Dark Reading이 보도한 저명한 램섬웨어 협상가의 체포는 침해 사고를 대비해야 했던 모든 조직에 불편한 질문을 던졌습니다. 공격자들을 상대하기 위해 고용한 사람이 반대편을 위해 일하고 있다면 어떻게 될까요? 이 사건은 램섬웨어 협상가에 대한 내부 위협 심사가 주변의 기술적 통제뿐 아니라 모든 사고 대응 계획에 포함되어야 한다는 점을 날카롭게 상기시켜 줍니다.

원문 기사는 이 교훈을 벤더 프로그램에 대한 더 강력한 감독이 필요하다는 것으로 정리합니다. 이 글에서는 협상이 어떻게 이루어지는지, 이번 체포가 무엇을 드러내는지, 그리고 중소기업과 개인정보 보호에 민감한 사용자들이 이에 대해 무엇을 할 수 있는지 살펴봅니다.

램섬웨어 갈취와 협상은 실제로 어떻게 작동하는가

기업이 램섬웨어 공격을 받으면 가장 먼저 연락하는 곳 중 하나가 전문 협상가인 경우가 많습니다. 이들의 임무는 공격자와 소통하고 상황을 평가하며 피해를 줄이려는 것입니다. 이들은 공포에 빠진 피해자와 시스템 복구 또는 탈취한 데이터의 비공개 유지를 위해 금전을 요구할 수 있는 범죄자 사이의 완충 역할을 합니다.

이러한 구조는 피해자가 중개인을 완전히 신뢰할 때만 작동합니다. 협상가는 몸값 요구를 보고, 어떤 데이터가 탈취되었는지 알게 되며, 피해자가 얼마나 지불할 수 있는지와 시스템을 얼마나 긴급하게 되찾아야 하는지도 파악하는 경우가 많습니다. 피해자는 대개 이를 독립적으로 확인할 능력이 거의 없습니다. 위기 상황에 시간도 부족하고 협상가의 전문성에 의존하고 있기 때문입니다.

갈취는 관리하기가 점점 더 어려워지고 있습니다. The Register가 보도한 글로벌 설문조사에 따르면 현재 램섬웨어 공격의 37%가 심리적이든 신체적이든 개인적 위협을 포함합니다. 피해자에 대한 압박이 커질수록 이들을 안내하는 사람들에 대한 의존도도 높아집니다.

협상가 체포가 내부 위험에 대해 드러내는 것

대부분의 보안 계획은 외부 공격자와, 상대적으로 덜하지만 직원에 초점을 맞춥니다. 제3자 벤더는 특히 긴급 상황에서 투입되는 전문가의 경우 기본적으로 신뢰받는 것으로 취급되는 경우가 많습니다. 이번 체포는 그러한 가정의 약점을 보여줍니다. 민감한 협상에 접근할 수 있는 중개인은 막대한 영향력을 가진 위치에 있으며, 그 사람의 이해관계가 고객의 이해관계와 다를 경우 고객은 결코 알지 못할 수 있습니다.

이는 순전히 가상의 우려가 아닙니다. vpn.social의 관련 보도에서는 전 DigitalMint 협상가가 BlackCat 거래로 70개월형을 선고받은 사건을 자세히 다루고 있으며, 별도의 보도에서는 협상가 Martino가 BlackCat 연루로 70개월형을 선고받은 사건을 다룹니다. 해당 기사들은 구체적인 사건 세부 사항을 다루며, 더 넓은 요점을 강조합니다. 즉, 협상가 관계는 좀처럼 감사되지 않는 신뢰에 의존한다는 것입니다.

Dark Reading 보도의 핵심은 모든 협상가가 의심스럽다는 것이 아닙니다. 이 정도의 접근 권한을 가진 벤더는 다른 고위험 내부자와 동일한 수준의 심사를 받을 자격이 있다는 것입니다.

