새로운 랜섬웨어 조직이 범죄를 시도하려는 이들에게 공격적인 제안을 내놓고 있다. eSecurity Planet의 보도에 따르면, 다크 프로젝트(Dark Project)는 제휴사(affiliate)에게 갈취 금액의 80%를 제공하며 지금까지 38곳의 피해자를 기록했다고 주장한다. 다크 프로젝트의 랜섬웨어 제휴 모델은 갈취의 경제학이 계속해서 공격자에게 유리한 방향으로 움직이고 있음을, 그리고 자신의 데이터를 보유한 조직이 공격받을 때 일반인들이 그 결과를 체감하게 된다는 점을 상기시켜 준다.

이 글은 보도에서 확인된 내용, 수익 배분 구조가 왜 중요한지, 그리고 조직과 개인이 각각 무엇을 할 수 있는지를 다룬다. 원자료가 짧기 때문에 우리는 확인된 사실, 즉 제휴사 몫 80%와 피해자 38곳이라는 주장에만 초점을 맞춘다.

다크 프로젝트의 80% 제휴 수익 배분 방식

다크 프로젝트는 랜섬웨어 서비스(RaaS) 모델을 따른다. RaaS 구조에서는 핵심 그룹이 악성코드와 그 주변 인프라를 구축하고 유지한다. 별도의 운영자인 제휴사들은 실제 침투와 갈취 시도를 수행한다. 피해자가 돈을 지불하면 그 금액은 양측 사이에서 나뉜다.

여기서 보도된 배분은 제휴사에게 각 갈취 금액의 80%를 준다. 운영자는 나머지를 가져간다. 피해자 38곳이라는 수치는 그룹이 주장한 것이므로, 관련 조직이나 독립 연구자에 의해 확인되기 전까지는 미검증 상태로 취급해야 한다.

이 모델의 핵심은 역할 분담이다. 개발자들은 도구, 유출 사이트, 협상 인프라에 집중한다. 제휴사들은 침투에 집중한다. 각 측은 완전히 독립적인 조직이 수행할 때보다 적은 일을 하며, 이것이 이 모델이 널리 퍼진 이유다. 이 접근 방식 아래에서 기존 그룹이 어떻게 운영되어 왔는지 더 자세히 보려면 BlackCat/ALPHV 랜섬웨어 프로필을 참고하라.

관대한 RaaS 수익 배분이 갈취의 진입 장벽을 낮추는 이유

높은 제휴 비율은 모집 도구다. 신생 그룹들은 기존 브랜드와 경쟁해 숙련된 침투 전문가를 확보해야 하며, 더 큰 몫은 그들을 끌어들이는 한 가지 방법이다. 80%라는 몫은 네트워크 접근 권한을 얻을 수 있는 누구에게나 재정적으로 매력적인 제안이 된다.

기술적인 효과도 있다. 플랫폼이 암호화 도구와 유출 인프라를 제공하기 때문에 제휴사는 악성코드를 작성하거나 협상 작전을 운영할 필요가 없다. 이는 기술적 장벽을 낮추고 공격을 시도할 수 있는 사람의 범위를 넓힌다.

그 결과는 더 많은 대상에 걸쳐 퍼진 더 많은 시도이며, 여기에는 사람들에 관한 민감한 기록을 보유하면서도 보안 예산이 제한된 조직도 포함된다. 이러한 양상은 인신매매 생존자를 지원하는 비영리단체를 노린 랜섬웨어 공격 같은 사건에서 드러나는데, 여기서 중요했던 것은 기술적 정교함보다 누가 영향을 받았는지였다.

조직이 주시하고 강화해야 할 사항

침투하는 쪽은 제휴사이므로, 방어자들은 특정 그룹의 브랜드보다 네트워크로 들어오는 일반적인 경로에 집중해야 한다. 실질적인 우선순위는 다음과 같다:

  • 원격 접속: VPN, 원격 데스크톱, 기타 외부에 노출된 서비스를 점검하라. 다중 인증을 적용하고 신속히 패치하라.
  • 자격 증명: 비정상적인 로그인, 재사용된 비밀번호, 과도한 권한을 가진 계정을 주시하라.
  • 데이터 이동: 대규모 또는 예상치 못한 외부 전송을 모니터링하라. 현대 공격은 보통 무언가를 암호화하기 전에 데이터를 탈취하기 때문이다.
  • 백업: 오프라인 또는 불변 사본을 유지하고 정기적으로 복원을 테스트하라. 백업은 복구에 도움이 되지만 데이터 탈취를 되돌리지는 못한다. 이유는 이중 갈취 해설에서 설명한다.
  • 유출 사이트 모니터링: 귀하의 조직이나 공급업체가 갈취 사이트에 나타나는지 추적하여 조기에 대응할 수 있도록 하라.

이것이 당신에게 의미하는 바

대부분의 사람은 RaaS 제휴사의 직접적인 표적이 되지 않을 것이다. 노출은 간접적으로 온다. 고용주, 보험사, 의료 제공자, 항공사 등이 당신의 데이터를 보유하고 있고, 그 조직이 공격받는 것이다. 갈취 그룹이 탈취한 파일을 공개하면 그 정보는 널리 유포될 수 있으며, 영국 공항 여행객 기록 870만 건 유출 사건이 그 예이다.

이용 중인 서비스가 공격받았다면 다음 단계를 고려하라:

  1. 공식 통지를 주의 깊게 읽어라. 어떤 범주의 데이터가 관련되었는지, 신용 모니터링 등 어떤 보호 조치가 제공되는지 확인하라.
  2. 해당 서비스의 비밀번호를 변경하고, 같은 비밀번호를 재사용한 다른 계정도 모두 변경하라. 비밀번호 관리자를 사용해 고유한 비밀번호를 생성하라.
  3. 가능한 모든 곳에서 다중 인증을 켜라.
  4. 피싱을 주시하라. 탈취된 연락처 정보는 유출 사건을 언급하는 설득력 있는 후속 사기에 자주 사용된다. 예상치 못한 메시지의 링크를 클릭하지 말고, 해당 조직의 사이트로 직접 접속하라.
  5. 금융 계좌를 모니터링하고, 주민등록번호 같은 식별 정보가 노출되었다면 신용 동결을 고려하라.
  6. 통지서와 의심스러운 활동의 기록을 보관하라.

핵심 요점

다크 프로젝트의 랜섬웨어 제휴 모델은 하나의 지속적인 추세를 보여준다. 수익 배분이 침투를 수행하는 사람에게 유리할 때, 더 많은 사람이 시도하려 한다. 지금까지 주장된 피해자 38곳은 확인되지 않았지만, 그 배후의 구조가 중요한 것이다. 조직은 접속 지점을 강화하고 데이터 탈취를 주시해야 하며, 개인은 신뢰하는 기업이 유출 사고를 공개할 때 신속히 행동할 준비가 되어 있어야 한다.

백업에서 복원하는 것이 현대의 갈취를 막지 못하는 이유를 이해하려면 이중 갈취 랜섬웨어 해설을 읽어라. 탈취된 데이터가 실제 사람들에게 어떤 의미인지 보려면 Beacon Mutual 랜섬웨어 유출 사건 보도를 읽어라.