Proofpoint의 인도 랜섬웨어 데이터가 실제로 보여주는 것
보안 기업 Proofpoint의 새 보고서는 랜섬웨어에 대처하는 인도 조직들에게 우려스러운 그림을 그리고 있다. 데이터에 따르면, 피해를 입은 인도 기업의 62%가 가장 최근 공격으로 인한 전반적인 영향이 더 컸다고 보고했으며, 이는 인식과 방어 투자가 늘어나고 있음에도 불구하고 이러한 사고가 덜 피해를 주기는커녕 오히려 더 큰 피해를 주고 있다는 신호다. 아마도 가장 주목할 점은 인도 랜섬웨어에서 데이터 도난을 통한 갈취가 예외가 아닌 표준이 되었다는 확인이다. Proofpoint가 조사한 사고의 71%에서 데이터 도난이 확인되었다.
이 통계는 많은 조직이 여전히 랜섬웨어 문제라고 생각하는 것의 틀을 다시 짠다. 더 이상 단순히 암호화된 파일과 몸값 요구 메모의 문제가 아니다. 조사된 대다수의 사례에서 공격자는 시스템을 잠그기 전에 이미 민감한 데이터를 빼돌렸으며, 피해자의 백업이 복호화 키에 대한 비용을 지불하지 않을 만큼 견고하더라도 두 번째 협상 지렛대를 확보한 상태다.
몸값을 지불해도 반복적인 갈취가 멈추지 않는 이유
사법 기관과 보안 전문가들이 랜섬웨어 요구에 응하지 말라는 광범위한 지침을 내놓고 있음에도 불구하고, 피해를 입은 인도 조직의 64%는 어쨌든 몸값을 지불했다. 그 본능은 이해할 만하다. 지불이 정상 운영으로 돌아가는 가장 빠른 길처럼 느껴지기 때문이다. 그러나 Proofpoint의 조사 결과는 그 본능이 점점 더 잘못되었다는 점을 시사한다. 지불한 조직의 거의 절반인 48%가 이후 추가 갈취 요구에 직면했다.
이 패턴은 인도에만 국한된 것이 아니다. 이는 Proofpoint가 전 세계적으로 기록한 것과 일치하며, 랜섬웨어 몸값 지불자는 종종 다시 공격받는다는 점과 지불 행위는 해결책이라기보다 공격자에게 피해자가 협상할 의사가 있다는 신호로 작용한다. 별도의 Proofpoint 연구에 따르면 랜섬웨어 몸값 지불자의 22%가 반복 갈취를 겪으며, 다른 데이터는 대략 랜섬웨어 몸값을 지불한 기업의 3분의 1이 다시 공격받는 것을 가리킨다. 인도의 48% 반복 갈취 수치는 그 범위의 상위권에 속하며, 이는 인도 조직들이 동일한 글로벌 추세의 더 심각한 버전에 직면하고 있을 수 있음을 시사한다.
71% 데이터 도난 발생률: 공격자가 암호화 전에 가져가는 것
반복 갈취가 공격자에게 아주 효과적인 이유는 간단하다. 데이터가 일단 도난되면 암호화는 거의 문제가 되지 않는다. 이미 71%의 사고에서 데이터 도난이 확인된 상황이라면 복호화 키에 돈을 지불해도 공격자의 인프라에 존재하는 민감한 파일 사본 문제는 해결되지 않는다. 해당 데이터는 판매, 유출될 수 있으며, 두 번째 또는 세 번째 추가 요구를 위한 새로운 지렛대로 사용될 수 있다. 이는 한 번 지불한 많은 조직이 다시 지불하거나 첫 번째 합의 이후에도 새로운 위협에 직면한 이유를 설명해준다.
이것이 현대의 랜섬웨어를 과거의 파일 잠금 공격과 분리하는 핵심 변화다. 암호화는 단기적으로 운영을 방해하지만, 데이터 도난은 한 번의 지불로는 해결할 수 없는 장기적인 부담을 만들어낸다. 고객 기록, 재무 정보 또는 특허 사업 데이터를 취급하는 조직에서는 시스템이 다시 온라인으로 돌아와도 노출은 끝나지 않는다.
노출 줄이기: 네트워크 세분화, 백업 그리고 접근 통제
이러한 변화에 대한 실질적인 대응은 단순히 지불 여부를 결정하는 것을 넘어서야 한다. 몇 가지 구체적인 조치가 그 어느 때보다 중요하다.
- 네트워크 세분화는 공격자가 내부에 침투한 이후 이동할 수 있는 범위를 제한하여 하나의 침해된 계정이 조직 전체로 데이터가 노출될 가능성을 줄인다.
- 오프라인 상태에서 검증된 백업은 암호화로부터 복구하는 데 필수적이지만, 데이터 도난에는 대처하지 못하므로 비정상적인 외부 데이터 전송에 대한 모니터링과 함께 실행되어야 한다.
- 엄격한 접근 통제와 최소 권한 원칙은 단일 침해된 자격 증명으로 접근할 수 있는 민감 데이터의 양을 줄인다.
- 사고 대응 계획은 단순히 시스템이 잠길 가능성뿐만 아니라 이미 데이터가 복제되었을 것이라고 가정하고, 데이터 노출이 확인될 경우 고객과 규제 기관을 위한 커뮤니케이션 계획을 포함해야 한다.
이러한 원칙을 중심으로 방어 체계를 구축하는 조직은 예방만으로는 항상 성공할 수 없으며, 침해의 피해 범위를 제한하는 것이 애초에 공격자의 침입을 막는 것만큼 중요하다는 전제하에 움직인다.
이것이 시사하는 바
조직이 인도에서 운영되거나 인도 고객 또는 파트너와 관련된 데이터를 취급한다면, 이 보고서는 사고 대응 계획을 재검토하라는 신호다. 다음과 같은 구체적인 질문을 염두에 두어야 한다. 파일이 암호화된 이후뿐 아니라 데이터가 이미 도난당한 사실을 발견한 후에는 어떻게 대처할 것인가? 랜섬웨어를 순전히 가용성 문제로 간주해 백업과 지불 가능성으로 해결하려는 접근 방식은 더 이상 이러한 공격이 실제로 전개되는 방식과 맞지 않는다. Proofpoint의 데이터에 설명된 인도 랜섬웨어 데이터 도난 갈취 패턴은 암호화 순간이 더 긴 캠페인의 한 단계에 불과한 경우가 많다는 점을 보여준다.
핵심 요점
- 모든 랜섬웨어 사고에서 데이터 도난이 발생했다고 가정하라. 그 가정에 따라 행동하기 위해 확증을 기다리지 말라.
- 몸값 지불을 반복 갈취의 실질적인 위험을 수반하는 비즈니스 결정으로 간주하고 보장된 해결책으로 여기지 말라. 이는 다른 Proofpoint의 반복 갈취 연구가 다양한 시장에서 기록한 패턴과 일치한다.
- 공격자의 침투 경로와 상관없이 피해를 제한할 수 있으므로 지금 네트워크 세분화와 접근 통제에 투자하라.
- 랜섬웨어 복구 계획과 함께 데이터 유출 커뮤니케이션 계획을 수립하라. 둘은 점점 더 동일한 사건이 되고 있다.
랜섬웨어 지불에 관한 광범위한 업계 데이터가 계속 보여주듯, 인도의 경험은 예외가 아니다. 이는 다단계 갈취로의 글로벌 전환이 지역적으로 반영된 것이며, 지금 이에 대비하는 조직은 여전히 한 번의 지불로 문제가 사라지길 바라는 조직보다 훨씬 유리한 위치에 있을 것이다.
