랜섬웨어 두목을 겨냥한 공조 제재

유럽연합은 온라인에서 "Stern"으로 알려진 인물을 Trickbot 랜섬웨어 작전의 관리자로 특정하고 공식 제재를 발표했다. 블록체인 분석 업체 Chainalysis에 따르면, Stern의 네트워크가 거둬들인 랜섬머니는 3억 달러를 넘어서며, 이번 조치는 최근 몇 년 사이 가장 의미 있는 사이버범죄 제재 조치 중 하나로 평가된다. 이와 함께 미국과 영국도 동시 제재에 나섰으며, 이는 랜섬웨어 자금줄을 조이려는 광범위한 공조 체계의 일환이다.

Stern의 역할은 네트워크에 직접 침투하는 단독 해커가 아니었다. 오히려 보도는 이 인물이 전 세계 피해자를 감염시키는 Trickbot 멀웨어를 제작하고 라이선스 방식으로 유통하는 범죄 조직을 관리하는 경영진에 가까운 역할을 했다고 전한다. Trickbot 자체는 랜섬웨어 생태계에서 핵심 도구로 오랜 이력을 지니며, 병원, 기업, 정부 기관을 상대로 더욱 파괴적인 랜섬웨어를 배포하기 위한 초기 침투 경로로 자주 활용됐다.

랜섬웨어 제재 집행의 중요성

제재는 체포나 기소와는 전혀 다른 방식으로 작동한다. 범죄 협력 조약이 미치지 않는 국가에서 활동하는 용의자에게는 범죄인 인도가 애초에 불가능한 경우가 많은데, 제재는 금융 접근을 동결하고 지정된 개인이나 그 연계 지갑과의 모든 거래를 불법화한다. 제국 전체가 암호화폐 거래소와 믹서를 통해 자금을 유통하는 Stern 같은 인물에게는 법정 유죄 판결 없이도 실질적으로 현금 흐름을 교란할 수 있는 조치다.

이러한 랜섬웨어 제재 조치는 몸값 지급을 용이하게 하는 사업체들에게도 강력한 신호로 작용한다. 사이버 보험사, 침해 대응 기업, 공격 피해 기업이 고용하는 협상가들은 이제 자신들이 알면서도 제재 대상에게 자금을 전달할 경우 법적 위험에 처하게 된다. 이러한 현실은 이미 랜섬웨어 협상의 이면 풍경을 바꾸어 놓았다. 이와 관련한 상세한 취재는 자신의 의뢰인을 배신한 BlackCat 랜섬웨어 협상가에 대한 기사에서 몸값 지불을 둘러싼 인센티브가 피해자들이 생각했던 것보다 훨씬 더 불투명했음을 보여준 바 있다.

Trickbot 사례는 랜섬웨어가 계층화된 비즈니스 모델로 진화한 양상도 잘 보여준다. 최근 네덜란드 교회 네트워크에서 10GB 데이터를 유출했다고 주장한 Stormous 같은 그룹들은 대개 Trickbot이 제공한 인프라와 유사한 접근 브로커 및 서비스형 멀웨어에 의존한다. 단순히 랜섬웨어 브랜드 명칭만이 아니라 인프라 운영자를 제재하는 것은 소규모 그룹들이 의존하는 공급망 자체를 차단하려는 시도다.

일반 사용자에게 미치는 개인정보 보호 영향

제재가 특정 개인을 겨냥한 것이지만, Trickbot이 침해를 도운 네트워크를 한 번이라도 거친 개인이라면 누구에게나 그 사생활 보호 함의가 파급된다. 랜섬웨어 작전은 시스템을 암호화하기 전에 빈번하게 민감 기록을 외부로 빼돌리며, 제재가 발표된 후에도 그 탈취 데이터는 사라지지 않는다. 의료 기관들은 이러한 공격 흐름에 특히 심각한 피해를 입어 왔다. 아일랜드 보건서비스집행부(HSE)가 툴라모어 병원 랜섬웨어 피해로 30만 유로 벌금을 부과받은 사례에서는 환자 데이터가 노출되는 결과로 이어졌다.

랜섬웨어 운영자들은 또한 합법적인 소비자용 VPN 서비스와 확연히 다른 범죄용으로 제작된 익명화 도구에 빈번히 의존한다. 법집행 기관은 Europol이 범죄자용 VPN 서비스에 연계된 서버 33대를 압수한 첫 사례에서 드러나듯 해당 인프라를 직접 겨냥하기 시작했다. 이러한 조치는 일반 사용자를 위해 설계된 프라이버시 도구와 오로지 범죄 목적으로 구축된 인프라가 동일하지 않다는 점, 그리고 규제 기관들이 그 경계를 점점 더 분명히 긋고 있다는 중요한 구분을 부각시킨다.

이것의 의미

대부분의 독자에게 Stern 제재가 당장의 일상을 직접 바꾸지는 않겠지만, 이는 랜섬웨어가 먼 나라의 추상적인 위협이 아니라는 확실한 현실을 반영한다. 랜섬웨어는 다른 어떤 사업과 마찬가지로 경영진, 공급망, 금전적 인센티브를 갖춘 영리 산업이다. 그 사업이 병원, 학교, 여러분의 개인 기록을 보유한 기업을 건드리면 그 결과는 IT 부서만의 문제가 아니라 평범한 사람들에게 도착한다.

최근 몇 년간, 특히 의료 기관, 금융사, 공공 기관으로부터 침해 통지를 받은 적이 있다면, 그 기저의 공격이 Stern이 구축했다고 알려진 인프라와 유사한 경로에서 비롯됐을 실질적 가능성이 있다. 이는 자신의 데이터가 어디에 존치되고 어떻게 보호되는지 경계를 늦추지 말아야 하는 좋은 이유다.

실천 가능한 해결책

  • 특히 의료 및 금융 기관으로부터의 침해 통지를 세심히 확인하고, 제공되는 신용 모니터링 서비스에 등록하라.
  • 자격 증명 탈취가 랜섬웨어 침입의 첫 관문인 경우가 많으므로, 가능한 모든 곳에서 고유하고 견고한 비밀번호와 다중 요소 인증을 사용하라.
  • Trickbot과 유사한 멀웨어 계열이 역사적으로 피싱 캠페인을 통해 확산했으므로, 발신자 불명의 이메일과 첨부파일을 의심하라.
  • VPN이나 보안 제품을 알아볼 때는 평판 있는 프라이버시 도구와 범죄 등급의 익명화 서비스의 차이를 이해하라.

Stern 제재가 하룻밤 사이에 랜섬웨어를 종식시키지는 못하겠지만, 이들 작전을 처음부터 수익성 있게 만드는 금융 생명선을 조여가려는 정부들의 행보에서 그 의미가 큰 한 걸음임에는 분명하다.