Intel 471: 랜섬웨어 갱단, 협상 전 매출 조사

랜섬웨어 협상이라고 하면 키보드 앞에 앉아 피해자의 연락을 기다리는 단 한 명의 운영자가 떠오르곤 했다. 위협 인텔리전스 기업 Intel 471의 새로운 조사 결과에 따르면, 그 그림은 이제 구식이 되었다. 랜섬웨어 조직들은 이제 협상을 직원이 배치된 비즈니스 프로세스로 취급하며, 몸값 액수를 제시하기 전에 피해자의 매출과 보험 가입 여부를 조사한다. 중간 규모 기업에게 이는 단순히 요구서의 크기 이상의 의미를 지닌다.

랜섬웨어 협상은 이제 구조화된 기능이 되었다

Intel 471의 연구는 몸값 요구가 더 이상 "대기업" 표적 목록에서 뽑아낸 임의의 숫자가 아니라는 변화를 설명한다. 대신 공격자들은 가격을 책정하기 전에 피해자의 재무 상태와 사이버 보험 정책에 대한 정보를 수집하는 신중한 실사(due diligence)를 수행하는 것으로 보인다. 이는 랜섬웨어 생태계 전반에서 문서화된 광범위한 추세를 반영하는데, 해당 생태계에서 운영은 접근 중개인부터 협상가까지 명확한 역할이 정의된 상업 기업과 점점 더 유사해지고 있다. 비즈니스 모델로서의 랜섬웨어에 대한 보도는 이미 랜섬웨어-서비스형(RaaS) 그룹이 공격의 거의 모든 단계를 전문화해 왔음을 추적했으며, 이제 협상이 그런 처우를 받는 최신 기능으로 보인다.

실질적인 효과는 몸값 요구가 획일적인 업계 요율이 아닌 특정 조직이 실제로 지불할 수 있는 금액에 맞춰 조정될 수 있다는 점이다. 지급 가능한 큰 보험금이 있는 회사는 보험이 없는 회사보다 더 높은 개시 금액에 직면할 수 있다. 그러한 조정은 조사를 필요로 하고, 조사는 데이터를 필요로 하며, 바로 여기서 프라이버시 문제가 등장한다.

재정 문제만이 아닌 프라이버시 측면에서 중요한 이유

표면적으로 이는 금융 및 운영 스토리처럼 보인다. 랜섬웨어 조직이 피해자의 지불 능력을 파악해 영향력을 극대화하는 것이다. 그러나 그 이면의 메커니즘은 실질적인 프라이버시 영향을 지닌다. 매출과 보험 상태를 평가하기 위해 공격자는 침입 전이나 침입 중에, 종종 손상된 시스템과 파일 자체에서 회사에 대한 정보를 수집해야 한다. 이는 재무 기록, 보험 서신, 내부 커뮤니케이션이 나중에 유출될 수 있는 데이터일 뿐만 아니라 공격자가 조직을 상대로 사용하는 정찰의 일부가 된다는 것을 의미한다.

이는 또한 갈취 환경을 이미 재편하고 있는 전술과도 교차한다. 그룹들이 피해자에게 점점 더 짧은 응답 기한을 주는 사례가 문서화되었으며, 이는 랜섬웨어 갱단이 왜 이제 피해자에게 결정을 내릴 단 7일만 주는지를 다룬 보도에서 살펴본 압박 전술이다. 협상 팀이 이미 피해자가 감당할 수 있는 금액과 사고를 해결해야 하는 기한을 알고 있다면, 그 압축된 일정은 범죄자의 조바심의 부산물이 아니라 최대 지불금을 끌어내기 위한 도구가 된다. 별도로 AI 기반 갈취의 숨은 비용에 대한 보도는 몸값 자체가 법적 노출, 규제 당국 신고, 평판 손상과 함께 피해자가 흡수하는 총 손해의 한 항목에 불과한 경우가 많다는 것을 보여주었다.

이것이 당신에게 의미하는 바

특히 중간 규모 기업의 경우, 조사 기반 협상 모델은 사고 대응 준비에 대한 계산을 바꾼다. 많은 중견 기업은 랜섬웨어 그룹이 기회적으로 자신들을 표적으로 삼고 모든 피해자를 동일하게 취급한다고 가정한다. Intel 471의 조사 결과는 그 반대를 시사한다. 공격자가 가격을 제시하기 전에 매출과 보험 상태를 프로파일링한다면, 보험 가입이 확인되거나 공개 재무 공시가 있는 중견 기업도 최종 요구액이 축소되더라도 대기업만큼 신중하게 평가될 수 있다.

이는 정책적 함의도 있다. 공격자 측에서 협상이 더 계산적으로 변함에 따라 일부 정부는 피해자가 협상하거나 지불하는 것을 허용해야 하는지 여부를 검토하기 시작했다. 랜섬웨어 지불 금지를 검토하는 정부들에 대한 보도에서 다룬 진행 중인 논의는 협상 과정 자체가 기술적 방어만이 아닌 규제적 관심을 정당화할 만큼 정교해졌다는 인식이 커지고 있음을 반영한다.

실행 가능한 핵심 사항

특히 레이더 아래에 있다고 믿을 수 있는 중견 기업들은 사고가 발생하기 전에 지금 이 변화를 계기로 사고 대응 계획을 재검토해야 한다. 몇 가지 구체적인 조치가 도움이 될 수 있다:

• 내부적으로 재무 기록과 보험 문서에 접근할 수 있는 사람을 검토하고 공유 드라이브나 접근이 쉬운 시스템에서 해당 정보의 노출을 제한하라.
• 랜섬웨어 협상 대비 태세를 구축하라.
• 사이버 보험 세부 정보가 안전하게 저장되어 침해 초기 단계에서 침입자가 쉽게 발견할 수 없도록 확인하라.
• 공격자가 이미 당신의 매출과 보험 한도를 알고 있다고 가정하는 테이블탑 훈련을 실시하되, 단지 파일을 암호화했다는 가정만으로는 안 된다.
• 공격자가 운영을 전문화함에 따라 전술이 계속 변화하므로 진화하는 랜섬웨어 협상 관행에 대한 정보를 지속적으로 파악하라.

랜섬웨어 협상은 더 이상 피해자와 익명의 공격자 사이의 즉흥적인 대화가 아니다. 이는 직원이 배치되고 조사가 이루어지는 비즈니스 프로세스이며, 이 변화를 이해하는 조직은 협상 테이블 반대편에 자신이 있다는 것을 알게 될 때 침착하고 효과적으로 대응할 더 나은 위치에 서게 된다.