몸값을 내도 문제가 끝나지 않는 이유

랜섬웨어가 회사 시스템을 마비시켰을 때, 돈을 내고 넘어가고 싶은 마음은 이해할 만하다. 보안 업체 Proofpoint가 953개 기업을 대상으로 실시한 새 설문조사에 따르면, 그런 본능이 역효과를 낼 수 있다. 조사 결과에 따르면, 랜섬웨어 요구에 돈을 지불한 조직은 오히려 더 매력적인 표적이 되는 경우가 많으며, 덜 위험해지는 것이 아니다. 범죄 조직은 피해자가 돈을 낼 의사가 있음을 확인하면, 같은 피해자에게 후속 공격을 가할 대상으로 표시해 둘 수 있다.

이는 중요한 문제인데, 랜섬웨어 지불의 논리는 항상 '돈을 주면 종결된다'는 단순한 거래에 기반해 왔기 때문이다. 경영진은 시스템이 복구되고, 도난당한 데이터가 삭제되며, 업무 중단이 제한되고, 고객을 보호할 것이라 믿으며 지불을 승인한다. Proofpoint의 연구는 이러한 거래가 대부분의 조직이 생각하는 것보다 훨씬 신뢰하기 어렵다는 점을 보여준다. 지불이 반드시 공격자와의 관계를 끝내는 것은 아니며, 어떤 경우에는 새로운 관계를 시작하게 된다.

두 번째 요구가 발생하는 비즈니스 논리

랜섬웨어 조직은 기업처럼 움직이고, 기업은 단골 고객을 찾는다. 이미 돈을 낼 의사를 보인 회사는 범죄자 입장에서 검증된 수익원이다. 그 회사는 운영 자본을 보유하고 있고, 지불을 신속히 승인할 의사가 있는 리더십 팀이 있으며, 처음에 공격이 성공하게 만든 취약점이 여전히 남아 있을 가능성이 크다.

마지막 지점이 결정적이다. 몸값을 지불하는 것은 당면한 위기를 해결해 주지만, 공격자가 침투할 수 있었던 근본적인 보안 허점을 거의 해결하지 못한다. 동일한 피싱 경로, 패치되지 않은 소프트웨어, 노출된 원격 접근 지점이 사건 후에도 그대로 남아 있다면, 같은 조직이나 해당 피해자 데이터에 대한 접근 권한을 구매한 제휴 조직이 다시 시도하는 것을 막을 수 있는 방법은 없다. 앞서 보도된 Proofpoint의 랜섬웨어 지불자 연구에서는 이러한 반복 사고가 얼마나 자주 발생하는지, 그리고 지불 행위 자체가 다른 범죄 조직에게 표적이 취약하다는 신호로 작용할 수 있는 이유를 더 깊이 다루고 있다.

갈취 위험, 시작 전에 줄이기

좋은 소식은 조직이 여기서 속수무책이 아니라는 점이다. 랜섬웨어 위험을 줄이는 조치는 대부분 보안 팀이 수년간 권장해 온 것과 동일하며, 이 데이터를 고려하면 더욱 시급해질 뿐이다.

오프라인으로 검증된 백업을 유지하는 것은 몸값을 내야 할지 말아야 할지 결정해야 하는 상황 자체를 피하는 가장 효과적인 단일 방법으로 남아 있다. 공격자의 복호화 키 없이도 시스템을 백업에서 복원할 수 있다면, 갈취의 전제 자체가 무너진다. 네트워크 분할도 중요하다. 공격자가 내부에 침투한 후 이동할 수 있는 범위를 제한하면 단일 침해의 피해 반경이 줄어들고, 이는 몸값 협상 시 협상력을 낮춘다.

지속적인 위협 모니터링과 엔드포인트 탐지는 침입이 전체 암호화 사태로 확대되기 전에 이를 포착하는 데 도움을 준다. 많은 랜섬웨어 공격은 초기 침투부터 최종 페이로드 실행까지 며칠 또는 몇 주에 걸쳐 진행되며, 이 기간이 개입할 수 있는 기회다. 암호화된 연결을 위한 VPN 사용, 사내 네트워크 외부에서 로그인하는 모든 사용자에 대한 다중 인증을 포함한 안전한 원격 접근 관행은 범죄자들이 악용하는 흔한 침입 경로 중 하나를 차단한다. 이러한 어떤 조치도 완전한 면역을 보장하지는 않지만, 함께 실행하면 기업이 몸값 요구서를 마주할 확률 자체를 낮춰 준다.

이것이 의미하는 바

조직이 랜섬웨어 공격을 당할 경우, Proofpoint의 조사 결과는 지불을 깔끔한 해결책으로 여겨서는 안 된다는 점을 시사한다. 지불을 승인하기 전에 근본적인 취약점이 식별되고 해결되었는지 자문해 볼 가치가 있다. 해결되지 않았다면, 지불은 단순히 공격자와의 지속적인 관계에서 첫 번째 할부금에 불과할 수 있기 때문이다.

또한 사후에 생각나는 대로가 아니라 조기에 법 집행 기관을 참여시켜야 할 때이기도 하다. 랜섬웨어 그룹을 추적하는 기관들은 때때로 복호화 도구, 특정 갱단의 행동에 대한 위협 정보, 혹은 해당 그룹이 반복 갈취 이력이 있는지에 대한 맥락을 제공할 수 있다. 지불 결정을 내리기 전에 외부 사고 대응 전문 지식을 투입하는 것이, 결정 이후가 아니라 그 이전에 하는 것이 조직에게 실제 선택지에 대한 더 명확한 그림을 제공한다.

전담 보안 팀이 없는 소규모 비즈니스의 경우, 셈법은 비슷하지만 자원은 더 부족하다. 따라서 예방이 훨씬 더 중요해진다. 정기적인 백업, 패치된 소프트웨어, 안전한 원격 접근 도구와 같은 기본 위생이 사후 결정보다 위험 감소에 더 큰 역할을 한다.

핵심 요점

Proofpoint의 이번 설문조사에서 얻은 핵심 교훈은 간단하다. 몸값 지불은 시간을 벌어줄 뿐, 반드시 안전을 보장하지는 않는다. 조직은 모든 랜섬웨어 사고를, 지불 여부와 관계없이 수정이 필요한 보안 허점의 증거로 다루어야 한다. 우선적으로 시행할 가치가 있는 실질적 조치로는 오프라인 백업 유지, 네트워크 분할, 초기 침입 징후 모니터링, 강력한 인증과 암호화된 연결을 통한 원격 접근 보안 등이 있다.

가장 중요한 것은, 어떤 지불 결정이든 진지한 교정 계획과 함께 이루어져야 하며, 그 계획을 대체해서는 안 된다는 점이다. 랜섬웨어 갱단은 사업을 운영하고 있으며, 데이터는 그들이 어떤 고객에게 두 번 청구할 가치가 있는지 정확히 알고 있다는 점을 시사한다.