이제 관리자가 랜섬웨어의 선호 진입 지점이다
단일 랜섬웨어 캠페인에 대한 새로운 분석 결과, 표적이 된 사람들의 거의 3분의 2가 관리자급 이상 직책을 맡고 있는 것으로 나타났습니다. ZDNET이 보도한 이 통계는 랜섬웨어 운영자들이 피해자를 선택하는 방식에 있어 주목할 만한 변화를 보여줍니다. 공격자들은 이제 전체 직원을 대상으로 무차별 공격을 퍼붓기보다, 상승된 접근 권한이나 의사 결정 권한, 혹은 둘 다를 가진 사람들을 의도적으로 골라내는 것으로 보입니다.
이것은 보안 팀에게 단순한 호기심 거리가 아닙니다. 직원들의 프라이버시, 이들 관리자가 통제하는 데이터의 민감도, 그리고 실제로 누구를 가장 시급하게 교육하고 보호해야 하는지에 대한 조직의 사고 방식에 실질적인 영향을 미칩니다.
왜 관리자가 주요 표적이 되었는가
관리자가 일반적으로 무엇에 접근할 수 있는지 고려하면 이러한 변화의 논리는 간단합니다. 관리자는 종종 여러 시스템에 걸쳐 운영 데이터, HR 기록, 재무 승인, 관리 권한이 교차하는 지점에 위치합니다. 하나의 계정을 탈취하면 최전선 직원의 계정을 탈취하는 것보다 공격자가 훨씬 더 넓은 발판을 확보할 수 있습니다.
이는 보안 연구원들이 이미 다른 곳에서 경고한 패턴을 그대로 반영합니다. 랜섬웨어 갱단이 이제 CEO 대신 IT 관리자를 노린다는 관련 보고서에서 다뤘듯, 공격자들은 조직도 최상위층을 노려야 가장 큰 보상을 얻을 수 있다는 가정에서 벗어났습니다. 대신 중간 관리자, 특히 IT, 운영, 재무 부서의 관리자들은 일반적으로 C레벨 임원에게만 주어지는 수준의 감시나 보안 자원 없이도 핵심 시스템에 대한 실질적인 열쇠를 쥐고 있는 경우가 많습니다.
관리자들은 또한 의사소통의 중심에 있기 때문에 매력적입니다. 이들은 부하 직원과 고위 경영진 모두로부터 많은 이메일을 받기 때문에 양방향을 사칭하는 피싱 시도를 그럴듯하게 만듭니다. 직속 부하 직원이 승인을 요청하는 것처럼 보이거나, 경영진이 긴급한 조치를 요청하는 것처럼 보이는 메시지는 바로 관리자의 일상을 악용하는 사회공학 수법입니다.
아무도 이야기하지 않는 프라이버시 함의
랜섬웨어 보도에서 흔히 간과되는 것은 이러한 공격과 연결된 개인 프라이버시 노출입니다. 관리자는 종종 성과 평가, 급여 데이터, 징계 기록, 때로는 일대일 대화 중 공유된 건강 또는 가족 관련 세부 정보 등 민감한 직원 정보에 접근할 수 있습니다. 관리자의 계정이나 기기가 탈취되면 회사 지식 재산이나 재무 기록뿐만 아니라 팀원들의 개인 데이터도 함께 노출됩니다.
이는 파급 효과를 낳습니다. 한 명의 관리자를 표적으로 시작된 랜섬웨어 사고는 조용히, 악성 링크를 클릭한 적 없는 수십 명의 직원에게 영향을 미치는 데이터 프라이버시 사고로 변질될 수 있습니다. 랜섬웨어 방어를 고려하는 조직은 위반 경로와 관계없이 직원 정보를 보호할 책임을 묻는 데이터 보호 규정 하에서 이러한 2차적 노출 계층을 반드시 고려해야 합니다.
위험을 줄이기 위한 여섯 가지 실용적 조치
이 캠페인의 배후 패턴을 바탕으로, 일반적인 조언이 아닌 진정으로 유용한 몇 가지 구체적인 조치가 두드러집니다:
- 관리 계정에 최소 권한 원칙을 적용하세요. 관리자는 직책에서 물려받은 무제한 접근이 아닌, 실제로 자신의 역할에 필요한 시스템과 데이터에만 접근할 수 있어야 합니다.
- 관리 작업에는 별도의 자격 증명을 사용하세요. 관리자가 가끔 상승된 접근이 필요하다면, 그 접근은 일상적인 이메일 계정이 아닌 별도의 로그인을 요구해야 합니다.
- 관리자 계층을 위한 피싱 시뮬레이션 교육을 우선시하세요. 전 직원 대상 일반 교육도 유용하지만, 관리자는 더 표적화되고 설득력 있는 미끼에 직면하므로 교육 내용이 이를 반영해야 합니다.
- 편의성을 이유로 한 예외 없이 모든 곳에 다중 인증을 시행하세요. 관리자를 노리는 공격자는 더 빠른 승인과 마찰 감소를 기대합니다. MFA는 그 격차를 해소합니다.
- 하나의 탈취된 계정이 모든 것에 도달할 수 없도록 네트워크를 분할하세요. 측면 이동을 제한하면 도난당한 자격 증명 하나가 입힐 수 있는 피해가 줄어듭니다.
- 중요 데이터에 대해 테스트된 오프라인 백업을 유지하세요. 공격이 성공하더라도 탄탄한 복구 계획은 협상 시 랜섬웨어 운영자가 갖는 지렛대를 약화시킵니다.
이것이 당신에게 의미하는 바
만약 당신이 관리자라면, 이 보고서는 당신의 받은 편지함과 계정이 기존에 생각했던 것보다 더 큰 위험을 지니고 있다는 직접적인 신호입니다. IT 또는 보안 팀에 현재 접근 권한이 실제로 일상적으로 사용하는 것과 일치하는지, 그리고 관리자가 특별히 직면하는 표적 피싱 시도 유형에 맞는 교육을 받고 있는지 물어볼 가치가 있습니다.
보안 정책을 총괄하는 사람이라면, 누가 가장 집중적으로 교육을 받아야 하고 조직의 관리 계층 전체에 계정 권한이 어떻게 분배되어 있는지 재검토해야 할 이유입니다. 데이터는 랜섬웨어가 관리자를 무작위로 표적으로 삼는 것이 아니라, 그들의 역할이 접근을 허용하는 자산 때문에 표적으로 삼는다는 것을 시사합니다.
결론
이제 랜섬웨어가 관리자를 그토록 불균형적으로 표적으로 삼는다는 사실은 조직이 보안 교육과 접근 통제의 우선순위를 어떻게 정할지 다시 생각하게 만들어야 합니다. 이는 모든 관리자가 약한 고리라고 가정하는 것이 아니라, 조직도상의 그들의 위치가 의도나 인식과 무관하게 그들을 고가치 목표물로 만든다는 것을 인식하는 것입니다. 접근 권한을 검토하고, 인증 요구 사항을 강화하고, 역할별 맞춤 교육을 제공하는 것은 지금 당장 어떤 조직이든 사건이 문제를 강제할 때까지 기다리지 않고 실행할 수 있는 실질적인 조치입니다.
