메두사 랜섬웨어 그룹, 2021년 이후 피해자 500명 돌파

메두사로 알려진 랜섬웨어 조직이 2021년 6월 첫 등장 이후 500건 이상의 공격과 연루된 것으로 최근 보고서에서 확인됐다. 이 그룹은 이중 갈취 모델로 명성을 쌓아왔다: 피해자의 데이터를 암호화하면서 동시에 몸값을 지불하지 않으면 훔친 파일을 공개적으로 유출하겠다고 위협하는 방식이다. 이러한 일타쌍피 전술은 메두사를 지난 수년간 보안 연구자들이 추적해 온 가장 지속적인 랜섬웨어-as-a-service 운영 중 하나로 만들었다.

메두사가 주목할 만한 이유는 단순히 오래 지속된 것만이 아니다. 기업 네트워크부터 핵심 공공 서비스에 이르기까지 혼란을 일으킨 다양한 산업 분야와, 공격이 성공했을 때 뒤따르는 현실 세계의 결과물이다.

인간적 비용을 보여주는 병원 공격

메두사의 가장 파괴적인 사건 중 하나는 2026년 2월 미시시피 대학 메디컬 센터에 대한 공격이었다. 이 침해로 9일간의 시스템 장애가 발생해 메디컬 센터는 외래 진료소를 폐쇄하고 시스템이 복구되는 동안 종이 기반 기록으로 회귀해야 했다. 공격자들은 80만 달러의 몸값을 요구한 것으로 알려졌다.

이러한 사건은 의료 서비스 제공자를 대상으로 한 랜섬웨어가 규제 기관과 보안 기관으로부터 왜 그렇게 많은 주목을 받는지 보여준다. 병원 시스템이 오프라인이 되면 그 여파는 IT 부서에만 국한되지 않는다. 환자 일정 관리, 의료 기록 접근, 일상적인 임상 운영이 모두 중단될 수 있으며, 직원들은 시스템이 다시 온라인으로 복구될 때까지 종이 양식으로 임기응변해야 한다. 환자에게는 진료 연기, 더 긴 대기 시간, 그리고 자신의 개인 건강 정보가 그 과정에서 노출되었는지에 대한 불확실성을 의미할 수 있다.

이중 갈취 전술은 운영 중단 외에도 또 다른 위험 계층을 추가한다. 조직이 백업에서 시스템을 복구하고 몸값 지불을 피할 수 있더라도, 그룹의 요구가 충족되지 않으면 훔친 데이터는 여전히 공개되거나 판매될 수 있다. 이는 침해된 조직과 연결된 환자, 직원 또는 고객이 초기 장애에 대한 헤드라인이 사라진 후 오랫동안 신원 도용이나 사기 위험에 직면할 수 있음을 의미한다.

메두사가 계속 성장하는 이유

메두사의 지속력은 익숙한 랜섬웨어-as-a-service 구조로 귀결된다. 단일한 긴밀한 통제 그룹으로 운영되기보다, 메두사의 모델은 제휴사들이 몸값 지불액의 일정 비율을 받는 대가로 랜섬웨어를 배포할 수 있게 한다. 이러한 프랜차이즈식 접근 방식은 핵심 그룹이 모든 침해를 직접 수행할 필요 없이 운영이 빠르게 확장되고 다양한 산업의 새로운 표적을 공격할 수 있게 한다.

우리가 메두사 랜섬웨어 업데이트: 500개 이상의 침해 조직 추적에 대한 이전 보도에서 자세히 다룬 것처럼, CISA, FBI, 보건복지부를 포함한 연방 사이버 보안 기관들은 이 그룹의 전술에 대해 공동 경고를 발령했다. 이러한 연방 차원의 공동 관심은 일반적으로 랜섬웨어 그룹이 틈새 위협에서 의료, 제조 및 기타 중요 인프라를 포함한 공공 안전에 중요한 분야를 교란할 수 있는 위협으로 전환되었음을 의미한다.

메두사의 피해자 수가 줄어들기보다 계속 증가하고 있다는 사실은 많은 조직이 여전히 이 그룹과 그 제휴사들이 의존하는 초기 접근 방법, 즉 피싱, 패치되지 않은 소프트웨어 악용, 취약한 원격 접속 자격 증명 악용에 취약하다는 것을 시사한다.

이것이 당신에게 의미하는 바

대부분의 사람들은 메두사와 같은 그룹의 직접적인 표적이 되지 않겠지만, 그 파급 효과는 생각보다 자주 일반 사용자에게까지 도달한다. 만약 당신이 공격을 받은 조직의 환자, 고객 또는 직원이라면, 당신의 개인 데이터(의료 기록, 금융 정보, 로그인 자격 증명)가 공격자와 직접 상호작용하지 않더라도 노출될 수 있다.

이러한 공격의 증가 속도는 랜섬웨어가 가끔 나오는 헤드라인이 아니라 지속적이고 규모화된 범죄 비즈니스 모델임을 상기시킨다. 특히 의료 서비스 제공자들은 중단이 지불에 대한 긴급한 압박을 만들기 때문에 여전히 매력적인 표적으로 남아 있다.

실행 가능한 교훈

병원, 고용주, 서비스 제공자가 표적이 되는 것을 통제할 수는 없지만, 자신의 노출을 줄일 수는 있다:

  • 침해 알림을 모니터링하라. 상호작용하는 조직이 사고를 보고하면 신용 모니터링이나 비밀번호 재설정에 대한 안내를 신속히 따르라.
  • 모든 계정에 고유하고 강력한 비밀번호를 사용하라. 특히 의료 포털과 금융 서비스의 경우, 한 제공자의 침해가 다른 제공자로 확산되지 않도록 한다.
  • 다단계 인증을 제공되는 곳마다 활성화하라. 이는 랜섬웨어 그룹에게 초기 발판을 제공하는 자격 증명 기반 공격에 대한 가장 효과적인 방어 수단 중 하나로 남아 있기 때문이다.
  • 개인 기기를 패치하고 업데이트된 상태로 유지하라. 랜섬웨어 제휴사들은 알려진 소프트웨어 취약점을 악용해 접근 권한을 얻는 경우가 많기 때문이다.

메두사의 500명 피해자 돌파는 냉정한 데이터 포인트이지만, 동시에 놀라기보다 사전 대응에 나서라는 신호이기도 하다. 랜섬웨어 그룹은 패치되지 않은 시스템과 재사용된 자격 증명을 이용해 번성하며, 이는 개인과 조직 모두 오늘 해결할 수 있는 문제다.