전 디지털민트 협상가, 블랙캣 거래로 70개월형 선고

신뢰받던 내부자가 자신의 고객을 배신하다

기업이 랜섬웨어 공격을 받으면 일반적으로 협상가를 부릅니다. 협상가는 공격자와 소통하고 상황을 평가하며 피해를 줄이려고 애씁니다. 그 관계는 전적으로 신뢰에 달려 있습니다. 사고 대응 업체 디지털민트(DigitalMint)의 전직 협상가가 바로 그 신뢰가 깨지면 어떤 일이 벌어지는지 보여줬습니다.

41세의 안젤로 마르티노(Angelo Martino)는 피해자의 이익을 대변하는 협상가로 일하는 동안 블랙캣(BlackCat) 랜섬웨어 그룹(일명 ALPHV)과 공모한 혐의로 연방 교도소에서 70개월 형을 선고받았습니다. Help Net Security의 보도에 따르면, 마르티노는 고객을 순수하게 방어하는 대신, 자신의 지위를 이용해 고객들이 저지하려던 바로 그 범죄자들에게 정보를 넘겼습니다. 이 사건은 디지털민트 협상가의 70개월형에 대한 이전 보도에서 더 자세히 다뤘으며, 대부분의 랜섬웨어 피해자가 미처 생각지 못했던 위협을 조명합니다. 바로 자신을 보호하기 위해 고용한 사람이라는 점입니다.

랜섬웨어 협상가가 그토록 민감한 데이터를 많이 보유하는 이유

랜섬웨어 협상가는 독보적인 특권적 위치를 차지합니다. 업무를 효과적으로 수행하려면 일반적으로 피해 조직 내부 직원들조차 볼 수 없는 세부 정보에 접근해야 합니다. 즉, 침해 범위, 유출된 데이터, 회사의 사이버 보험 가입 규모, 회사가 현실적으로 지불할 의사가 있거나 지불할 수 있는 금액 등입니다. 이 정보는 공격자에게 금과 같습니다. 예를 들어 피해자의 보험 한도를 알면 랜섬웨어 그룹이 몸값 요구액을 조정하여 최대한 많은 돈을 뜯어낼 수 있습니다.

바로 이 점이 마르티노 사건을 프라이버시 관점에서 주목할 만하게 만듭니다. 외부 해커가 기업 시스템에 침입한 게 아닙니다. 자신의 역할에 필요한 민감한 접근 권한 때문에 특별히 고용된 내부자가, 그 접근 권한을 자신을 고용한 사람들에게 불리하게 사용한 것으로 의심됩니다. 사고 대응 및 협상 회사가 존재하는 이유는 대부분의 조직이 랜섬웨어 위기를 자체적으로 처리할 전문 기술을 갖추지 못했기 때문입니다. 외부 전문가에 의존하는 것은 합리적이며 종종 불가피하지만, 이는 피해자가 그 신뢰가 정당한지 독립적으로 검증할 능력이 거의 없는 상태에서 제3자에게 신뢰를 확장하는 것을 의미하기도 합니다.

더 넓은 랜섬웨어 생태계는 이미 피해자가 어려운 프라이버시 절충을 하도록 강요합니다. 몸값을 지불해도 도난당한 데이터가 삭제될 것이라는 보장이 없고, 선의의 협상은 상대방과 당신에게 조언하는 모든 사람이 선의로 행동한다고 가정하는 것입니다. 이번 사건은 그 가정을 뒤흔들어 피해자가 자신들을 돕기 위해 있는 바로 그 전문가에게 정보를 완전히 공개하는 것을 더 주저하게 만들 수 있으며, 이는 가장 중요한 순간에 사고 대응을 지연시킬 수 있습니다.

이것이 당신에게 의미하는 바

대부분의 독자는 개인적으로 랜섬웨어 협상가를 고용할 일은 없겠지만, 근본적인 교훈은 폭넓게 적용됩니다. 즉, 당신의 민감한 데이터에 접근하는 제3자 벤더는 그 벤더 조직 내부의 가장 취약한 연결 고리만큼만 신뢰할 수 있다는 것입니다. 그것이 로펌이든, 사고 대응 계약업체든, 클라우드 제공업체든, 개인 정보나 금융 정보를 처리하는 어떤 회사든, 그 관계의 보안은 외부에서는 보이지 않는 내부 통제에 달려 있습니다.

기업에게 이 사건은 랜섬웨어 사고 전과 진행 중에 어려운 질문을 던져야 한다는 점을 상기시킵니다. 협상 회사의 누가 보험 세부 정보와 지불 권한에 접근하는가? 단일 직원이 감독 없이 위협 행위자와 직접 소통하는 것을 방지하는 내부 통제가 있는가? 대화는 기록되고 검토되는가? 대부분의 회사가 위기 상황에서 생각하기 어려운 질문들이지만, 사고가 발생하기 전에 실사를 거쳐야 할 사항이지, 사고 후에 해서는 안 됩니다.

개인에게 시사하는 바는 더 간접적이지만 여전히 관련이 있습니다. 당신이 거래하는 회사가 랜섬웨어 공격을 받으면, 협상 중에 유출된 데이터에 누가 접근하는지 등 사고 처리 과정은 대부분 통제할 수 없습니다. 이것이 애초에 단일 조직에 공유하는 민감한 개인 정보의 양을 최소화하고, 비밀번호 관리자와 다중 인증 같은 도구를 사용하여 단일 침해가 더 넓은 계정 침해로 번지지 않도록 해야 하는 또 하나의 이유입니다.

내부자 위험에 앞서 나가기 위한 핵심 사항

이번 선고는 랜섬웨어 대응 중 내부자 배신이 심각한 법적 결과를 초래한다는 분명한 신호를 보내지만, 사후 처벌보다 예방이 더 중요합니다. 만약 귀하의 조직이 사고 대응 또는 협상 회사와 협력한다면, 문서화된 접근 통제, 협상에 대한 독립적인 감독, 명확한 계약상 책임을 요구하십시오. 신뢰하는 회사에서 침해 사고의 영향을 받은 개인이라면 통지를 진지하게 받아들이고, 재사용된 비밀번호를 변경하고, 해당 조직과 연결된 계정을 모니터링하십시오.

마르티노 사건은 앞으로 수년간 랜섬웨어 협상가 분야의 경계 사례로 인용될 가능성이 큽니다. 다른 모든 사람들에게는 위기 상황에서의 신뢰는 획득하고 검증되어야지, 당연한 것으로 여겨져서는 안 된다는 유용한 교훈을 줍니다.