문제를 해결하기 위해 대가를 지불한 랜섬웨어 피해자들은 종종 실망하게 된다. 새로 발표된 글로벌 연구인 AI 시대 랜섬웨어 보고서(AI-Era Ransomware Report)는 12개 시장에서 약 1,000명의 보안 전문가를 대상으로 조사했으며, 몸값을 지불하는 것이 확실한 해결책과는 거리가 멀다는 사실을 발견했다. 이러한 연구 결과는 보안 연구원들이 수년 동안 반복해 온 경고에 새로운 무게를 더한다: 랜섬웨어 반복 갈취 지불은 드문 예외가 아니라 실제적이고 증가하는 위험이다.

AI 시대 랜섬웨어 보고서가 발견한 것

이 조사는 조직이 랜섬웨어 공격을 당했을 때 어떻게 대응하는지에 대한 냉정한 그림을 보여준다. 공격을 당한 조직의 절반 이상인 54%가 민감한 데이터를 복구하기 위해 결국 몸값을 지불했다. 지불한 사람들 중 56%는 파일이나 시스템에 대한 접근 권한을 되찾았다. 그러나 더 우려되는 수치는 그 다음에 일어난 일이다: 피해자의 3분의 1 이상인 37%가 첫 번째 몸값을 이미 지불한 후 두 번째 갈취 요구를 받았다.

이 통계만으로도 조직이 랜섬웨어 대응 방식을 어떻게 생각해야 하는지 재구성해야 한다. 지불은 사건을 종결시키는 일회성 거래가 아니다. 이 연구에서 피해자의 3분의 1 이상에게 그것은 단순히 더 길고 비용이 많이 드는 주기의 시작 수순이었다.

지불이 안전이나 데이터 복구를 보장하지 않는 이유

여기서 수치를 곱씹어 볼 가치가 있다. 지불한 조직 중에서도 거의 절반이 어쨌든 데이터를 완전히 복구하지 못했다. 그리고 파일을 되찾은 사람들 중 상당수는 같은 공격자가 더 많은 돈을 요구하거나, 지불이 협상 의향이 있음을 증명한 것으로 보고 다른 집단이 다시 표적이 되었다.

이러한 패턴은 다른 최근 연구와도 일치한다. vpn.social에서 다룬 Proofpoint 조사도 랜섬웨어 갱단에게 몸값을 지불하는 것이 종종 역효과를 낳으며, 지불한 피해자들의 상당수가 새로운 갈취 시도에 직면한다는 것을 발견했다. 조직이 일단 지불하면 확정 지불자 목록에 오를 수 있고, 이 정보는 범죄 집단 사이에서 유포되어 해당 조직을 미래 공격에 덜 매력적인 대상이 아니라 더 매력적인 대상으로 만든다.

랜섬웨어 협상에는 시행 가능한 계약도 없다. 공격자들은 돈이 이동한 후에는 계약의 이행을 지켜야 할 법적 또는 평판상의 인센티브가 없다. 복호화 키는 불완전하거나 버그가 있거나 아예 전달되지 않을 수 있다. 협박 수단으로 사용된 도난 데이터는 약속과 관계없이 여전히 판매되거나 유출되거나 두 번째 갈취를 위해 보관될 수 있다.

예방 대안: 백업, 암호화, 네트워크 분할

그러한 확률을 고려할 때, 더 탄력적인 전략은 몸값을 지불할지 결정해야 하는 상황 자체를 줄이는 것이다. 몇 가지 관행이 효과적인 방어책으로 일관되게 나타난다:

