새로운 데이터, 랜섬웨어 지불금이 지속적인 안전을 보장하지 않는다는 사실 확인
The Register에서 강조하고 SC Media의 브리핑에서 다룬 새로운 보도는 랜섬웨어 요구 금액을 지불하는 것이 향후 공격을 확실하게 막아주지 못한다는 증거를 더욱 쌓아줍니다. 데이터를 복구하거나 갈취를 중단하기 위해 돈을 지불한 조직은 종종 다시 표적이 되며, 때로는 동일한 범죄 그룹에 의해, 때로는 피해자가 돈을 지불할 의사가 있다는 사실을 알게 된 전혀 다른 그룹에 의해 공격받습니다. 이러한 패턴은 오퍼레이션 크로노스(Operation Cronos)와 같은 공조된 법 집행 활동이 주요 랜섬웨어 작전을 내부에서 해체하려는 와중에도 나타나고 있습니다.
여기서 얻을 수 있는 교훈은 간단하지만 많은 조직에게 불편합니다: 랜섬웨어 지불과 반복 공격은 밀접하게 연결되어 있으며, 이는 지불이 안전을 보장하기 때문이 아니라, 공격자에게 해당 표적이 수익성이 있고 준비가 부족하다는 신호를 주기 때문입니다.
지불이 잘못된 안전감을 조성하는 이유
시스템에 잠겨 들어갈 수 없거나 공개적인 데이터 유출 위협을 받을 때, 몸값을 지불하는 것이 정상 운영으로 돌아가는 가장 빠른 길처럼 느껴질 수 있습니다. 그러나 새로운 데이터는 보안 연구원들이 수년간 말해온 바를 재확인시켜 줍니다: 지불은 거래일 뿐 보장이 아닙니다. 랜섬웨어 갱단은 범죄 기업이며, 데이터가 삭제될 것인지, 복호화 키가 실제로 작동할 것인지, 혹은 동일한 취약점이 다시 악용되지 않을 것이라는 강제력 있는 합의는 존재하지 않습니다.
지불하는 조직은 대개 적절한 백업, 사고 대응 계획, 혹은 시스템을 신속하게 재구축할 내부 전문성이 부족하기 때문에 그렇게 합니다. 이러한 근본적인 약점들은 몸값을 지불한 후에도 그대로 남아 있는 경향이 있어, 애초에 공격자를 들여보낸 문이 여전히 열려 있는 경우가 많습니다. 지불은 근본 원인이 아닌 즉각적인 위기만을 해결합니다.
이것이 바로 Proofpoint 설문조사에서 랜섬웨어 갱단에게 지불하는 것이 역효과를 낸다는 사실을 발견한 이유입니다. 이 조사는 경고에 구체적인 숫자를 제시하며, 돈을 지불한 조직 중 상당수가 여전히 데이터 손실, 추가 갈취 시도, 혹은 반복적인 침해를 경험했음을 보여주었습니다.
랜섬웨어 갱단이 이전 지불자를 식별하고 재표적으로 삼는 방법
랜섬웨어 작업은 점점 더 비즈니스처럼 운영되어, 제휴 네트워크, 피해자를 위한 고객 지원, 공격할 가치가 있는 표적에 대한 공유된 정보까지 갖추고 있습니다. 한 조직이 지불하면, 그 정보는 직접적인 데이터 공유, 네트워크 접근 권한 판매, 혹은 지하 포럼 내 평판만으로도 범죄 그룹 사이에 유통될 수 있습니다.
빠르고 큰 저항 없이 지불하는 피해자는 잘 알려진 존재가 됩니다: 기꺼이 돈을 건네는 의사가 입증된 손쉬운 표적입니다. 오퍼레이션 크로노스와 같은 법 집행 조치가 특정 랜섬웨어 인프라를 교란하는 데 성공하더라도, 원래 침해로 이어진 근본적인 접근 브로커 생태계, 도난된 자격 증명, 그리고 패치되지 않은 취약점은 다른 위협 행위자들에게 여전히 이용 가능하게 남아 있는 경우가 많습니다. 한 갱단을 교란한다고 해서 이전 피해자가 동일한 취약점을 악용하는 다른 갱단으로부터 보호받는 것은 아닙니다.
실질적인 방어: 백업, 네트워크 분할, VPN 강화
이 데이터에서 얻는 가장 분명한 교훈은 예방과 복원력이 협상보다 더 중요하다는 것입니다. 몇 가지 실질적인 조치가 확실한 차이를 만듭니다:
- 오프라인에서 테스트된 백업을 유지하세요. 메인 네트워크에서 분리되어 있고 정기적으로 복원 테스트를 거친 백업은 지불 필요성을 아예 없애는 가장 효과적인 방법입니다.
- 네트워크를 분할하세요. 공격자가 내부에 들어왔을 때 이동할 수 있는 범위를 제한하면 단일 계정이나 장치가 침해되었을 때의 피해 범위를 줄일 수 있습니다.
- 원격 접근을 강화하세요. VPN과 원격 데스크톱 도구는 랜섬웨어의 일반적인 진입점입니다. 다단계 인증 시행, VPN 소프트웨어의 신속한 패치, 사용하지 않는 원격 접근 지점 폐쇄는 공격자의 쉬운 발판을 제거합니다.
- 공격이 발생하기 전에 사고 대응 계획을 수립하세요. 누구에게 연락할지, 영향을 받은 시스템을 어떻게 격리할지, 이해관계자들과 어떻게 소통할지 알고 있으면 문제를 빨리 사라지게 하기 위해 돈을 지불해야 한다는 압박이 줄어듭니다.
이것이 여러분에게 의미하는 것
소규모 비즈니스의 IT를 운영하든, 단순히 개인 기기를 관리하든, 이 데이터가 전하는 메시지는 동일합니다: 지불을 안전망으로 여기지 마세요. 조직이 랜섬웨어 요구를 받게 되면, 그 사건을 해결하고 잊어버릴 협상이 아니라 보안상의 결함이 존재한다는 신호로 받아들이십시오. 신속하게 복구하고 반복적인 피해자가 되는 것을 피할 수 있는 조직은 공격이 발생한 후에 허둥대며 대응하기보다 사전에 백업, 네트워크 모니터링, 접근 통제에 투자한 곳들입니다.
주요 시사점
- 새로운 데이터는 랜섬웨어 지불과 반복 공격이 종종 함께 발생하며, 지불이 위협을 해결한다는 가정을 무너뜨린다는 것을 보여줍니다.
- 특정 갱단에 대한 법 집행 조치가 원래 공격으로 이어진 광범위한 취약점 생태계를 없애지는 않습니다.
- 오프라인 백업, 네트워크 분할, 강화된 원격 접근은 어떤 지불 협상보다 더 신뢰할 수 있는 방어 수단입니다.
- 조직은 현재의 공격에 어떻게 대응할지 결정하기보다 지금 사고 대응 계획을 마련해야 합니다.
랜섬웨어는 사라지지 않겠지만, 지불 결정을 빠른 해결책으로 취급해서는 안 됩니다. 예방, 복원력 있는 백업, 안전한 원격 접근을 우선시하는 것이 여전히 데이터와 조직을 공격자의 표적에서 벗어나게 하는 가장 효과적인 방법입니다.
