Proofpoint: 몸값 지불 기업 22%, 반복적인 갈취에 직면

기업들, 여전히 몸값을 지불하고 있다는 새로운 데이터가 보여주다

수년간 조직에 랜섬웨어 요구를 거부하라는 지침이 이어져 왔음에도 불구하고, 많은 기업이 여전히 사이버 범죄자에게 거금을 건네고 있다. 보안 기업 프루프포인트의 새로운 연구에 따르면, 몸값을 지불한 기업의 약 4분의 1(22%)이 두 번째 갈취 요구에 다시 직면했으며, 이는 지불 행위가 실제로 문제를 해결하는지에 대한 심각한 의문을 제기하는 수치다.

이 연구 결과는 당국이 공격자들에 맞서 기업들이 버티도록 그 어느 때보다 강력히 압박하는 시점에 나왔다. 영국 국가사이버보안센터(NCSC)는 몸값 지불이 추가 공격을 조장하고 훔치거나 암호화된 데이터가 실제로 반환된다는 보장이 없다고 경고하며 오랫동안 지불을 하지 말라고 권고해왔다. 하지만 프루프포인트의 연구 결과는 공식적인 조언과 실제 비즈니스 결정이 종종 매우 다르다는 점을 시사한다.

그럼에도 기업이 지불하는 이유

랜섬웨어 공격은 기업을 부러운 상황에 처하게 한다. 시스템이 잠기거나 민감한 데이터의 공개 유출 위협을 받을 때, 경영진은 종종 평판 손상, 규제 노출, 운영 중단 시간과 몸값 지불 비용을 저울질해야 한다. 많은 조직에게 있어 보안 전문가들이 그렇게 깔끔하게 해결되는 경우는 드물다고 경고함에도 불구하고, 지불이 정상으로 돌아가는 가장 빠른 길처럼 느껴질 수 있다.

랜섬웨어 사업 자체가 얼마나 전문화되었는지를 고려하면 이 같은 셈법은 더욱 복잡해진다. 협상은 하나의 틈새 산업이 되어, 공격자들과 소통하고 요구액을 낮추려고 시도하기 위해 특별히 고용되는 회사들이 생겨났다. 그러나 이 업계에 논란이 없었던 것은 아니다. 주목할 만한 한 사건에서, 전문 협상가가 블랙캣 랜섬웨어 거래에 관여한 역할로 징역 70개월을 선고받았는데, 이는 이러한 지불을 중개하는 사람들이 항상 회사의 최선의 이익을 위해 움직이지는 않는다는 냉엄한 경고다. 법원 기록에 마르티노라고 기재된 동일한 협상가와 관련된 또 다른 사건은 일단 중개인이 개입되면 몸값 지불 생태계가 얼마나 불투명하고 법적 위험을 수반할 수 있는지 더욱 강조한다.

지불 행위가 초래하는 프라이버시 비용

22%의 반복 갈취 통계가 중요한 이유는 이 수치가 대부분의 기업이 지불을 정당화할 때 내세우는 핵심 근거, 즉 문제를 없애준다는 논리를 정면으로 반박하기 때문이다. 피해자의 약 4분의 1이 지불 후 다시 표적이 된다면, 그 지불은 안전을 사는 것이 아니다. 단지 공격자들에게 해당 조직이 기꺼이 지불할 의사와 능력이 있음을 확인시켜 주어 향후 공격의 더 매력적인 표적으로 만드는 것일 수 있다.

이러한 논의에서 종종 간과되는 프라이버시 측면도 있다. 랜섬웨어 공격은 암호화가 발생하기 훨씬 전에 민감 데이터, 고객 기록, 직원 정보, 금융 정보 등의 탈취를 수반하는 경우가 빈번하다. 몸값을 지불한다고 해서 해당 유출이 없어지지는 않는다. 공격자들은 이미 데이터를 복사했을 수 있으며, 지불은 그 데이터가 나중에 판매되거나 유출되지 않고 삭제될 것이라는 검증 가능한 보장을 제공하지 못한다. 침해된 회사 시스템 안에 자신의 데이터가 들어 있는 개인들에게 있어, 비공개로 진행되는 몸값 협상은 그들의 정보가 비공개로 유지되는지 여부에 거의 영향을 미치지 못한다.

이것이 당신에게 의미하는 바

소비자라면, 이 데이터는 몸값을 지불하기로 한 회사의 결정이 반드시 개인 정보를 보호해주지는 않는다는 사실을 상기시켜 준다. 영향받은 회사가 공격자와 상황을 해결했다고 말하든 말든, 랜섬웨어 사고에 따른 침해 통지 및 신용 모니터링 제안을 진지하게 받아들일 가치가 있다.

IT, 보안 또는 경영 리더십 분야에서 일하고 있다면, 프루프포인트의 연구 결과는 사고 대응 계획에 직접 반영되어야 한다. 지불은 결코 빠른 해결책으로 취급되어서는 안 된다. 한 번 지불한 조직이 계속해서 매력적인 표적으로 남는 것으로 보이며, 이는 복구 계획에 단순한 자금 이체와 안도의 한숨이 아니라 더욱 강력한 사후 보안 강화 조치가 포함되어야 함을 의미한다.