  • 오프라인이고 테스트된 백업 유지. 메인 네트워크에서 분리되고 정기적으로 복원 테스트를 거친 백업은 공격자와 협상하지 않고도 조직이 복구할 수 있게 한다.
  • 저장 중 및 전송 중인 민감한 데이터 암호화. 공격자가 파일을 유출하더라도 강력한 암호화는 그들이 실제로 사용하거나 판매할 수 있는 것을 제한하여 데이터 유출 위협의 협박력을 줄인다.
  • 네트워크 분할. 시스템을 격리된 영역으로 나누면 랜섬웨어가 초기 발판을 확보한 후 확산될 수 있는 범위가 제한되어 피해가 조직의 더 작은 부분에 국한된다.
  • 지속적인 패치 및 모니터링. 많은 랜섬웨어 침입이 여전히 알려진 패치되지 않은 취약점이나 취약한 원격 접속 자격 증명을 악용하므로 기본적인 위생 관리가 진입점의 상당 부분을 차단한다.

이러한 조치 중 어느 것도 조직을 공격에 면역이 되게 만들지는 않지만, 함께 실행하면 성공적인 침해의 가능성과 침해가 발생했을 때 지불해야 하는 압박을 모두 줄인다.

공격 발생 전에 사고 대응 계획 구축하기

랜섬웨어 사건 이후 가장 잘 대처하는 조직은 공격이 발생하기 전에 이미 대응을 연습한 조직인 경향이 있다. 즉, 몸값을 지불할지 결정하는 사람이 누구인지, 법률 및 법 집행 연락처에 누구에게 통보되는지, 직원 및 고객과의 커뮤니케이션을 어떻게 처리하는지, 시스템을 어떻게 격리하고 복원하는지 명시하는 문서화된 계획을 보유하는 것을 의미한다.

직원들이 시뮬레이션된 공격 시나리오를 진행하는 테이블탑 훈련(tabletop exercises)을 실행하면 실제 압박이 없는 상태에서 계획의 허점을 발견하는 데 도움이 된다. 또한 사건이 실제로 발생했을 때 실제 대응 속도를 높여 노출 시간을 줄이고 다른 선택지가 준비된 것처럼 보이지 않는다는 이유만으로 지불하고 싶은 유혹을 줄인다.

이것이 당신에게 의미하는 바

IT 리더와 보안 팀에게 이 보고서는 랜섬웨어 반복 갈취 지불이 최악의 경우 아웃라이어가 아니라 계획에 반영할 만큼 흔하다는 것을 상기시킨다. 몸값 지불을 신뢰할 수 있는 보험 정책이 아니라 실패 가능성이 실제로 있는 최후의 수단으로 취급하라. 다른 핵심 인프라 비용을 예산에 편성하는 것과 같은 방식으로 예방(백업, 분할, 모니터링)에 예산을 편성하라. 수치상으로 볼 때 공격자와 반복적인 협상을 하는 것보다 장기적으로 더 저렴하기 때문이다.

전담 보안 팀이 없는 개인 사용자와 소규모 조직의 경우에도 동일한 원칙이 축소 적용된다: 대체할 수 없는 것은 무엇이든 오프라인 사본을 보관하고, 사용 가능한 곳에서는 암호화를 사용하며, 시스템이 잠긴 경우 누구에게 연락할지 미리 알아두라.

핵심 요점

  • 조사에 참여한 조직 중 랜섬웨어 공격을 당한 조직의 54%가 몸값을 지불했지만, 지불자의 56%만이 데이터에 대한 접근 권한을 완전히 되찾았다.
  • 지불한 조직의 37%가 두 번째 갈취 요구를 받았으며, 이는 지불이 위험을 종식시키지 않는다는 것을 보여준다.
  • 오프라인 백업, 암호화, 네트워크 분할은 성공적인 공격의 확률과 지불 압박을 모두 줄인다.
  • 공격 발생 전에 구축된 테스트된 사고 대응 계획은 복구 시간을 단축하고 몸값 지불에 대한 의존도를 줄인다.
  • 독자들은 몸값 지불이 공격을 해결하는 데 얼마나 자주 실패하는지에 대한 추가 확인 데이터를 위해 Proofpoint 조사 결과를 검토할 수 있다.