머레이 카운티, 비상 예비금에서 20만 달러 랜섬 지급
조지아주 머레이 카운티에서 발생한 랜섬웨어 공격으로 납세자들은 20만 달러의 비용을 부담하게 되었으며, 이 금액은 카운티의 비상 예비 기금에서 직접 충당되었습니다. 유일한 위원인 노아 비숍은 이 지불을 확인하면서 침해 사태를 해결할 수 있는 유일한 방법이었다고 설명했습니다. 이번 사건은 지방 정부 네트워크 보안 실패가 어떻게 공공 재정 피해로 직결되는지, 그리고 그 과정에서 책임 소재가 거의 드러나지 않고 투명성도 현저히 낮은 현실을 보여주는 생생한 사례입니다.
머레이 카운티 랜섬웨어 공격에서 일어난 일
초기 침입 경로에 대한 세부사항은 공개되지 않았으며, 이 자체가 하나의 적신호입니다. 확실한 것은 머레이 카운티의 시스템이 충분히 심각한 수준으로 장악되어, 관계자들이 자체 복구를 시도하는 것보다 공격자의 요구에 응하는 편이 낫다고 판단했다는 점입니다.
20만 달러는 예상치 못한 경제적 사건이나 비상사태에 대비해 특별히 적립해 둔 비상 예비금에서 지급되었습니다. 이 기금을 범죄 조직에 지불하는 결과는 적립 당시 대다수 카운티 주민들이 전혀 예상하지 못했을 것입니다. 비숍 위원은 이번 지불을 해결책으로 제시했지만, 랜섬웨어 지불에는 보증이 따르지 않는 경우가 다반사입니다. 공격자는 부분적으로만 작동하는 복호화 키를 제공하거나, 돈을 받고도 탈취한 데이터의 사본을 보유하며, 한 번 지불이 확인된 조직을 다시 표적으로 삼을 수도 있습니다.
지방 정부가 랜섬웨어의 주요 표적이 되는 이유
머레이 카운티만 예외적인 경우가 아닙니다. 미국 전역의 지방 정부는 공격자들이 매력적으로 여기는 여러 특성, 즉 노후화된 IT 인프라, 제한된 사이버 보안 예산, 소규모이거나 아예 존재하지 않는 전담 보안팀, 그리고 시스템 가동 유지에 대한 높은 운영 의존도를 동시에 지니고 있어 꾸준한 랜섬웨어 표적이 되고 있습니다.
카운티 정부는 백업으로부터 재구축하는 동안 몇 주 동안 서비스를 중단할 수 없습니다. 법원, 긴급 출동 시스템, 재산 기록, 급여 등 모든 기능이 작동해야 합니다. 이러한 시간적 압박은 공격자에게 엄청난 협상력을 제공하며, 공격자들은 이 사실을 잘 알고 있습니다.
작은 카운티는 침입을 조기에 탐지할 내부 전문 지식이 부족한 경우가 많습니다. 랜섬웨어가 배포되어 파일 암호화가 시작될 무렵이면 공격자는 이미 네트워크 내에서 며칠 또는 몇 주 동안 머물며 시스템을 매핑하고 데이터를 외부로 유출시켰을 수 있습니다. 랜섬 요구는 훨씬 더 긴 작전의 마지막 단계일 뿐입니다. 공공 기관을 표적으로 삼는 랜섬웨어 그룹은 이러한 작전 수법을 상당히 정교하게 다듬었습니다. 이는 ShinyHunters 그룹의 Baker Distributing 침해 사건과 같은 사례에서도 확인되듯, 체계적인 침투 끝에 26만 건의 기록이 노출된 경우에서도 드러납니다.
20만 달러 지급을 정당화한 논리와 그것이 위험한 선례를 만드는 이유
단기적인 운영 관점에서는 이번 지급이 이해할 만합니다. 복호화 키 없이 복구하는 데는 수개월이 걸리고, 비용이 많이 드는 외부 포렌식 조사가 필요하며, 그럼에도 영구적인 데이터 손실을 초래할 수 있습니다. IT 인력이 한정적이고 사고 대응 계약을 맺어두지 않은 카운티 입장에서, 비용을 지불하는 것이 실제로 더 빠른 선택이었을 수 있습니다.
그러나 공공 기관의 모든 랜섬웨어 지불은 더 넓은 범죄 생태계에 “이런 유형의 표적은 돈을 낸다”는 메시지를 보냅니다. 이 신호는 반복적인 순환을 부추깁니다. 기관이 돈을 내면, 공격자 그룹은 그 수익을 더 정교한 도구와 더 큰 규모의 작전에 재투자합니다. 위협 환경 전반에서 공격이 점점 더 거세지는 패턴이 관찰되며, 여기에는 랜섬 확대 캠페인에서 ShinyHunters가 학교 포털을 훼손한 사례처럼 그룹이 데이터 탈취에서 능동적 시스템 교란으로 움직이는 경우도 포함됩니다.
