랜섬 버스터즈(Ransom Busters)라는 이름의 단체가 이미 끔찍한 한 주를 보낸 대상, 즉 랜섬웨어 피해자들을 겨냥하고 있다. 이 단체의 활동에 대한 보도에 따르면, 랜섬 버스터즈는 랜섬웨어 운영자들의 서버에 침투했다고 주장하며 피해자들에게 다음과 같은 제안을 하고 있다: 2만 달러에서 6만 달러를 지불하면 암호화된 파일 복구와 유출된 데이터 삭제를 도와주겠다는 것이다. 이는 생명줄처럼 들린다. 하지만 실제로는 구조로 위장한 두 번째 갈취 시도일 가능성이 높다.
이 이야기가 중요한 이유는 랜섬웨어 생태계에서 점점 커지는 문제를 드러내기 때문이다: 조직이 한 번 공격을 받으면, 그 혼란과 공포, 그리고 침해 후 닥치는 긴박함을 악용하는 기회주의적 행위자들의 표적이 된다. 이 가짜 랜섬웨어 복구 사기가 어떻게 작동하는지, 그리고 진짜 도움과 사기를 구별하는 방법을 이해하는 것은 공격의 반대편에 서게 된 모든 조직에 필수적이다.
랜섬 버스터즈가 제공한다고 주장하는 것
보도에 따르면, 랜섬 버스터즈는 랜섬웨어 갱단이 사용하는 인프라를 침해한 외부 당사자임을 자처한다. 그 제안은 단순하다: 이 단체는 복호화 기능이나 유출된 파일을 되찾을 수 있으며, 원래 공격 중에 탈취된 데이터가 유출되지 않고 삭제되도록 보장할 수 있다고 말한다. 그 대가로 피해자들은 2만 달러에서 6만 달러에 이르는 수수료를 지불해야 하는데, 이는 이미 운영 손실, 가동 중단, 또는 초기 랜섬웨어 요구로 인해 고전하고 있을 수 있는 조직에게는 상당한 금액이다.
겉으로 보기에 이 구성은 윤리적 해킹과 사이버보안 연구의 언어에서 신뢰성을 차용한다. 실제로 범죄 인프라에 침투하는 그룹은 존재하며, 법 집행 기관이 유사한 수단을 통해 복호화 키를 회수한 사례도 가끔 있다. 그러나 랜섬 버스터즈의 주장을 뒷받침하는 독립적 검증은 없으며, 전체 모델은 이미 한 번 화상을 입은 피해자들이 익명의 제3자에게 돈을 신뢰하고 맡기는 것에 의존한다.
이중 갈취 사기가 작동하는 방식
여기서의 메커니즘은 단순하고 우울할 정도로 효과적이다. 랜섬웨어 피해자들은 이미 압박을 받고 있다: 시스템이 다운되고, 고객이나 규제 기관이 질문을 던질 수 있으며, 원래 공격자들은 카운트다운 시계를 밀어붙인다. 그 혼란 속으로 지름길을 제공하는 그룹이 나타난다 — 랜섬웨어 요구액이나 장기간 가동 중단 비용에 비해 적어 보일 수 있는 수수료로 문제를 해결해 주겠다는 것이다.
이는 기능적으로 첫 번째 갈취 위에 겹쳐진 두 번째 갈취다. 랜섬 버스터즈가 실제로 랜섬웨어 인프라에 대한 접근 권한을 갖고 있든 없든, 인센티브 구조는 원래 공격과 동일하다: 검증되지 않은 당사자에게 약속을 대가로 돈을 지불하는 것이다. 피해자들은 파일이 실제로 복구될지, 유출된 데이터가 실제로 삭제될지, 또는 나중에 세 번째로 갈취당하지 않을지 확인할 방법이 전혀 없다. 이러한 패턴은 다른 갈취 기반 사건에서 볼 수 있는 전술을 반영하며, ShinyHunters와 같은 그룹이 피해자들을 압박하기 위해 공개 유출 마감일을 설정한 사례를 포함한다 — 인터컨 시큐리티 이메일에 영향을 미친 ShinyHunters 침해 및 유출 마감일과 관련된 Kodak 데이터 주장에서 볼 수 있다.
