연방 수사관들이 ShinyHunters 갈취 그룹과 비정상적으로 긴밀한 관계를 유지해 온 두 개의 사이버 사고 협상 업체 임원들을 확인한 것으로 전해졌다. Security Arsenal이 요약한 KrebsOnSecurity 보도에 따르면, 미국에 기반을 둔 한 임원은 나아가 피해자들에게 몸값 지급을 압박하는 데 사용된 웹사이트 운영을 도왔다는 의혹을 받고 있다. ShinyHunters 몸값 협상가 갈취 사이트 의혹은 아직 의혹일 뿐이지만, 언젠가 침해당할 수 있는 기업에 데이터를 맡기고 있는 모든 이에게 어려운 질문을 던진다. 협상 테이블 반대편에 정말로 누가 앉아 있는가?
수사당국이 협상가와 ShinyHunters에 대해 주장하는 것
보도에 따르면, FBI 데이터를 활용해 작업한 연방 수사관들은 ShinyHunters와 긴밀히 접촉해 온 두 협상 업체의 임원들을 확인했다. 그중 미국에 기반을 둔 한 임원은 해당 그룹이 피해자들에게 몸값 지급을 압박하는 데 사용한 사이트 운영을 도왔다는 의혹을 받고 있다.
몇 가지 점을 염두에 둘 필요가 있다. 입수 가능한 요약에는 기소 내용이 명시되어 있지 않으며, 이 주장은 수사관들이 의심하는 바에 대한 보도에서 나온 것이다. 우리가 검토한 자료에는 해당 임원들이나 그들의 회사 이름이 공개되지 않았으므로, 우리는 신원에 대해 추측하지 않을 것이다. 이 사안은 진화하는 사건으로 다루고, 더 많은 정보가 확인됨에 따라 세부 내용이 바뀔 것이라고 예상하라.
몸값 협상과 갈취 사이트는 어떻게 작동하는가
기업이 데이터 탈취나 랜섬웨어 공격을 당하면, 공격자와의 소통을 처리할 외부 업체를 고용하는 경우가 많다. 이러한 협상가들은 일반적으로 무엇이 도난당했는지 확인하고, 요구액을 낮추려 시도하며, 기업이 지급하기로 결정하면 지급을 주선한다. 이들은 범죄자들과 직접 대화하기 때문에 민감한 정보를 보유한다. 피해자가 얼마를 감당할 수 있는지, 어떤 데이터가 탈취되었는지, 기업의 기한이 얼마나 긴급한지 등이다.
갈취 사이트는 반대편의 압박 도구다. ShinyHunters 같은 그룹은 웹사이트를 이용해 피해자를 지목하고, 탈취한 데이터를 공개하겠다고 위협하며, 기업을 거래 쪽으로 밀어붙인다. 사이트는 판매 전략의 일부다. 위협이 더 그럴듯하고 두려울수록 피해자가 지급할 가능성이 높아진다.
그렇기 때문에 이 의혹이 중요한 것이다. 만약 협상가가 압박 사이트 운영까지 도왔다면, 이론상 같은 사람이 피해자의 신뢰받는 조언자이자 위협의 가담자가 될 수 있다. 이는 교과서적인 이해충돌이며, 피해자는 이를 알지 못할 수 있다.
사고 대응에서 이해충돌이 중요한 이유
사고 대응은 신뢰에 달려 있다. 침해당한 기업은 복구를 돕는 사람들에게 로그, 네트워크 세부 정보, 민감한 비즈니스 정보를 넘긴다. 그러한 조언자 중 누구라도 공격자와 연관이 있다면, 여러 가지 일이 잘못될 수 있다:
- 협상 레버리지가 유출될 수 있다. 피해자의 예산이나 기한을 아는 것은 갈취범이 가격을 정하는 데 도움이 된다.
- 조언이 왜곡될 수 있다. 이해충돌이 있는 조언자는 기업이 다른 방식으로 복구하는 대신 지급 쪽으로 유도할 수 있다.
- 데이터 처리가 불확실해진다. 지급은 탈취된 데이터의 삭제를 사는 것으로 되어 있지만, 다른 최근 갈취 사건들과 마찬가지로 데이터가 정말로 사라졌는지 확신할 방법은 없다.
침해당한 기업 내부에 기록이 있는 고객, 환자, 학생, 직원에게 이것은 그들의 손을 떠난 일이다. 당신은 협상가를 선택하지 않으며, 누가 협상가였는지 알게 되는 경우도 드물다. 업계 전체적으로 이는 더 명확한 검증과 이해충돌 공개를 요구하고, 규제 당국과 보험사가 이들 업체를 어떻게 심사하는지 살펴봐야 할 이유다.
이것이 당신에게 의미하는 것
당신은 공급업체의 사고 대응 파트너를 감사할 수 없다. 당신이 할 수 있는 것은, 누가 협상을 처리했든 간에 당신의 데이터가 잘못된 손에 들어갔을 때 피해를 제한하는 것이다. 지급이 정보가 파기되었다는 것을 보장하지 않는다고 가정하고, 탈취된 세부 정보가 후속 사기에 재사용될 수 있다고 가정하라. 갈취 그룹과 모방범들은 또한 침해 뉴스를 악용한다. 예를 들어, 가짜 ShinyHunters 성 착취 이메일이 실제 침해 세부 정보를 사용해 위협을 그럴듯하게 보이게 했다고 전해진다.
이용 중인 기업이 침해당했다면 무엇을 해야 하는가
침해 통지가 도착하면, 사건이 정리되기를 기다리지 말고 행동하라:
- 재사용된 비밀번호를 변경하라. 침해당한 서비스부터 시작해서, 같은 비밀번호를 공유하는 다른 모든 계정으로 이어가라. 각 계정마다 고유한 비밀번호를 사용하고, 이상적으로는 비밀번호 관리자에 저장하라.
- 다중 인증을 켜라. 가능하면 SMS보다 인증 앱이나 하드웨어 키를 선호하라.
- 피싱 및 갈취 이메일에 주의하라. 당신에 관한 실제 세부 정보를 언급하며 돈이나 긴급 조치를 요구하는 메시지를 의심하라. 답장하거나, 링크를 클릭하거나, 첨부 파일을 열지 마라. 대신 기업의 공식 사이트로 직접 가라.
- 통지 자체를 확인하라. 공격자들이 침해 알림을 모방하기 때문에, 검증할 수 있는 채널을 통해 기업에서 온 것인지 확인하라.
- 계정을 모니터링하라. 은행 및 카드 명세서를 검토하고, 통지에서 금융 또는 신원 데이터가 노출되었다고 하면 신용 동결을 고려하라.
핵심 요약
몸값 협상가와 ShinyHunters 갈취 사이트 사이의 의혹은 아직 확정된 사건이 아니지만, 침해 대응의 상당 부분이 개인이 볼 수 없는 신뢰 위에서 돌아간다는 점을 보여준다. 사실이 완전히 확립될 때까지, 합리적인 접근은 매번 같은 방식으로 자신을 보호하는 것이다. 고유한 비밀번호, 다중 인증, 그리고 유출된 데이터에 기대어 당신을 겁주려는 모든 메시지에 대한 건전한 의심이다. 침해 통지 후에 이런 일들을 하면, 공격자든 그들의 중간상이든 무엇을 쥐고 있든 그 가치를 줄일 수 있다.
