지난해 랜섬웨어 관련 헤드라인이 잦아들어 보안 팀이 조금이나마 안심했다면, 새로운 연구에 따르면 그 안도는 시기상조일 수 있습니다. ZDNET의 보도에 따르면, 겉으로 드러난 랜섬웨어 활동 감소는 사이버 범죄자들의 퇴각이 전혀 아니었습니다. 이는 공격자들이 물러난 것이 아니라 표적, 수법, 수익화 전략을 바꾸는 재편이었습니다. 지난해의 위협 상황에 맞춰 랜섬웨어 방어 전략을 수립하는 기업들에게 이는 중요한 경고입니다.
랜섬웨어 '감소'가 신기루였던 이유
표면적으로 보고된 랜섬웨어 사건 수가 줄어든 것은 좋은 소식처럼 보입니다. 하지만 연구자들은 단순한 사건 발생 건수가 오해를 불러일으킬 수 있다고 지적합니다. 일부 랜섬웨어 그룹은 브랜드를 바꾸거나, 분열하거나, 잠잠해졌다가 새로운 이름으로 다시 등장합니다. 다른 그룹들은 대량의 저가치 공격에서 더 큰 몸값을 지불할 수 있는 조직을 노리는 소수 정예의 표적 공격으로 이동합니다. 헤드라인 수만으로 성공을 측정하면 근본적인 전략 변화를 놓치게 됩니다. 위협은 줄어든 것이 아니라 형태를 바꿨을 뿐이며, 이 차이는 기업이 보안 예산과 관심을 어떻게 배분하는지에 엄청난 영향을 미칩니다.
랜섬웨어 그룹의 전술 재편 방식
이러한 재편은 여러 방식으로 나타납니다. 공격자들은 데이터 암호화와 탈취를 결합하여, 탄탄한 백업을 갖춘 기업이라도 몸값 지불을 거부하면 민감한 정보가 유출될 위협에 직면하게 됩니다. 바로 이 이중 협박 모델이 자사 그룹 에베레스트(Everest)라고 밝힌 집단의 슈타들러 레일이 1,230만 달러 몸값 요구를 거부했을 때 실제로 벌어진 일이며, 데이터 유출 위험보다 자체 복원력이 더 크다고 판단한 사례입니다. 다른 그룹들은 기술적 수준에서 더 창의적으로 변하고 있습니다. 서명된 드라이버를 악용해 바이러스 백신 도구를 무력화한 갓댐(GodDamn) 랜섬웨어는 기업들이 백그라운드에서 작동한다고 믿는 방어 수단 자체를 공격자들이 우회하는 방법을 보여줍니다. 또 랜섬웨어가 금융이나 의료 같은 뻔한 표적에만 머물지 않습니다. 신젠타 그룹(Syngenta Group)과 연계된 정밀 농업 플랫폼 크롭와이즈(Cropwise)에 대한 공격은 섀도우바이트3$(ShadowByt3$)라는 그룹이 주장한 바 있으며, 이는 귀중한 운영 데이터를 보유한 모든 산업이 표적이 될 수 있음을 상기시킵니다.
지금 기업에 필요한 4가지 핵심 방어 체계
이러한 재편을 고려할 때, 보안 연구자들은 위협 환경이 어떻게 변하든 여전히 필수적인 몇 가지 기본 방어에 주목합니다. 첫째, 주 네트워크로부터 격리된 복원력 있고 검증된 백업입니다. 운영 시스템이 암호화되더라도 복구 경로까지 함께 훼손되지 않도록 하기 위함입니다. 둘째, 다중 요소 인증을 포함한 강력한 아이덴티티 및 접근 제어입니다. 도난당하거나 취약한 자격 증명은 여전히 공격자의 가장 흔한 침입 경로 중 하나이기 때문입니다. 셋째, 시기적절한 패치와 취약점 관리입니다. 방어자가 알아차리기도 전에 공격자가 비집고 들어올 수 있는 틈새를 미리 막는 것입니다. 넷째, 네트워크 세분화입니다. 공격자가 내부에 침투한 후 이동할 수 있는 범위를 제한하여, 단일 거점이 전체 네트워크 침해로 번지는 것을 막고 피해를 억제합니다.
이 중 어느 것도 새로운 아이디어는 아니지만, 랜섬웨어 전술의 재편은 이 중 하나라도 소홀히 하면 공격자들이 적극적으로 노리는 빈틈을 만든다는 사실을 다시 일깨워줍니다.
VPN과 암호화된 접근이 랜섬웨어 회복력에서 차지하는 역할
안전한 원격 접근은 이 방어 체계에서 조용하지만 결정적인 역할을 합니다. VPN 및 기타 암호화된 연결 도구는 원격 직원, 지사, 핵심 시스템 간에 이동하는 데이터가 가로채기에 노출되지 않도록 보장하며, 자격 증명이 침해되더라도 횡적 이동을 제한하는 세분화된 접근을 시행하도록 구성할 수 있습니다. VPN을 엄격한 접근 정책과 결합하면 공격자가 거점을 확보하더라도 전체 네트워크의 지도를 자동으로 손에 넣지 못합니다. 이는 랜섬웨어 그룹이 전담 보안 팀이 없을 수 있는 소규모 조직과 기관을 점점 더 노리는 상황에서 특히 관련성이 높은데, 한 미국 정부 기관이 2TB의 데이터를 도난당한 후 카이로스(Kairos)라는 그룹에 약 100만 달러를 지불한 사례에서도 확인됩니다. 암호화되고 세분화된 접근이 모든 공격을 막지는 못하지만, 공격자의 비용과 복잡성을 높여줍니다. 이는 대개 공격자들이 더 쉬운 표적으로 이동하게 만들기에 충분합니다.
이것의 의미
중소기업에서 IT나 보안을 담당하고 있다면, 핵심은 공포가 아닌 재조정입니다. 작년 헤드라인이 가벼웠다고 해서 위협이 지나갔다고 가정하지 마십시오. 랜섬웨어 그룹은 그 자체로 적응력 있는 비즈니스이며, 효과가 있는 수단에 대응합니다. 이는 방어도 마찬가지로 적응력이 있어야 하며, 일회성 체크리스트가 아니라 정기적으로 재점검해야 함을 의미합니다.
실행 가능한 대책
백업 전략을 점검하고, 백업이 격리되어 있으며 생성뿐만 아니라 복원 테스트를 정기적으로 수행하는지 확인하십시오. 누가 무엇에 접근하는지 검토하고, 모든 원격 및 권한 있는 계정에 대해 다중 요소 인증을 강화하십시오. 특히 인터넷에 노출된 시스템과 VPN 인프라 자체에 대한 패치를 최신 상태로 유지하십시오. 마지막으로, 네트워크 세분화와 안전한 원격 접근 설정이 실제로 첫 번째 방어선을 뚫은 공격자를 억제할 수 있을지, 시험되지 않을 것이라고 가정하지 말고 평가하십시오. 랜섬웨어 방어 전략을 완료된 프로젝트가 아니라 지속적인 규율로 전사적으로 다루는 조직이 위협이 어떤 형태로 다가오든 가장 잘 대처할 수 있는 위치에 있습니다.
