메두사 랜섬웨어, 주요 기반 시설 대규모 공격
메두사(Medusa)로 알려진 랜섬웨어 서비스(RaaS) 운영 조직이 주요 기반 시설 분야의 300개 이상의 조직을 침해했다고 CISA, FBI, 보건복지부의 공동 권고가 밝혔다. 피해자는 의료, 제조, 교육, 기술 분야에 걸쳐 있으며, 이들 산업에서는 단 한 번의 성공적인 침해로도 환자 치료, 공급망, 또는 필수 서비스가 수 주 동안 중단될 수 있다.
메두사를 주목하게 만드는 이유는 그 영향력만이 아니다. 제휴 공격자들이 초기 침해 후 오랜 시간이 지나서도 피해자에게 돈을 갈취하기 위해 사용하는 다층적 압박 전술과, 일부 피해자들이 동일한 공격에 대해 두 번 이상 갈취를 당하고 있다는 충격적인 징후 때문이다.
메두사의 이중 갈취 모델 작동 방식
현대의 많은 랜섬웨어 운영 조직처럼 메두사도 단순히 파일을 암호화만 하지 않는다. 먼저 민감한 데이터를 유출한 후, 피해자가 돈을 지불하지 않으면 이를 공개하겠다고 위협한다. 이것은 표준적인 이중 갈취 전술이다. 데이터 복호화를 위해 돈을 지불하거나, 온라인 유출을 막기 위해 (또는 대신) 돈을 지불하는 것이다.
메두사는 이러한 압박 캠페인에 심리적 요소를 더한다. 이 조직은 피해자에게 유출된 데이터가 공개되기 전 카운트다운 시계를 연장하기 위해 추가 비용을 지불할 수 있는 옵션을 제공하는 것으로 알려져 있으며, 이는 촉박한 마감 시한의 공포를 사실상 금전화하는 것이다. 이것은 사소한 세부사항처럼 보일 수 있지만, 랜섬웨어 운영자들이 갈취를 단순한 최후통첩이 아닌 가격 등급이 있는 비즈니스로 취급한다는 것을 보여준다.
가능한 삼중 갈취의 반전
FBI 조사에서 얻은 가장 우려되는 발견은 피해자가 이미 돈을 지불한 후에 발생하는 상황과 관련이 있다. 최소 한 건의 사례에서, 이미 랜섬웨어 몸값을 지불한 피해자가 다른 메두사 제휴 공격자로부터 "진짜 복호화 도구"를 위해 또 다른 돈을 요구하는 연락을 다시 받았다. 이는 첫 번째 지불이 작동하는 복호화 도구를 제공하지 못했거나, 완전히 별개의 제휴 공격자가 돈을 수금했음을 시사한다.
이로 인해 조사자들이 검토 중인 두 가지 불편한 가능성이 제기된다. 메두사 제휴 공격자들이 비공식적 삼중 갈취 계획을 운영하여 동일한 피해자에게 여러 번 돈을 갈취하고 있거나, 랜섬웨어 서비스 구조의 조정이 너무 느슨해져서 서로 다른 공격자들이 이전 지불을 존중하지 않고 동일한 침해로 독립적으로 이익을 얻으려 하고 있다는 것이다. 어느 쪽이든 피해자에게 주는 교훈은 동일하다. 랜섬웨어 조직에 돈을 지불한다고 해서 사건이 실제로 해결된다는 보장이 없으며, 지불한 조직도 반복적인 요구에 직면할 수 있다는 것이다.
주요 기반 시설이 계속해서 공격받는 이유
주요 기반 시설 조직은 종종 제한된 보안 인력과 함께 레거시 시스템과 현대 IT 시스템을 혼합하여 운영하고, 서비스 중단이 신속한 지불에 대한 긴급한 압박을 만들기 때문에 매력적인 표적이 된다. 특히 의료 기관은 시스템이 다운되면 생명과 안전에 직결된 결과를 초래하며, 랜섬웨어 조직은 마감 시한과 몸값 금액을 설정할 때 이를 이해하고 악용한다.
메두사 캠페인의 규모(확인된 피해자 300명 이상)는 랜섬웨어 서비스가 진입 장벽을 낮췄다는 사실을 반영한다. 제휴 공격자들은 자체 멀웨어나 인프라를 구축할 필요가 없다. 기존 도구 키트와 협상 프레임워크에 대한 접근 권한을 임대하며, 이것이 이러한 공격이 소수의 유명한 표적이 아닌 수백 개의 조직으로 확장될 수 있는 이유 중 하나다.
이것이 당신에게 의미하는 바
병원, 학교 시스템, 제조업체, 또는 유틸리티에서 일하거나 그 서비스에 의존한다면, 이 캠페인은 랜섬웨어가 대기업에 대한 헤드라인에 국한된 추상적인 위협이 아니라는 사실을 상기시켜 준다. 이는 당신의 건강 기록, 자녀의 학교 데이터, 그리고 매일 의존하는 인프라를 관리하는 조직을 적극적으로 공격하고 있다.
개인의 경우, 상호 작용하는 조직이 메두사의 피해자가 되고 지불을 거부하거나 지불할 수 없게 되면 개인 데이터 노출의 실질적 위험이 있다. 잠재적으로 영향을 받는 조직의 IT 및 보안 팀에게 FBI가 문서화한 반복적인 갈취 요구에 대한 조사 결과는 지불이 해결을 보장한다고 가정하는 것에 대한 강력한 반론이다. 공격자의 협력에 의존하지 않는 백업 및 복구 계획이 여전히 더 신뢰할 수 있는 경로다.
또한 네트워크 보안은 계층적 문제라는 점을 기억할 가치가 있다. VPN과 같은 도구는 중요한 시스템에 대한 원격 접근을 보호하는 데 일반적으로 사용되지만, 러시아의 인터넷 대역폭 동결로 VPN 접근 차단과 같은 무관하지만 교훈적인 사례에서 볼 수 있듯이 접근 인프라 자체가 통제 지점이 된 경우처럼, 이들도 중단이나 오용에 대해 무적이 아니다. VPN이든, 방화벽이든, 백업 시스템이든 단일 도구는 더 넓은 방어 전략의 한 계층에 불과하다.
실행 가능한 핵심 사항
- 주요 기반 시설 분야의 조직은 규모와 관계없이 자신이 실행 가능한 표적이라고 가정하고, 랜섬웨어 몸값 지불보다 오프라인 상태의 테스트된 백업을 복구 계획으로 우선시해야 한다.
- 메두사 몸값을 지불하면 사건이 종료된다고 가정하지 마라. FBI는 지불 후 반복적인 요구 사례를 문서화했다.
- 개인은 자신의 데이터를 보유한 조직이 침해를 경험했다는 통지를 받으면 계정과 신용 활동을 모니터링해야 한다.
- IT 팀은 메두사의 전술에 대한 CISA 및 FBI 공동 권고 세부사항을 검토하고, 알려진 악용 취약점 패치와 다중 인증 강제 적용을 포함한 권장 완화 조치를 적용해야 한다.
메두사가 300명 이상의 피해자로 성장한 것은 랜섬웨어 서비스 조직들이 많은 조직이 방어를 개선하는 것보다 더 빠르게 갈취 전술을 정교화하고 있음을 보여준다. 이러한 캠페인이 어떻게 작동하는지 정보를 얻고, 몸값 지불이 아닌 복원력 중심의 복구를 계획하는 것이 공격이 발생할 때(발생하지 않을 때가 아니라) 피해를 줄이는 가장 신뢰할 수 있는 방법으로 남아 있다.
