랜섬웨어는 한때 단순하지만 잔혹한 공식을 가지고 있었습니다. 공격자가 파일을 암호화하고 복호화 키에 대한 대가를 요구하는 것이었죠. 돈을 내면 시련은 끝났습니다. 그런데 그 모델이 바뀌었습니다. 현대의 랜섬웨어 조직들은 암호화 루틴을 작동시키기 전에 점점 더 귀하의 데이터 사본을 먼저 탈취한 뒤, 몸값 지불 여부와 관계없이 이를 공개하겠다고 위협합니다. 보안 연구자들은 이를 이중 갈취라고 부르며, 이는 복구가 더 이상 단순히 파일을 되살리는 문제가 아니라는 것을 의미합니다. 귀하의 데이터가 이미 건물을 떠났다고 가정해야 하는 것입니다.
현대 랜섬웨어가 암호화 전에 데이터를 탈취하는 이유
조직들이 백업을 진지하게 다루기 시작하면서 암호화만으로는 영향력을 잃었습니다. 피해자가 오프라인 백업에서 간단히 복원할 수 있다면, 복호화 키를 위해 몸값을 지불하는 것은 의미가 없어집니다. 공격자들은 두 번째 압박 지점을 추가하며 적응했습니다. 바로 민감한 파일을 먼저 유출하는 것입니다. 완벽한 백업을 갖춘 기업조차 이제 탈취된 고객 기록, 재무 문서 또는 건강 데이터가 공개되거나 다른 범죄 조직에 판매될 위협에 직면합니다.
이러한 전환은 데이터 자체, 즉 단순한 시스템 가동 시간이 아닌 데이터가 진정한 목표인 의료 및 금융 서비스 분야에서 특히 두드러졌습니다. ChipSoft의 의료 데이터 노출, 수백만 환자에게 영향을 미친 DentaQuest 침해, 그리고 ShinyHunters 갈취 그룹과 연관된 McKesson 침해 사건은 모두 공격자들이 이제 탈취한 기록을 암호화 자체와 별개의 협상 카드로 취급한다는 것을 보여줍니다. 파일 잠금 해제를 위해 돈을 지불해도 데이터가 나중에 나타나지 않는다는 보장은 더 이상 없습니다.
공격 후 첫 1시간 동안 취해야 할 5가지 포렌식 단계
랜섬웨어가 발견되면, 첫 60분은 사고의 거의 모든 다른 단계보다 더 중요합니다. 모든 컴퓨터를 즉시 종료하는 것과 같은 공황에 의한 행동은 실제로 무슨 일이 일어났는지 이해하는 데 필요한 증거를 파괴할 수 있습니다. 대신:
- 전원을 끄지 말고 격리하세요. 영향을 받은 장치를 종료하는 대신 네트워크에서 연결을 끊으세요(이더넷 분리, Wi-Fi 비활성화). 전원을 끄면 공격자가 어떻게 침입했고 무엇에 접근했는지에 대한 단서를 담고 있는 휘발성 메모리가 지워질 수 있습니다.
- 즉시 로그를 보존하세요. 방화벽 로그, VPN 접속 로그, 엔드포인트 탐지 기록은 공격자들이 가장 먼저 지우려고 하는 것들입니다. 다른 어떤 것보다 먼저 이 로그들을 내보내거나 백업하세요.
- 침입 지점을 파악하세요. 피싱 이메일, 노출된 원격 데스크톱 포트 또는 손상된 자격 증명의 징후를 확인하세요. 초기 접근 벡터를 아는 것이 이후의 모든 결정을 형성합니다.
- 암호화된 것뿐만 아니라 어떤 데이터가 접촉되었는지 확인하세요. 암호화가 시작되기 전 몇 시간 또는 며칠 동안의 비정상적인 아웃바운드 데이터 전송을 찾으세요. 익숙하지 않은 외부 IP 주소로의 대규모 파일 전송은 유출이 발생했다는 강력한 신호입니다.
- 포렌식 전문가 또는 사고 대응 팀을 조기에 투입하세요. 소규모 기업이라도 타임라인을 제대로 문서화할 수 있는 전문가는 법적, 규제적, 보험 목적에서 매우 중요합니다.
이 시간 창에서 체계적으로 행동하는 것은 격리에만 도움이 되지 않습니다. 나중에 무엇이 도난당했고 무엇이 도난당하지 않았는지 증명할 수 있는지를 결정하며, 이는 통지 의무와 공개 성명에서 엄청나게 중요합니다.
