
- 외부 법률 고문이나 제2의 보안 자문가를 투입하여 몸값 액수나 지불 시기 같은 주요 결정을 독립적으로 검증하도록 하세요.
- 사고 대응 자문 계약의 일환으로 이러한 공급업체 관계와 계약을 사전에 구축해, 침해가 진행 중일 때 급하게 도움을 찾는 일이 없도록 하세요.
이것이 당신에게 의미하는 바
조직에 랜섬웨어 대응 계획이 있다면, 이번 사건을 계기로 실제 계획에 포함된 사람이 누구인지, 그리고 그들을 얼마나 잘 알고 있는지 재검토해 보기 바랍니다. 랜섬웨어 협상가 내부자 위협은 드물지만, 그 결과가 너무 심각하기 때문에 적당한 수준의 사전 검증 노력은 충분히 가치가 있습니다. 침해 상황에서 특권적 접근 권한을 갖는 모든 제3자, 즉 포렌식 조사관, 법률 고문, 홍보 대행사 등에도 동일한 논리가 적용됩니다. 새로운 소프트웨어 공급업체에 기울이는 것과 똑같은 수준의 정밀 검토가 필요합니다.
핵심 요약
- 위기 발생 전에 사고 대응 및 협상 업체를 검증하세요. 여기에는 직원 신원 조회와 추천 확인이 포함됩니다.
- 신뢰하는 단일 개인에게 의존하지 말고, 모든 몸값 협상에 대해 문서화되고 감사 가능한 로그를 요구하세요.
- 제3자 대응 인력을 단순한 방어 수단이 아니라 공격 표면의 일부로 간주하세요.
- 초기 접근부터 최종 협상까지, 침해의 모든 단계에서 랜섬웨어와 갈취 조직이 신뢰를 어떻게 악용하는지 계속 주시하세요.
