몸값은 계약금에 불과하다

대부분의 사람들이 랜섬웨어 공격의 비용을 생각할 때, 그들은 몸값 요구 자체를 떠올린다. 범죄자들이 복호화 키를 대가로 요구하는 일괄 금액 말이다. 하지만 Datto의 새로운 설명 자료에 따르면, 그 금액은 공격이 끝난 후 조직이 실제로 지불하는 비용의 일부분에 불과한 경우가 많다. 다운타임, 복구 작업, 교정 노력, 법적 의무는 수백만 달러에 달할 수 있으며, 원래의 몸값 요구를 훨씬 초과한다.

이 구분이 중요한 이유는 기업과 그 기업이 보유한 데이터의 주인인 사람들이 랜섬웨어 위험을 어떻게 생각해야 하는지를 재정립하기 때문이다. 한 기업이 원칙에 따라 몸값 지불을 거부할 수도 있지만, 시스템을 처음부터 재구축하고, 영향을 받은 고객에게 통지하고, 규제 기관을 만족시키는 비용이 범죄자들이 원래 요구했던 금액보다 훨씬 더 많이 들 수 있다는 사실을 뒤늦게 발견하게 될 수도 있다.

실제 돈이 어디로 가는가

Datto의 분석은 몸값 자체보다 주목을 덜 받는 여러 비용 범주를 조명한다:

  • 다운타임: 시스템이 오프라인 상태인 모든 시간은 생산성 손실, 거래 누락, 고객 서비스 중단의 시간이다. 지속적인 가동 시간에 의존하는 기업에게 이는 단일 최대 비용 요인이 될 수 있다.
  • 복구: 인프라를 재구축하고, 백업(존재하고 사용 가능한 경우)에서 데이터를 복원하고, 시스템을 다시 온라인으로 전환하기 전에 깨끗한지 확인하는 것은 느리고 노동 집약적인 과정이다.
  • 교정: 운영을 복원하는 것 외에도, 조직은 보안 통제를 전면 개편하고, 취약점을 패치하고, 공격자가 진정으로 사라졌는지 확인하기 위해 외부 전문가를 불러들여야 하는 경우가 많다.
  • 법적 의무: 데이터 유출 통지법, 규제 보고 요건, 영향을 받은 고객이나 파트너로부터의 잠재적 소송은 또 다른 비용과 복잡성을 더하며, 이는 기술적 사건이 해결된 후에도 수개월간 이어질 수 있다.

바로 이 법적 차원에서 프라이버시 관련 위험이 명확해진다. 랜섬웨어 공격은 점점 더 암호화와 함께 데이터 탈취를 수반하고 있으며, 이는 몸값 지불 여부와 관계없이 개인 정보, 금융 기록, 건강 데이터가 노출되거나 판매될 수 있음을 의미한다. 그런 일이 발생하면, 그 사건은 순수한 기술적 문제가 아니라 프라이버시 및 규정 준수 문제가 되며, 통지 마감 시한, 규제 당국의 조사, 평판 손상이 초기 혼란보다 더 오래 지속된다.

BCDR이 방정식을 바꾸는 이유

Datto의 설명 자료는 비즈니스 연속성 및 재해 복구(BCDR)를 이러한 비용, 특히 청구서에서 다운타임과 복구 부분을 줄이는 방법으로 지목한다. 성숙한 BCDR 전략은 공격이 발생하기 전에 테스트되고 신뢰할 수 있는 백업과 명확한 복구 계획을 갖추는 것을 중심으로 구축되며, 사후에 급하게 마련하는 것이 아니다. 이러한 종류의 준비를 갖춘 조직은 공격자가 시스템을 인질로 잡고 있는 동안 끝이 보이지 않는 복구 일정에 직면하기보다 더 빠르고 예측 가능하게 온라인으로 복귀하는 경향이 있다.

이는 랜섬웨어 그룹이 그들의 운영을 계속 전문화함에 따라 특히 관련이 있다. AI가 랜섬웨어의 비즈니스 모델을 어떻게 재편하고 있는지에 관한 최근 기사에서 다룬 것처럼, 공격자는 표적을 식별하고, 침입 과정의 일부를 자동화하고, 피해자가 빠르게 지불하도록 압박하는 데 더 효율적으로 변하고 있다. 더 빠르고 자동화된 공격자는 방어자에게 최악의 다운타임과 법적 여파를 피하기 위해 똑같이 빠르고 잘 훈련된 복구 프로세스가 필요하다는 것을 의미한다.

이것이 당신에게 의미하는 것

사업을 운영한다면, 작은 사업이라도, 이 프레이밍은 랜섬웨어 위험을 평가하는 방식을 바꿔야 한다. "우리가 몸값을 감당할 수 있을까"라고 묻는 것만으로는 충분하지 않다. 더 나은 질문은 "우리가 몇 주간의 다운타임, 전체 시스템 재구축, 그리고 고객 데이터가 노출되었을 경우의 법적 여파를 감당할 수 있을까"이다. 대부분의 조직에게 솔직한 대답은 '아니오'이며, 바로 이것이 백업 및 복구 계획이 방화벽과 엔드포인트 보호와 동일한 관심을 받을 자격이 있는 이유이다.

개인의 경우, 핵심은 인식에 더 가깝다. 거래하는 회사가 랜섬웨어 공격을 당하면, 법적 및 교정 과정이 종종 수개월간 이어지기 때문에 혼란과 데이터 노출은 헤드라인이 사라진 후에도 오래 지속될 수 있다. 유출 통지를 주시하고 자신의 어떤 데이터가 영향을 받았을 수 있는지 이해하는 것은 여전히 현명한 습관이다.

실행 가능한 시사점

  • 기업은 백업 및 복구 시스템이 단순히 설치되고 잊히는 것이 아니라 정기적으로 테스트되는지 평가해야 한다.
  • 관련된 통지 및 규정 준수 비용을 고려할 때, 랜섬웨어 대비를 단순한 IT 문제가 아닌 법적 및 프라이버시 문제로 취급해야 한다.
  • 다운타임, 복구, 규제 보고를 개별적으로가 아니라 함께 다루는 문서화된 사고 대응 계획을 수립해야 한다.
  • 개인은 데이터 노출 위험이 초기 공격 이후에도 오래 지속될 수 있으므로 거래하는 회사의 유출 통지에 주의를 기울여야 한다.

랜섬웨어 공격의 전체 비용을, 몸값만이 아니라, 이해하는 것이 공격이 발생했을 때 실제로 견딜 수 있는 방어를 구축하는 첫걸음이다.