어떤 유형의 데이터 도난이 발생했는지 식별하는 방법
모든 랜섬웨어 사고가 데이터 도난을 포함하는 것은 아니며, 모든 데이터 도난이 암호화를 포함하는 것도 아닙니다. 이들을 구분하려면 특정 증거를 살펴봐야 합니다:
- 암호화만 있는 공격은 파일을 잠그지만 네트워크 로그에서 대규모 아웃바운드 전송의 징후를 보이지 않습니다. 몸값 요구서는 일반적으로 공개가 아닌 복호화만 언급합니다.
- 이중 갈취 공격은 암호화된 파일과 데이터 스테이징의 증거를 모두 보여줍니다. 예를 들어 공격 직전에 생성된 압축 아카이브나 유출 도구의 비정상적인 인증 등입니다. 몸값 요구서는 보통 전용 유출 사이트에 데이터를 유출하겠다고 위협합니다.
- 순수 데이터 도난(암호화 없음)은 특히 클라우드 데이터베이스와 SaaS 플랫폼을 대상으로 점점 더 흔해지고 있습니다. 여기서는 시스템이 정상적으로 계속 작동하지만, 공격자는 조용히 기록을 복사하고 나중에 공개를 막기 위해 대가를 요구합니다. Bank of Baroda에 영향을 미친 700GB 다크웹 유출과 Gentlemen 랜섬웨어 그룹이 주장한 Veradigm 침해는 운영 중단이 최소한일 때도 도난 주장이 나타날 수 있음을 보여줍니다.
이러한 시나리오를 조기에 구분하면 조직이 침해 통지 일정부터 영향을 받은 고객과의 소통 방식에 이르기까지 대응을 조정하는 데 도움이 됩니다.
노출을 줄이는 방어 계층: 암호화, VPN, 모니터링
이중 갈취 랜섬웨어가 무슨 일이 있어도 데이터가 노출될 것이라고 가정한다면, 가장 효과적인 방어는 애초에 노출될 수 있는 것을 줄이는 것입니다. 저장 데이터 암호화는 공격자가 파일을 유출하더라도 별도의 키 없이는 내용을 읽을 수 없게 합니다. 원격 접속에 VPN을 사용하면 가장 흔한 진입점 중 하나인 취약하거나 재사용된 자격 증명을 가진 노출된 원격 데스크톱 및 VPN 게이트웨이를 차단하는데, 공격자들은 이를 정기적으로 스캔하고 악용합니다. 비정상적인 아웃바운드 데이터 양을 표시하는 지속적인 네트워크 모니터링은 암호화가 시작되기 전에 진행 중인 유출을 잡아낼 수도 있습니다.
이것이 귀하에게 의미하는 것
소규모 사업체를 운영하거나 그 IT를 관리한다면, 이중 갈취 랜섬웨어 대응은 몸값 요구서가 나타날 때 시작될 수 없습니다. 기본 위생에서 시작됩니다. 오프라인에 저장된 암호화된 백업, 노출된 원격 데스크톱 포트 대신 모니터링되는 VPN 접속, 그리고 첫 1시간에 누가 누구에게 연락하는지 명시한 서면 사고 계획입니다. 의료 제공자, 은행 또는 복리후생 관리자에게 데이터가 있는 소비자의 경우, 실질적인 교훈은 침해 통지 후 경계를 늦추지 않는 것입니다. 기업이 몸값 상황이 해결되었다고 주장하더라도 도난당한 데이터는 나타날 수 있기 때문입니다.
실행 가능한 핵심 사항
- 포렌식 증거가 달리 입증할 때까지 모든 랜섬웨어 사고가 암호화뿐만 아니라 데이터 도난을 포함할 수 있다고 가정하세요.
- 첫 1시간에 시스템의 전원을 끄지 말고 격리하며, 로그가 변경되거나 삭제되기 전에 보존하세요.
- 저장 데이터를 암호화하여 유출된 파일이 도난당하더라도 공격자에게 덜 가치 있게 만드세요.
- 노출된 원격 데스크톱 프로토콜 대신 적절히 구성된 VPN으로 원격 접속을 보호하세요.
- 사용하는 제공업체의 침해 통지를 주시하고, 조직이 몸값 상황이 통제되었다고 주장하더라도 진지하게 대하세요.
이중 갈취는 랜섬웨어로부터 "복구"한다는 것의 의미를 재편했습니다. 돈을 지불해도 데이터가 비공개로 유지된다는 보장은 없으며, 지불을 거부해도 데이터가 사라진다는 의미는 아닙니다. 이러한 공격을 가장 잘 견딜 수 있는 위치에 있는 조직과 개인은 공격자가 침입하기 훨씬 전부터 데이터 보호를 일상적인 습관으로 여긴 이들입니다.