합법적인 복구 서비스와 사기 구별하기
가짜 복구 제안의 증가는 사고를 처리하는 모든 조직에게 검증이 핵심 기술이 되게 만들었다. 몇 가지 실용적인 확인 절차가 합법적인 도움과 사기를 구분할 수 있다. 합법적인 침해 대응 기업과 법 집행 기관 연락처는 기존 채널, 전문 자격증, 이전 사례 참고 자료, 공식 계약을 통해 확인할 수 있다. 그들은 일반적으로 고정된 가격표와 공격자 서버에 직접 침투했다는 주장을 가지고 원치 않는 연락을 먼저 하지 않는다.
조직은 또한 랜섬웨어 사고 이후 오는 원치 않는 연락(복구 서비스, 기자, 또는 정보 공유를 제안하는 동료 피해자라고 주장하는 경우 포함)에 대해 회의적이어야 한다. 공격자와 기회주의자 모두 침해를 당한 기업이 정신이 없고 불안하다는 것을 알고 있으며, 이는 추가 조작에 취약한 표적이 된다. 검증된 침해 대응 제공업체를 참여시키고 법 집행 기관에 연락하는 것이, 암호화된 채팅이나 다크 웹 포럼에서 대담한 주장을 하는 익명 그룹과 교섭하는 것보다 훨씬 안전한 길이다.
어떤 랜섬웨어 지불보다 백업이 우선인 이유
원래 랜섬웨어 요구와 랜섬 버스터즈 같은 후속 사기 모두에 대한 가장 지속적인 방어책은 단순하다: 신뢰할 수 있고 테스트된 백업이다. 깨끗하고 오프라인인 백업에서 파일을 복원할 수 있다면 원래 공격자와 협상하거나 유료 복구를 제공하는 제3자를 고려할 이유가 없다. 이는 협상력을 완전히 제거한다.
더 넓은 업계는 이미 이 방향으로 움직이고 있다. 랜섬웨어 지불이 업계 전반에 걸쳐 감소하고 있다는 보도에서 자세히 다루듯, 점점 더 많은 조직이 갈취 요구에 응하지 않고 있다 — 부분적으로는 개선된 백업 관행 덕분이고, 부분적으로는 지불이 결과를 보장하지 않는다는 인식이 커졌기 때문이다. 24시간 이내에 네트워크를 암호화할 수 있는 Spirals 랜섬웨어 변종과 같은 빠르게 진화하는 위협은 또한 사후 협상(진짜든 가짜든)보다 예방과 신속한 탐지가 더 중요한 이유를 강조한다.
이것이 당신에게 의미하는 바
조직이 언젠가 랜섬웨어에 공격받는다면, 랜섬 버스터즈 같은 그룹을 포함한 원치 않는 복구 제안을 원래 공격자에게 적용하는 것과 동일한 의심으로 대우하라. 해킹된 서버라는 주장에 근거해 검증되지 않은 당사자에게 수천 달러를 지불하는 것은 집행 가능한 보장이 없는 도박이다. 더 안전하고 신뢰할 수 있는 길은 오프라인 백업을 유지하고, 검증된 침해 대응 전문가를 참여시키며, 어둠 속에서 협상하는 대신 법 집행 기관에 사고를 신고하는 것이다.
핵심 요점
- 독립적으로 검증되기 전까지는 원치 않는 랜섬웨어 복구 제안을 잠재적 사기로 취급하라.
- 문서화된 증거와 공식 계약 조건 없이 서버 접근 권한을 주장하는 제3자에게 결코 돈을 보내지 마라.
- 테스트된 오프라인 백업을 유지하여 랜섬웨어 요구(진짜든 가짜든)가 협상력을 완전히 상실하게 하라.
- 랜섬웨어 사고를 법 집행 기관에 신고하고 익명 그룹이 아닌 기존 침해 대응 기업과 협력하라.
- 업계 동향을 주시하라: 랜섬웨어 지불이 전반적으로 감소함에 따라 공격자와 기회주의자들은 가짜 복구 제안 같은 수법으로 적응하고 있으므로, 동일한 압박 전술의 새로운 변형에 경계를 유지하라.
