신뢰받던 협상가, 실은 공격자를 위해 일하고 있었다

기업이 랜섬웨어 공격을 받으면 가장 먼저 하는 일 중 하나는 전문 협상가에게 전화하는 것입니다. 몸값 요구를 낮추고, 시간을 벌며, 당황한 경영진과 범죄 해커 사이에서 완충 역할을 하는 사람을 고용하는 것이죠. 이 시스템은 전적으로 신뢰에 의존합니다. 최근 연방 법원의 판결은 그 신뢰가 내부에서 무너질 때 어떤 일이 벌어지는지 보여줍니다.

한 랜섬웨어 협상가가 피해자를 대리한다고 주장하면서 비밀리에 블랙캣(ALPHV) 랜섬웨어 조직과 공모한 사실이 검찰 수사 결과 밝혀져 연방 교도소에서 70개월형을 선고받았습니다. 자신을 고용한 기업을 보호하기는커녕, 고객사의 사이버 보험 보장 내용과 지불 한도 같은 민감한 정보를 공격자에게 몰래 넘겨 범죄자들이 더 많은 돈을 요구하고 압박을 더 효과적으로 가할 수 있는 지렛대를 제공한 혐의입니다. 이번 판결에는 이 계획과 연관된 암호화폐를 몰수하는 내용도 포함됐습니다.

이 사건에서는 최소 다섯 개의 피해 조직이 확인되었는데, 여기에는 처음에 1,000만 달러의 몸값을 요구받았다가 결국 약 120만 달러를 지불한 플로리다의 한 의료기기 회사, 메릴랜드의 한 제약회사, 그리고 한 의원이 포함됩니다. 이 계획의 전체 규모에는 경쟁 랜섬웨어 갱단 사이의 내분도 교차된 것으로 알려졌으며, 한 집단이 다른 쪽의 작전을 폭로하겠다고 위협하는 등 범죄 생태계조차 내부 갈등과 배신에서 자유롭지 않다는 점을 상기시켜줍니다.

이 계획이 피해자들을 어떻게 취약하게 만들었나

랜섬웨어 협상가들은 극히 민감한 위치에 있습니다. 업무를 수행하려면 대개 일반 기업이라면 절대 외부에 제공하지 않을 정보에 접근해야 합니다. 가용 현금이 얼마인지, 사이버 보험 정책이 실제로 무엇을 보장하는지, 내부 마감 시한, 경영진이 이 상황을 조용히 해결하려는 절박함의 정도 같은 것들입니다. 그 정보는 기밀로 유지되어야 하고 오직 협상 과정에서 의뢰인의 이익을 보호하는 데만 사용되어야 합니다.

협상가가 그 정보를 공격자에게 대신 넘기면, 사고 대응 절차 전체가 시작도 하기 전에 무력화됩니다. 피해자는 정보에 기반한 전략으로 협상한다고 믿지만 실제로는 상대방이 이미 재정적 한계를 알고 있는 상태입니다. 이런 불균형이 아마도 이 사건에서 요구액이 왜 그리 공격적으로 치솟았는지, 그리고 왜 플로리다 의료기기 회사의 초기 요구액이 실제 지불액보다 8배나 높았는지 설명해줄 것입니다.

이것은 고립된 사건이 아닙니다. 별건의 미국 갈취 사건에서 유죄 판결을 받은 플로리다 랜섬웨어 협상가 에 대한 보도에서 다루었듯이, 법 집행 기관은 현재 동일한 블랙캣 연계 갈취 네트워크와 연결된 여러 명의 협상가를 확인했습니다. 이 패턴은 이것이 일회성 배신이 아니라 사고 대응 업계를 내부에서 악용하려는 의도적이고, 최소한 부분적으로 조직화된 노력이었음을 시사합니다.

침해 피해자에게 미치는 프라이버시 영향

여기서 프라이버시 파장은 몸값 액수를 훨씬 넘어섭니다. 의료기기 회사, 제약회사, 의원은 일상적으로 민감한 환자 및 건강 데이터를 보유합니다. 협상가가 은밀히 피해자의 이익에 반하여 움직이면, 어떤 다른 민감 정보가 노출되었거나, 잘못 취급되었거나, 갈취 과정에서 추가 압박 수단으로 사용되었을 수 있는지에 대한 실질적인 의문이 제기됩니다. 의료 등 규제 대상 분야에서 운영되는 기업은 이미 엄격한 프라이버시 의무에 따라 환자 데이터를 보호해야 하며, 랜섬웨어 사고 중 내부자의 배신은 영향을 받은 개인들에게 통지할지, 어떻게 통지할지 등 모든 하류 결정을 복잡하게 만듭니다.

또한 많은 조직이 너무 늦기 전까지 고려하지 않는 사각지대를 드러냅니다. 협상가, 포렌식 업체, 침해 상황에서 투입되는 법률 고문을 포함한 사고 대응 업체들은 다른 제3자 위험에 적용하는 것과 같은 수준의 엄격한 검증을 거의 받지 않습니다. 기업은 클라우드 제공업체나 소프트웨어 공급업체에는 광범위한 실사를 실행하면서도, 위기 상황에서는 평판이나 긴박함에 크게 의존해 협상가를 데려올 수 있습니다.

이것이 의미하는 것

조직에서 랜섬웨어 협상가나 사고 대응 업체를 고용해야 하는 상황이 생긴다면, 이 사례는 당황하지 말고 속도를 늦춰야 하는 이유입니다. 보험사나 단일 접촉 창구의 추천만으로 판단하지 말고 독립적으로 자격 증명을 확인하십시오. 의뢰인 정보가 어떻게 취급, 보관, 공유되는지 직접 질문하고, 협상가가 공개할 수 있는 것과 없는 것에 대한 문서화된 경계를 요구하십시오. 사이버 보험 정책이 특정 업체 목록을 강제한다면, 그 목록을 공격이 발생하기 전에 미리 검토하십시오. 지렛대와 판단 모두가 손상된 활성 사고 중에 허둥대지 말아야 합니다.

개인에게 주는 교훈은 더 단순하지만 여전히 중요합니다: 자신이 이용한 의료 제공자, 약국 또는 의료기기 회사가 랜섬웨어 사고를 겪었다는 통지를 받는다면, 회사에서 데이터 노출이 제한적이었다고 말해도 그 통지를 진지하게 받아들이십시오. 이번 사건처럼 침해 사고의 내부 처리는 공개 성명보다 훨씬 더 지저분할 수 있습니다.

핵심 요점

이 이번 판결은 완전히 기밀성과 신뢰 위에 구축된 랜섬웨어 협상가의 역할이 어떻게 보호해야 할 바로 그 조직을 향한 무기로 바뀔 수 있는지 보여주는 드문 구체적 사례입니다. 위기가 닥치기 전에 사고 대응 업체를 검증하고, 명확한 정보 공유 경계를 모든 계약서에 포함시키며, 랜섬웨어 협상가의 협상력이 공격자 쪽이 아니라 당신 쪽의 비밀이 비밀로 유지되는 데 달려 있다는 점을 기억하십시오.