Panzer라는 새로 확인된 랜섬웨어 운영 조직이 이미 11개국에 걸친 16개의 피해 기관을 공개한 것으로 최근 위협 인텔리전스 보고에서 드러났습니다. 이 그룹은 데이터 탈취와 파일 암호화를 결합한 이중 갈취 방식으로 알려진 Ransomware-as-a-Service(RaaS) 운영으로 등장했습니다. 이렇게 짧은 활동 기간에 이른 지리적 범위와 피해자 수는 혼잡한 랜섬웨어 생태계에서 빠르게 입지를 구축하려는 그룹의 움직임을 시사합니다.

Panzer 랜섬웨어란 무엇이며 어떻게 작동하는가

Panzer는 이제 익숙한 RaaS 모델을 따릅니다. 핵심 그룹이 암호화 도구와 유출 인프라를 개발한 다음, 실제 침입을 수행하는 제휴사(affiliate)에게 임대하는 방식입니다. 이 구조는 맬웨어를 만드는 기술적 부담과 네트워크 침투 및 피해자 협상이라는 운영 작업을 분리하기 때문에 랜섬웨어 운영이 빠르게 확장될 수 있습니다.

현재 많은 랜섬웨어 패밀리와 마찬가지로 Panzer는 피해자에게 지불을 강요하기 위해 암호화에만 의존하지 않습니다. 파일을 잠그기 전에 제휴사가 침해된 네트워크에서 데이터를 유출하는 것으로 알려졌습니다. 그 유출된 데이터가 협박 수단이 됩니다. 견고한 백업을 보유한 조직조차도 지불을 거부하면 민감한 파일이 공개되거나 판매될 위험에 직면합니다. 이중 압박 전술, 흔히 이중 갈취(double extortion)라고 불리는 이 방식은 신뢰할 수 있는 백업이 제공하던 허점을 차단하기 때문에 랜섬웨어 환경 전반에서 표준 관행이 되었습니다.

11개국에 걸친 피해 기관

보고에 따르면 Panzer는 운영을 시작한 이후 11개국에 걸친 16개의 피해 기관을 공개했습니다. 짧은 기간에 이렇게 많은 국가에 걸쳐 나타난 범위는 이 그룹 또는 그 제휴사들이 단일 지역이나 산업 분야에 집중하지 않고 넓은 그물을 던지고 있음을 시사합니다. 이는 많은 RaaS 운영이 초기에 보이는 행동 방식과 일치합니다. 제휴사들은 좁은 전략적 초점을 추구하기보다는 찾을 수 있는 취약한 대상을 공격함으로써 플랫폼의 효율성을 빠르게 입증하고 더 많은 제휴사를 유치하려는 경향이 있습니다.

개별 피해자와 특정 표적 산업에 대한 세부 정보는 공개된 보고에서 완전히 공개되지 않았지만, 규모만으로도 주목할 만합니다. 초기 운영 기간에 12개국에 걸친 두 자릿수 피해자 수에 도달한 신규 그룹은 유출 사이트부터 암호화 툴킷에 이르는 랜섬웨어 인프라가 얼마나 짧은 준비 기간으로 구축되고 배포될 수 있는지를 반영합니다.

광범위한 RaaS 및 이중 갈취 트렌드와의 연관성

Panzer는 예외라기보다는 이미 확립된 트렌드의 최신 사례입니다. RaaS 플랫폼은 사이버 범죄자들의 진입 장벽을 낮추어 기술적으로 덜 정교한 행위자들도 다른 사람의 맬웨어와 인프라를 사용해 공격을 시작할 수 있게 했습니다. 연방 당국이 500개 이상의 조직을 침해한 후 경고를 발령한 Medusa나 두 달 만에 거의 60개 피해자와 관련된 데이터를 공개한 Royal 랜섬웨어와 같은 그룹은 제휴 네트워크가 탄력을 받으면 신규 또는 부활한 운영이 얼마나 빠르게 확대될 수 있는지 보여줍니다.

데이터 탈취는 또한 소수의 정교한 그룹에만 국한된 특별한 기능이 아니라 이러한 캠페인의 거의 보편적인 구성 요소가 되었습니다. Addi.com을 공격한 ShinyHunters에 기인한 공격은 수백만 건의 금융 기록을 노출시킨 것으로 알려졌는데, 이는 탈취된 데이터 자체가 복호화를 위한 몸값과는 별개로 범죄 그룹이 직접 현금화하는 상품이 되었음을 보여줍니다. Panzer의 암호화와 데이터 탈취의 결합은 새로운 기술을 대표하기보다는 이러한 패턴에 정확히 부합합니다.

실질적 방어: 백업, 네트워크 분리, 안전한 원격 접근

조직은 Panzer에 대한 상세한 기술 보고서를 기다릴 필요 없이 방어를 강화할 수 있습니다. 이중 갈취는 백업만으로는 가치가 무너지기 때문에 회복력을 위해서는 다층적 접근이 필요합니다. 오프라인 상태로 정기적으로 테스트되는 백업을 유지하는 것은 여전히 필수적이지만, 단일 장치나 계정이 전체 환경으로의 경로를 제공하지 못하도록 네트워크 분리와 함께 적용되어야 합니다. 측면 이동을 제한하면 공격자의 속도를 늦추고 방어자에게 탐지 및 대응할 시간을 더 많이 줍니다.

원격 접근 지점은 특히 주의가 필요합니다. 많은 랜섬웨어 침입은 노출된 원격 데스크톱 서비스, 취약한 VPN 구성 또는 패치되지 않은 엣지 장치에서 시작됩니다. 원격 접근 권한이 있는 사용자를 검토하고, 다중 인증을 시행하며, 인터넷에 노출된 시스템을 신속히 패치하는 것은 모두 제휴사가 스캔하는 공격 표면을 줄여줍니다. 47개국을 강타한 VMware vCenter 제로데이에서 강조된 것과 같은 패치되지 않은 인프라 취약점은 단일 패치 결함이 랜섬웨어를 넘어 광범위한 침해의 진입점이 될 수 있음을 보여줍니다.

이것이 당신에게 의미하는 바

대부분의 개인 독자에게 Panzer 랜섬웨어 공격이 직접적인 개인적 위협이 될 가능성은 낮지만, 공격 대상이 될 수 있는 조직에서 일하거나, 관리하거나, 계약 관계에 있다면 그 등장은 중요합니다. 고용주나 고객이 Panzer 랜섬웨어 공격을 통보받았다면 진지하게 받아들이십시오. 탈취된 데이터에는 직원 또는 고객 기록, 금융 정보, 추가 사기를 부추기는 자격 증명이 포함될 수 있습니다. 모든 규모의 기업은 공격자가 발판을 확보하면 암호화와 데이터 유출이 둘 다 발생할 수 있다고 가정해야 합니다. 하나만이 아니라 둘 다 말입니다.

핵심 요점

Panzer가 11개국에서 16명의 피해자로 빠르게 성장한 것은 새로운 랜섬웨어 운영이 RaaS 모델과 이중 갈취 전술을 채택하면 빠르게 확장될 수 있음을 상기시켜 줍니다. 조직은 원격 접근 통제를 감사하고, 네트워크 분리를 시행하며, 백업이 오프라인 상태이고 정기적으로 테스트되는지 확인해야 합니다. Panzer와 같은 그룹의 운영 방식과 Medusa와 같은 유사 그룹이 대규모 위협으로 얼마나 빠르게 성장했는지에 대한 최신 정보를 유지하는 것은 보안 팀이 조직이 유출 사이트의 다음 항목이 되기 전에 방어 우선순위를 정하는 데 도움이 됩니다.