새로운 랜섬웨어 지불 데이터가 보여주는 것

보안 업체 Proofpoint가 수요일 발표한 새 보고서는 문제를 없애기 위해 랜섬웨어 갱단에 돈을 지불하는 것을 고려해 본 적이 있는 사람이라면 누구에게나 불편한 사실을 확인시켜 줍니다. 몸값을 지불한 피해자 중 상당수가 결국 두 번째 갈취 요구에 직면한다는 것입니다. 이 보고서는 보안 연구원과 사고 대응가들이 수년간 주장해 온 바, 즉 랜섬웨어 협상은 선의로 진행되지 않으며 지불이 공격자가 실제로 떠날 것을 보장하지 않는다는 점을 강화합니다.

Proofpoint의 데이터는 방어자들이 오랫동안 일화적으로 의심해 온 패턴에 구체적인 수치를 더해줍니다. 몸값 요구에 응하는 조직은 종결을 사는 것이 아닙니다. 그들은 흔히 동일한 공격자, 혹은 완전히 다른 그룹에게 다시 돌아와 더 요구할 수 있는 두 번째 협상 카드를 사는 셈입니다.

몸값 지불이 두 번째 공격을 불러오는 이유

반복적인 갈취의 논리는 공격자의 관점에서 생각해 보면 간단합니다. 랜섬웨어 그룹의 전체 비즈니스 모델은 피해자가 지불을 통해 위기가 종식된다고 믿는 데 달려 있습니다. 그러나 법적 계약도 없고, 강제 메커니즘도 없으며, 돈이 이동한 후에는 공격자의 약속을 보장할 만큼 강력한 평판 위험도 존재하지 않습니다. 이미 지불 의사와 능력을 입증한 피해자는 해결된 계정이 아니라 더 매력적인 표적이 됩니다.

이것이 보안 연구원들이 랜섬웨어 협상을 정상적인 비즈니스 거래와 근본적으로 다르다고 설명하는 이유의 일부입니다. 상대방이 실제로 떠날 동기가 전혀 없습니다. 한 번 성공적으로 지불을 갈취한 범죄 조직은 동일한 조직이 다시 지불할지 시험해 볼 충분한 이유가 있습니다. 시스템을 다시 암호화하거나, 이전에 훔친 데이터를 다시 유출하겠다고 위협하거나, 단순히 최초 침해와 관련된 새로운 요구를 개시하는 방법 등을 통해 말이죠.

이러한 역학은 업계에서 이중 갈취 또는 다중 갈취라고 부르는 것과 밀접하게 관련되어 있습니다. 공격자는 단순히 파일을 암호화하는 것뿐 아니라 사전에 데이터를 훔쳐, 몸값을 지불한 후에도 피해자를 압박할 여러 압력 지점을 확보하는 것입니다. Proofpoint의 조사 결과는 초기 압박 작전이 성공한 후에도 그 우물이 반드시 마르는 것은 아니라는 점을 시사합니다.

탐지되지 않은 침해가 재갈취를 더 쉽게 만드는 방법

공격자에게 반복 갈취가 잘 먹히는 한 가지 이유는 많은 피해자가 지불을 결정할 때까지 침해 범위를 완전히 이해하지 못하기 때문입니다. 조직이 암호화된 파일을 발견하고, 어떤 데이터가 접근되었고, 복사되었거나, 백도어로 남겨졌는지 정확히 식별하지 않은 채 몸값 협상을 벌인다면, 실질적으로 무엇을 되사는지도 모른 채 가격에 동의한 셈입니다.

이러한 탐지와 대응 사이의 간극은 랜섬웨어 연구에서 반복되는 주제입니다. 랜섬웨어 탐지 실패에 관한 관련 보고서에서 다룬 것처럼, 전체 랜섬웨어 피해자의 거의 절반이 공격이 진행 중임을 알아차리기도 전에 데이터를 잃습니다. 여기서 그 지연이 엄청나게 중요합니다. 피해자가 공격자가 랜섬웨어를 배포하기 몇 주 전에 데이터를 빼돌렸다는 사실을 모른다면, 파일 잠금 해제 비용을 지불하는 것은 범죄자 서버에 있는 도난 정보를 해결하지 못하며, 이는 두 번째 요구를 통해 다시 금전화되거나, 별도로 판매되거나, 나중에 새로운 유출 위협에 사용될 수 있습니다.

방어 단계: 백업, 모니터링, 그리고 사고 대응 계획

Proofpoint 보고서의 실질적인 교훈은 어떤 상황에서도 절대 몸값을 지불해서는 안 된다는 것이 아닙니다. 지불을 확실한 해결책으로 간주해서는 안 된다는 것입니다. 조직이나 소규모 네트워크 또는 비즈니스를 관리하는 개인은 협상이라는 하류에 투자하기보다 예방과 탐지라는 상류에 투자하는 편이 더 나은 결과를 얻을 수 있습니다.

이는 암호화된 파일을 누구에게도 돈을 내지 않고 복구할 수 있도록 정기적으로 테스트된 오프라인 백업을 유지하는 것을 의미합니다. 공격자가 대량의 민감 정보를 빼낼 시간을 갖기 전에 무단 데이터 접근을 잡아낼 수 있는 모니터링 도구에 투자하는 것을 의미합니다. 그리고 공격이 발생하기 전에 사고 대응 계획을 마련해 두는 것, 즉 파일이 암호화되었는지 여부뿐만 아니라 정확히 무엇이 접근되었는지 밝히기 위한 포렌식 조사를 포함한 계획을 의미합니다.

이것이 당신에게 의미하는 바

소규모 사업주와 개인에게 이 연구가 전하는 메시지는 분명합니다. 몸값 지불이 그 순간에는 빠르고 깔끔한 해결책처럼 보일지라도 그렇게 가정하지 말라는 것입니다. 이미 한 번 당신을 갈취할 의사가 있음을 입증한 공격자는 다시 그럴 수단과 동기를 모두 갖추고 있습니다. 랜섬웨어 반복 갈취 공격에 대한 진정한 방어는 더 나은 협상 전략이 아니라, 강력한 백업, 더 빠른 탐지, 명확한 대응 계획을 통해 애초에 당신이 그런 상황에 처할 확률을 줄이는 것입니다.

실천 가능한 교훈

  • Proofpoint의 데이터가 공격자들이 새로운 요구를 가지고 자주 돌아온다는 것을 보여주므로, 몸값 지불은 확실한 해결책이 아닌 최후의 수단으로 취급하세요.
  • 암호화만으로는 지불 결정을 강요할 수 없도록 오프라인에서 테스트된 백업을 우선시하세요.
  • 탐지 지연이 공격자에게 반복 갈취의 협상력을 더 제공하므로, 데이터 유출을 조기에 잡아내는 탐지 도구에 투자하세요.
  • 공격이 발생하기 전에 사고 대응 계획을 수립하고, 포렌식 단계를 포함하여 침해의 전체 범위를 파악하세요.
  • 공격자가 무엇을 약속하든, 몸값 지불 전에 도난당한 모든 데이터는 향후 위험으로 남는다고 가정하세요.