오래된 갈취 전술의 새로운 변형

랜섬웨어 갱단은 오랫동안 두려움과 긴박감을 이용해 피해자에게 돈을 지불하도록 압박해 왔다. 이제 '랜섬 버스터즈'로 불리는 수법에 대한 보도에 따르면, 적어도 한 랜섬웨어 제휴 조직은 새로운 각도를 찾아냈다: 피해자의 복구를 돕기로 되어 있는 바로 그 사람들로 위장하는 것이다.

단순히 지불을 요구하고 공격 후 사라지는 대신, 이 행위자는 피해자에게 도움을 제안하며 접근하여 사고 복구 서비스인 것처럼 가장하는 것으로 알려졌다. 문제는 이 '도움'이 중립적이지 않다는 점이다. 이는 랜섬웨어 지불금을 합법적인 경로에서 벗어나 원래 침해를 일으킨 동일한 범죄 생태계의 주머니로 되돌려 보내도록 설계된 것으로 보인다.

이것은 전술에 있어 의미 있는 변화다. 전통적인 랜섬웨어 작전은 단순하고 잔인한 거래를 중심으로 구축된다: 데이터 암호화, 지불 요구, 복호화 키 제공(어쩌면). 그 과정에 가짜 복구 계층을 삽입함으로써, 공격자는 절박한 피해자를 두 번 속일 수 있다. 처음 침해 때 한 번, 그리고 그들이 빠져나갈 방법을 찾으려 할 때 다시 한 번.

피해자가 이 수법에 특히 취약한 이유

랜섬웨어에 걸린 조직은 종종 위기 모드로 운영된다. 시스템이 다운되고, 경영진은 압박을 받으며, 의사 결정자들은 운영을 복구할 믿을 만한 경로를 찾기 위해 분주하다. 그런 환경이 바로 가짜 '복구 서비스'가 효과를 발휘하는 이유다. 피해자들은 모든 도움 제안을 회의적인 시선으로 검증하지 않는다; 그들은 빠른 해결책을 찾고 있다.

이 전술은 또한 랜섬웨어 행위자들이 공격자와 도우미 사이의 경계를 흐리는 광범위한 추세를 활용한다. 이는 위협 행위자들이 신뢰받는 역할을 사칭하여 접근 권한이나 영향력을 얻은 최근의 다른 사례들을 반영한다. 예를 들어 사일런트 랜섬 그룹이 법률 사무소에서 IT 직원을 직접 사칭한 사건 은 내부에서 직원들을 조종하기 위한 것이었다. 사칭이 대면으로 이루어지든 가짜 복구 브랜드를 통해서든, 목표는 동일하다: 조직이 실제로 누구와 거래하고 있는지 검증할 여력이 가장 없는 바로 그 순간에 신뢰를 이용하는 것이다.

랜섬웨어 그룹은 또한 기회가 생기면 다양한 분야를 표적으로 삼을 의향이 있음을 보여주었다. 스페이스베어스가 프랑스 통신사 스텔라를 2026년 6월 공격한 사건 에서 볼 수 있듯이 말이다. '랜섬 버스터즈' 같은 전술은 초기 공격 이후에도, 협상이 시작되면 위험이 끝났다고 가정할 수 없음을 시사한다.

가짜 복구 서비스의 프라이버시 여파

여기서의 프라이버시 영향은 재정적 측면을 넘어선다. 피해자가 합법적인 복구 서비스라고 믿는 업체와 거래할 때, 그들은 네트워크, 데이터 노출, 내부 의사 결정 과정, 심지어 지불 의사에 대한 민감한 세부 정보를 공유할 수 있다. 그 '서비스'가 실제로 공격자에 의해 통제되거나 공격자와 제휴되어 있다면, 그 모든 정보는 침해의 책임이 있는 사람들에게 그대로 흘러간다.

이는 모든 단계에서 공격자에게 유리한 피드백 루프를 만든다: 그들은 돈을 받고, 피해자가 어떻게 대응하는지에 대한 정보를 얻으며, 심지어 합법적인 지원을 가장하여 두 번째로 돈을 갈취할 기회를 얻을 수도 있다. 이미 데이터가 유출된 조직에게 이런 수법은 문제를 해결하기보다는 노출을 확대시킨다.

이것이 당신에게 의미하는 바

조직이 랜섬웨어에 걸린 적이 있다면, 빠른 해결책을 찾으라는 압박이 극심할 수 있다. 하지만 이 수법은 위기 상황에서 모든 도움 제안이 진짜가 아니라는 점을 상기시킨다. 복구 업체, 협상가, 사이버보안 컨설턴트는 항상 독립적으로 검증해야 한다. 이상적으로는 추천, 확립된 평판, 또는 사이버 보험 제공업체를 통해서 말이다. 공격 직후 갑자기 나타난 연락처를 통해서가 아니라.

또한 기억할 점은, 합법적인 사고 대응 업체는 침해 직후에 원치 않는 제안을 가지고 갑자기 나타나지 않는다는 것이다. 랜섬웨어 협상이나 데이터 복구를 돕겠다는 예상치 못한 접촉은 어떤 정보나 돈이 오가기 전에 각별한 검증이 필요하다.

실행 가능한 핵심 사항

  • 사고 복구 또는 협상 서비스를 이용하기 전에 신뢰할 수 있는 독립적 경로를 통해 검증하라. 특히 그들이 먼저 연락한 경우라면 더욱 그렇다.
  • 법 집행 기관과 사이버 보험 제공업체를 조기에 참여시켜라; 그들은 합법적인 복구 파트너와 기회주의적 행위자를 구별하는 데 도움을 줄 수 있다.
  • 자격 증명이 확인되지 않은 어떤 당사자와도 침해, 시스템, 또는 지불 의도에 대한 상세한 정보를 공유하지 마라.
  • 침해 후 원치 않는 도움 제안은 원래 랜섬 노트에 적용했던 것과 동일한 회의적인 시각으로 대하라.

'랜섬 버스터즈' 같은 수법은 랜섬웨어 갈취가 랜섬 노트가 나타날 때 항상 끝나는 것은 아님을 보여준다. 공격 이후 누구를 신뢰할지에 대해 신중을 기하는 것은 초기 침해를 방어하는 것만큼 중요하다.