CISA, BianLian의 전술 대전환 확인

사이버보안 및 인프라 보안국(CISA)은 한때 병원 네트워크를 마비시키던 랜섬웨어 그룹 BianLian이 2024년 1월부터 파일 암호화를 완전히 중단했다고 확인했습니다. 이제 이 그룹은 데이터를 뒤섞고 복호화 키를 대가로 요구하는 대신, 오로지 민감한 정보를 훔쳐 이를 유출하겠다고 협박하여 피해자가 돈을 내도록 압박하는 데 집중하고 있습니다.

이번 확인이 중요한 이유는 랜섬웨어 운영자들의 비즈니스 방식에 더 광범위한 변화가 일고 있음을 시사하기 때문입니다. 수년간 표준 교본은 피해자의 파일을 암호화하고 몸값 노트를 남겨 조직이 복호화 키를 구매하거나 백업에서 복구하는 선택을 하도록 강요하는 것이었습니다. BianLian이 이 모델에서 벗어난 것은 암호화라는 추가 단계 없이도 데이터 절도만으로 충분한 수익을 낼 수 있으며, 실행이 훨씬 덜 복잡하다는 점을 보여줍니다.

암호화에서 갈취로: 이 변화가 중요한 이유

전체 네트워크를 암호화하려면 시간과 컴퓨팅 자원, 그리고 공격이 끝나기 전에 탐지될 가능성을 높이는 수준의 접근 권한이 필요합니다. 반면 네트워크에서 파일을 복사해 조용히 빠져나가는 편이 더 빠르고 실시간 탐지가 어려우면서도 공격자에게 강력한 지렛대를 제공합니다. 환자 기록, 재무 문서, 내부 소통 내역을 빼낼 수 있다면, 그 데이터를 공개하겠다는 위협만으로도 피해자가 돈을 내도록 압박하기에 충분합니다.

이러한 접근 방식은 조직이 암호화 기반 공격에 대비해 구축한 방어 체계 일부를 우회하기도 합니다. 많은 기업이 파일 잠금 랜섬웨어의 영향을 완화하기 위해 백업과 복구 시스템에 막대한 투자를 했습니다. 하지만 그룹이 파일의 무결성에는 전혀 손을 대지 않고 단순히 데이터를 복사해 떠난 경우, 그런 백업은 아무런 소용이 없습니다. CISA가 이러한 변화를 확인한 것은 기관이 면밀히 추적해 온 패턴, 즉 랜섬웨어 그룹이 취약점이 널리 알려지면 좁은 표적 공격에 국한하지 않고 대규모로 악용하는 사례와도 일치합니다. CISA가 BlueHammer 취약점을 랜섬웨어 조직이 악용하고 있다고 확인한 사례에서 볼 수 있듯이 말이죠.

의료 기관은 여전히 표적

BianLian이 병원 네트워크를 표적으로 삼아 온 이력은 전술이 바뀌었음에도 주목할 가치가 있습니다. 의료 기관은 병력, 보험 정보, 진료 기록 등 가장 민감한 개인 데이터를 보유하고 있습니다. 바로 그 민감성 때문에 데이터 절도 갈취가 이 부문에 유독 효과적으로 먹혀듭니다. 환자 기록의 공개나 판매 위협에 직면한 병원은 시스템 암호화 여부와 무관하게 신속히 지불해야 할 강력한 동기를 갖게 됩니다.

이러한 네트워크에 초기 접근하는 경로는 여전히 알려진 취약점 악용에 의존하는 경우가 많으며, 이는 CISA가 알려진 악용 취약점(KEV) 카탈로그를 통해 반복적으로 기록해 온 패턴입니다. 기관이 최근 실제로 악용되고 있는 Linux 권한 상승 결함을 경고한 사례는 공격자들이 내부에 진입한 후 무엇을 하든, 여전히 패치되지 않은 시스템을 진입점으로 삼고 있음을 보여줍니다.

이것이 의미하는 바

여러분의 조직이 민감한 데이터를 다루고 있다면, 병원이든 소규모 사업체든 고객 정보를 저장하는 모든 법인이든, 이 변화는 '랜섬웨어 방어'가 갖춰야 할 모습을 바꿔 놓습니다. 백업 전략은 여전히 중요하지만 더 이상 그것만으로 충분하지 않습니다. BianLian의 새로운 접근 방식과 같은 데이터 절도 공격은 조직이 무단 접근 방지와 비정상적인 외부 데이터 전송 모니터링에 동일한 무게를 두도록 요구합니다. 피해는 파일이 암호화될 때가 아니라 네트워크를 벗어나는 순간 발생하기 때문입니다.

개인에게 주는 교훈은 더 개인적인 차원입니다. 여러분의 의료 기록, 금융 정보, 개인 정보를 보유한 기관이 데이터 절도 공격을 받으면 랜섬웨어 노트를 보거나 시스템 암호화 소식을 듣지 못할 수도 있습니다. 문제의 첫 신호는 단순한 유출 통지서일 수도 있고, 더 나쁘게는 자신의 정보가 거래되거나 온라인에 유출된 사실을 발견하는 것일 수 있습니다.

실천 가능한 조언

조직은 랜섬웨어 특유의 암호화 경보뿐 아니라 대량 또는 비정상적인 데이터 전송을 탐지할 수 있는 네트워크 모니터링 도구를 우선시해야 합니다. 초기 접근이 여전히 패치되지 않은 시스템 악용에서 비롯되므로, 알려진 취약점을 신속히 패치하는 것 또한 필수적입니다. 개인은 의료 제공자나 금융 기관의 유출 통지에 경계를 늦추지 말아야 하며, 통지를 받게 되면 신용 모니터링이나 신원 도용 보호 서비스를 고려해야 합니다. BianLian 같은 랜섬웨어 그룹이 계속해서 수법을 바꾸는 한, 어제의 방어가 오늘의 위협을 커버해 줄 거라고 가정하지 않고 이러한 변화에 대해 꾸준히 정보를 얻는 것이 가장 좋은 방어책입니다.