또한 실질적인 책임 공백도 존재합니다. 이번 지급은 별도 예산 항목이 아닌 예비 기금에서 집행되었기 때문에, 카운티의 보안 태세에 대한 공식적인 검토를 촉발할 만한 성격의 검열을 빗겨갔습니다. 납세자들이 비용을 떠안고 있지만, 애초에 침해를 허용한 시스템을 강제로 업그레이드하게 만드는 명확한 장치는 존재하지 않습니다.
랜섬웨어 위험을 줄일 수 있는 네트워크 보안 조치
이번 머레이 카운티 사건은 예방 가능했던 몇 가지 실패 지점을 부각시킵니다. 막대한 예산 없이도 랜섬웨어 노출을 줄이려는 조직에는 효과가 큰 몇 가지 선택지가 있습니다.
네트워크 세분화(Network Segmentation)는 아마도 가장 효과적인 구조적 방어 수단일 것입니다. 만약 카운티 시스템이 적절히 세분화되어 있었다면, 한 부서에서 발생한 침해(예: 행정 업무용 워크스테이션에 대한 피싱 공격)가 곧바로 금융 시스템이나 백업 등 핵심 인프라로 향하는 경로를 공격자에게 열어주지 않았을 것입니다. 모든 장치가 서로 통신할 수 있는 평면 네트워크(Flat Network)는 랜섬웨어 그룹에게 이상적인 환경입니다.
VPN 기반 접근 통제는 내부 시스템에 대한 원격 접근이 반드시 인증 및 암호화된 터널을 통과하도록 요구함으로써 의미 있는 방어층을 추가합니다. 이는 관리 인터페이스와 내부 서비스가 개방된 인터넷에 노출되는 것을 제한합니다. 보안이 미흡한 정부 네트워크에서 공격자가 초기 침투 발판을 마련하는 경로가 바로 이 지점인 경우가 빈번합니다.
오프라인 혹은 변경 불가능한(immutable) 백업은 가장 중요한 복구 도구입니다. 랜섬웨어가 도달하거나 암호화할 수 없는 최신 백업을 유지하면 공격자가 보유한 협상력이 극적으로 떨어집니다. 비용 지불은 선택 사항이 되고 필수가 아니게 됩니다.
패치 관리 및 엔드포인트 모니터링은 취약점을 차단하고 침입이 확대되기 전에 탐지하는 데 필요한 가시성을 제공합니다. 많은 랜섬웨어 사건은 공격에 악용되기 몇 달 전에 이미 패치가 제공되었던 알려진 취약점과 연관되어 있습니다.
이것이 여러분에게 의미하는 바
여러분이 카운티나 지방자치단체에 거주하고 있다면, 이 이야기는 여러분과 직접적으로 관련됩니다. 여러분의 지방 정부는 재산 기록, 세금 데이터, 법원 문서 등 민감한 개인 정보를 보유하고 있을 가능성이 높습니다. 그 인프라에 가해지는 랜섬웨어 공격은 단순히 예비 기금의 손실로 끝나지 않습니다. 여러분의 데이터를 노출시키고, 여러분이 의존하는 서비스를 마비시킬 수 있습니다.
공공 부문에서 근무하는 IT 및 보안 전문가에게 머레이 카운티 사건은 사고가 문제를 강제하기 전에 기본적인 네트워크 위생에 투자해야 한다는 구체적인 논거가 됩니다. 세분화, 접근 통제, 적절한 백업 체계를 갖추는 데 드는 비용은 20만 달러 규모의 랜섬 지급액에 비하면 극히 일부이며, 그 과정에서 범죄 조직의 운영 자금을 대는 일도 발생하지 않습니다.
랜섬웨어 그룹의 작동 방식과 표적 선정 기준을 이해하는 것은 실질적인 출발점입니다. Baker Distributing과 같은 조직에 사용된 전술은 지방 정부를 겨냥할 때와 유사한 패턴을 따릅니다. 이러한 사례들을 검토하면 보안팀이 자체 네트워크의 어느 지점이 가장 노출되어 있는지 예측하고 그에 따라 방어의 우선순위를 정하는 데 도움이 됩니다.
요컨대 머레이 카운티가 지급한 20만 달러는 알려진 보안 격차로 인해 예견 가능했던 결과였습니다. 동일한 격차가 전국 지방 정부 곳곳에 존재합니다. 미리 선제적으로 대처하는 편이 사후에 청구서를 지불하는 것보다 훨씬 비용이 적게 듭니다.
