신뢰받는 내부자가 공범으로 전락하다

회사가 랜섬웨어 피해를 입으면, 공격자와의 민감하고 위험한 대화를 처리하기 위해 전문 협상가에게 의뢰하는 경우가 많습니다. 이것이 바로 41세의 안젤로 마르티노가 DigitalMint에서 맡은 역할로, 이 회사는 조직이 랜섬웨어 사고를 극복하고 대신 지불 협상을 진행하도록 돕습니다. 마르티노는 실제 침해 사건이 진행 중일 때 투입되어, 피해자를 보호해야 하는 편에 앉아 있었습니다.

그러나 법원 기록에 따르면, 마르티노는 최근 몇 년간 가장 악명 높은 갈취 조직 중 하나인 BlackCat(ALPHV로도 알려짐) 랜섬웨어 그룹의 계열사와 은밀히 협력하고 있었습니다. 피해 고객의 이익을 보호하기는커녕, 그는 자신이 피해자를 대신해 진행해야 했던 협상 과정에서 기밀 정보를 공격자들에게 넘긴 것으로 알려졌습니다. 그 내부 정보 덕분에 공격 조직은 더 많은 지불금을 뜯어낼 수 있었고, 보고서에 따르면 이 범행으로 인해 다수의 피해 조직으로부터 약 7,500만 달러가 갈취당하는 데 기여했습니다. 마르티노는 유죄를 인정했고 연방 교도소에서 70개월의 징역형을 선고받았습니다.

협상 모델을 무너뜨린 수법

랜섬웨어 협상이 존재하는 이유는 공격을 받은 기업이 범죄 조직과 소통하거나 위협의 신뢰성을 평가하고, 몸값을 지불하는 것이 바람직한지 판단할 전문 지식이 부족한 경우가 많기 때문입니다. DigitalMint와 같은 회사는 마치 방화벽처럼 작동해야 합니다. 그들의 경험을 활용해 요구 금액을 낮추고, 데이터 복구 가능성을 확인하며, 피해자가 두 번 착취당하지 않도록 보호해야 합니다.

마르티노의 사건은 이 모델을 완전히 뒤집었습니다. 진행 중인 협상의 민감한 세부 정보, 즉 내부 고객 정보, 재정적 한계점, 피해자의 협상력 상태 등을 유출함으로써, 그는 BlackCat 계열사에게 최대한 많은 지불을 받아내기 위한 설계도를 사실상 건네준 셈입니다. 이는 마르티노와 그의 고용주 사이뿐만 아니라, 자신들의 위기 대응팀이 오로지 자신들의 편에서 일할 것이라고 믿었던 모든 고객과 그 고용주 사이의 신뢰를 심각하게 저버리는 행위입니다.

이러한 내부자 공모는 특히 치명적입니다. 랜섬웨어 피해자는 이미 매우 취약한 상태에 놓여 있기 때문입니다. 그들은 민감한 데이터, 운영 중단 시간, 규제 노출에 대해 신속한 결정을 내려야 하는 압박 속에 있는 경우가 많습니다. Canvas 침해 사건 후 Instructure가 몸값을 지불한 사례와 같은 경우는, 조직이 때때로 지불이 가용한 최소한의 피해를 선택하는 결론을 내리기도 한다는 것을 보여줍니다. 그 결정을 처리하는 협상가가 피해자에게 불리하게 작용할 금전적 유인을 가지고 있다면, 지불을 정당화하는 전체 계산 자체가 오염되어 버립니다.

이 사건이 기업에 더 큰 개인정보 보호 우려를 불러일으키는 이유

이번 사건의 개인정보 보호 문제는 단순한 즉각적 재정 손실을 훨씬 뛰어넘습니다. 랜섬웨어 협상은 일반적으로 매우 민감한 자료를 공유하는 과정을 수반합니다. 유출된 데이터의 범위, 내부 보안 평가, 임원급 커뮤니케이션, 회사가 기꺼이 지불하려는 금액에 대한 세부 사항 등이 그것입니다. 피해자들은 이 정보가 엄격하게 통제된 신뢰할 수 있는 대응자들 사이에서만 유지될 것이라는 가정 하에 공유합니다.

마르티노의 행동은 침해 사고 대응 생태계 자체가 실패 지점이 될 수 있음을 보여줍니다. 침해 후 모든 조치를 올바르게 취하고, 평판 좋은 회사를 고용하고, 권장 프로토콜을 따르고, 법 집행 기관과 협력하는 조직조차도 내부로부터 자신들의 데이터와 협상 위치가 훼손될 수 있습니다. 이는 ShinyHunters가 Canvas 몸값 캠페인에서 학교 포털을 훼손하며 확대된 압박 수단에서 보듯, 공격자들이 해결을 강제하기 위해 공개적 망신과 데이터 지렛대를 활용하는 고조된 압박 전술과 유사합니다.

이것이 당신에게 의미하는 바

조직이 랜섬웨어 그룹과 협상해야 하는 상황에 처한다면, 이번 사건은 벤더 선정 과정이 사이버 보안 도구만큼이나 철저한 검토를 받아야 함을 상기시켜 줍니다. 잠재적 협상 업체에 내부 통제 장치, 직원 검증, 그리고 실제 사건 진행 중 고객 데이터가 어떻게 분리되고 모니터링되는지 물어보십시오. 협상 세부 정보에 접근 권한을 가진 사람이 누구인지, 그리고 공격자와의 소통에 대해 어떤 개인이 통제되지 않는 권한을 가지는지에 대한 명확성을 요구하십시오.

광범위한 벤더 실사에 필요한 자원이 없는 개인이나 소규모 기업이라면, 더 넓은 의미에서 교훈을 얻을 수 있습니다. 애초에 노출될 수 있는 민감한 데이터를 최소화하는 것입니다. 강력한 백업 관행, 네트워크 분리, 그리고 쉽게 접근 가능한 시스템에 저장되는 개인 또는 금융 데이터의 양을 제한하는 것은 모두 랜섬웨어 조직이나 타협된 내부자가 여러분에게 행사할 수 있는 지렛대를 줄여줍니다.

핵심 요점

  • 랜섬웨어 협상 업체를 민감한 데이터를 취급하는 다른 벤더와 마찬가지로 엄격하게 검증하십시오.
  • 협상 업체가 실제 랜섬웨어 사건 진행 중 직원의 접근을 내부적으로 모니터링하고 감사하는 방법을 물어보십시오.
  • 더 적은 노출이 공격자나 내부자의 지렛대를 줄여주므로, 침해에 취약한 시스템에 저장되는 민감한 데이터의 양을 줄이십시오.
  • 랜섬웨어 협상을 제3자가 전적으로 처리하는 블랙박스가 아닌, 자체적인 감독이 필요한 의사 결정으로 취급하십시오.

마르티노 사건은 랜섬웨어 대응 업계 내에서 드물지만 심각한 내부자 배신 사례입니다. 이것이 협상 업체를 전반적으로 신뢰할 수 없다는 의미는 아니지만, 특히 기업의 가장 민감한 침해 세부 정보가 걸려 있을 때는 신뢰는 가정하는 것이 아니라 검증되어야 한다는 점을 분명히 보여줍니다.