벤더가 침해당할 때 피해자와 그들의 데이터가 노출되는 것

협상가나 다른 대응 벤더가 침해당하거나 고객에 반하여 행동하는 경우, 노출은 몸값 자체를 훨씬 넘어서 확장될 수 있습니다. 협상가가 맡는 역할에 비추어 볼 때 우려되는 영역은 다음과 같습니다:

  • 협상 전략: 피해자의 예산, 기한, 지불 의향이 모두 중개인에게 보입니다.
  • 탈취된 데이터의 세부 사항: 협상가는 일반적으로 무엇이 탈취되었는지 알게 되며, 이는 해당 파일에 개인정보가 포함된 모든 사람에게 중요합니다.
  • 의사 결정: 지불할지, 지연할지, 밀어붙일지에 대한 조언이 기업과 영향을 받는 사람들의 결과를 좌우합니다.
  • 커뮤니케이션: 공격자와 주고받는 모든 메시지가 협상가를 거칩니다.

개인의 경우 위험은 간접적이지만 실재합니다. 침해당한 조직 내부에 데이터가 있는 고객, 환자, 직원은 어떤 벤더가 선택되는지에 발언권이 없지만, 그 선택이 잘못될 경우 결과를 감당합니다.

필요하기 전에 침해 대응 벤더를 심사하는 방법

협상가나 사고 대응 업체를 평가하기에 가장 좋은 시기는 공격을 받기 전, 차분하게 질문할 수 있을 때입니다. 원문 기사는 더 강력한 벤더 프로그램 감독을 촉구하며, 다음 단계는 그 아이디어를 실천하는 실용적인 방법입니다. 이는 사건에서 도출된 요구사항이라기보다 일반적인 모범 사례입니다.

  1. 벤더를 미리 선택하십시오. 압박 속에서 업체를 선택하면 실사할 여유가 없습니다. 사고 대응 계획의 일부로 검증된 후보 목록을 작성하십시오.
  2. 내부 통제에 대해 물으십시오. 업체는 자사 직원을 어떻게 심사합니까? 누가 고객 협상에 접근할 수 있으며, 그 접근은 기록되고 검토됩니까?
  3. 기대 사항을 문서화하십시오. 계약은 기밀 유지, 이해 상충, 그리고 위협 행위자나 다른 당사자와의 관계 공개를 다루어야 합니다.
  4. 의사 결정에 제2의 시선을 유지하십시오. 주요 선택을 한 사람에게 맡기지 말고 자사 경영진, 법률 고문, 또는 보험사가 검토하도록 하십시오.
  5. 데이터 공유를 제한하십시오. 벤더에게 필요한 것만 제공하고, 그들이 받은 것에 대한 기록을 보관하십시오.
  6. 관계를 정기적으로 검토하십시오. 대응 벤더를 일회성 승인이 아닌 정기적 점검이 포함된 제3자 위험 프로그램의 일부로 취급하십시오.

이것이 당신에게 의미하는 것

소규모 사업체를 운영한다면 전담 보안팀이 없을 수 있으며, 이는 벤더 신뢰를 더욱 중요하게 만듭니다. 사이버 보험사나 IT 제공업체에 어떤 대응 업체와 협력하는지 물어보고, 그 업체들이 어떻게 감독되는지 알아보십시오. 지금 하는 몇 가지 질문은 위기 도중에 내리는 잘못된 결정보다 훨씬 적은 비용이 듭니다.

개인이라면 실질적인 단계는 조직이 자신에 대해 보유하는 정보를 제한하는 것입니다. 서비스가 진정으로 필요로 하는 데이터만 공유하고, 고유한 비밀번호와 다중 인증을 사용하며, 침해 알림을 주시하여 정보가 노출될 경우 신속히 대응할 수 있도록 하십시오. 기업의 사고 대응 벤더를 심사할 수는 없지만, 문제가 발생했을 때 피해를 줄일 수는 있습니다.

핵심 요점

저명한 램섬웨어 협상가의 체포는 중개인이 내부 위험이 될 수 있으며, 램섬웨어 협상가에 대한 내부 위협 심사가 대비 계획에서 백업 및 패치와 나란히 자리해야 한다는 점을 상기시켜 줍니다. 위기 전에 벤더를 선택하고, 그들의 통제에 대해 날카로운 질문을 던지며, 주요 결정에 대한 독립적인 감독을 유지하십시오.

구체적인 사건 세부 사항은 형을 선고받은 전 DigitalMint 협상가에 대한 보도를 참고하십시오. 갈취가 격화될수록 벤더 신뢰가 왜 더욱 중요한지 알아보려면 램섬웨어 공격의 개인적 위협에 관한 설문조사를 검토하십시오.