랜섬웨어 갱단, 이미 돈을 지불한 피해자의 22%를 재차 갈취

새로운 랜섬웨어 재갈취 데이터가 보여주는 것

DataBreaches.Net의 코너 존스가 보도한 최신 수치는 보안 연구원들이 수년간 의심해온 바를 확인시켜 줍니다. 랜섬웨어 갱단에 돈을 지불한다고 시련이 끝나는 것이 아니라, 종종 2차 공격의 시작에 불과하다는 것입니다. 해당 보도와 함께 인용된 설문조사 데이터에 따르면, 작년에 영향을 받은 영국 조직의 58%가 몸값 요구에 응했습니다. 그중 22%는 동일하거나 다른 범죄 그룹으로부터 두 번째 지급을 요구받으며 또다시 공격을 당했습니다.

이는 몸값을 지불하기로 어려운 결정을 내린 조직 5곳 중 1곳이 돈을 내고도 아무런 지속적인 효과를 보지 못했음을 의미합니다. 갈취 사이클이 그저 초기화되었을 뿐이며, 때로는 몇 주 안에 재시작됩니다. 이러한 반복적인 랜섬웨어 재갈취 지불 패턴은 현재 위협 환경을 정의하는 특징이 되고 있으며, 보안 팀과 경영진은 몸값 지불이 과연 합리적인 대응일 수 있는지에 대한 모든 계산을 다시 생각해보게 만듭니다.

한 번 지불하면 두 번째 공격을 초대하는 이유

범죄자 관점에서 반복 갈취의 논리는 간단합니다. 조직이 기꺼이 지불할 의사가 있음을 증명하면, 그 조직은 표적이 됩니다. 랜섬웨어 운영자들은 어떤 피해자가 굴복했는지, 얼마나 빨리 지불했는지, 얼마를 건넬 의사가 있었는지 기록을 남깁니다. 그 정보는 종종 제휴 네트워크 사이에서 유통되며, 서비스형 랜섬웨어 모델로 운영되는 범죄 그룹 간에 판매되거나 공유되기도 합니다.

한 번 50만 달러를 지불한 피해자는 현금 보유력과 다시 지불할 위험 감수성 두 가지를 모두 갖추고 있다는 신호를 효과적으로 보낸 셈입니다. 공격자들은 최초 침입을 허용한 근본적인 취약점이 완전히 해결되지 않았다면, 덜 정교한 두 번째 침입이라도 성공할 가능성이 높다는 사실을 알고 있습니다. 많은 이중 및 삼중 갈취 사례에서, 유출된 데이터는 지불 후에도 약속과 달리 삭제되지 않으며, 동일한 유출 정보를 공개하겠다는 위협을 바탕으로 추가 요구의 문을 열어둡니다.

이것이 바로 FBI를 비롯한 법 집행 기관들이 몸값 지불을 하지 말라고 일관되게 조언해온 이유입니다. 지불은 데이터 복구를 보장하지 않고, 유출된 파일 삭제를 보장하지 않으며, 이번 새 데이터가 보여주듯 공격자들이 떠나지 않을 것임을 보장하지도 않습니다.

랜섬웨어 위험을 줄이는 사전 방어책

지불이 문제를 확실하게 해결하지 못한다면, 더 지속 가능한 길은 애초에 성공적인 침입 확률을 낮추는 것입니다. 사고 대응 결과에서 억제된 사고와 치명적인 사고를 가르는 차이로 몇 가지 방어 계층이 지속적으로 나타납니다.

네트워크 분할은 공격자가 최초 거점을 확보한 후 이동할 수 있는 범위를 제한합니다. 하나의 손상된 자격 증명만으로 모든 것에 접근할 수 있는 단일 평면 네트워크 대신, 분할된 환경은 공격자가 추가로 한 치 전진할 때마다 싸워야 하게 만들어 방어자가 탐지하고 대응할 시간을 벌어줍니다.

제로 트러스트 접근 제어는 기업 내부에 있더라도 어떤 사용자나 장치도 자동으로 신뢰하지 않습니다. 모든 접근 요청을 검증하므로, 탈취된 자격 증명만으로는 중요 시스템의 잠금을 해제하기 훨씬 어려워집니다.

신뢰할 수 있고, 테스트를 거친 오프라인 백업은 여전히 이용 가능한 가장 효과적인 랜섬웨어 방어책 중 하나입니다. 누구와도 협상하지 않고 깨끗한 백업으로부터 운영을 복구할 수 있을 때, 암호화된 파일은 더 이상 지렛대가 되지 못합니다. 중요한 단어는 '테스트'입니다. 실제 복구 훈련을 통해 검증되지 않은 백업은 가장 필요할 때 실패하는 경우가 많습니다.

다중 인증, 인터넷 연결 시스템의 시기적절한 패치, 비정상적인 수평 이동에 대한 지속적인 모니터링은 신속히 복구하는 조직과 두 번째 갈취 요구에 직면하는 조직을 가르는 기준선을 완성합니다.

몸값을 지불하는 대신 조직이 해야 할 일

랜섬웨어 사고가 발생했을 때, 특히 빠른 해결을 요구하는 고객, 규제 기관, 이사회의 압력 속에서 신속히 지불하여 문제를 사라지게 하고 싶은 본능은 이해할 만합니다. 하지만 반복 갈취 데이터는 지불이 신뢰할 수 있는 탈출 전략이 아님을 분명히 합니다. 조직은 은밀한 지불로 문제가 사라질 것이라고 가정하기보다, 조기에 법 집행 기관을 참여시키고, 실제 데이터 노출 범위를 평가할 수 있는 사고 대응 전문가를 고용하며, 영향을 받는 이해관계자에게 투명하게 공개하는 편이 더 나은 선택입니다.

이것이 당신에게 의미하는 바

소규모 비즈니스의 IT를 책임지고 있든, 대규모 조직의 보안 정책을 감독하든, 이 데이터는 우선순위를 재조정하라는 분명한 신호입니다. 몸값 비상 자금으로 책정된 예산은 분할 프로젝트, 제로 트러스트 도입, 정기적으로 테스트하는 백업 인프라에 사용하는 것이 훨씬 낫습니다. 사이버 보험 정책과 사고 대응 계약도 단순히 지급을 보장하는 것보다 예방 및 복구 능력을 강조하도록 검토되어야 합니다.

개인에게도 더 작은 규모로 비슷한 교훈이 적용됩니다. 강력하고 고유한 비밀번호, 다중 인증, 개인 및 가족 기기의 정기적 백업은 단 한 번의 랜섬웨어 감염이 반복되는 악몽이 될 확률을 낮춰 줍니다.