이중 갈취가 파일 암호화 이상을 의미하는 이유

대부분의 사람들은 랜섬웨어 공격을 잠긴 화면과 암호화된 파일을 풀기 위해 결제를 요구하는 카운트다운 타이머로 상상한다. 그 이미지는 시대에 뒤처졌다. RedRiver의 최근 랜섬웨어 복구 분석에 따르면 암호화는 훨씬 더 긴 침입의 마지막 단계인 경우가 많지, 문제의 첫 신호가 아니다. 많은 랜섬웨어 그룹이 이제 이중 갈취를 사용하는데, 이는 공격자가 피해자를 자신의 시스템에서 잠그는 암호화를 발동하기 전에 민감한 데이터를 훔치는 전술이다.

이중 갈취 하에서 파일을 복호화하기 위해 몸값을 지불한다고 해서 문제가 사라지지 않는다. 공격자는 여전히 유출한 데이터의 사본을 보유하고 있으며, 몸값 요구가 충족되는지 여부와 관계없이 데이터를 유출하거나 판매하겠다고 위협할 수 있다. 기업의 경우 이는 복구의 전체 계산을 바꾼다. 침해된 회사의 시스템 안에 자신의 정보가 있는 일반 소비자의 경우, 랜섬웨어 공격에 대한 헤드라인이 사라져도 위험은 끝나지 않는다는 것을 의미한다.

수개월간 감지되지 않은 접근이 노출된 데이터에 중요한 이유

RedRiver 가이드라인에서 가장 냉정한 지점 중 하나는 타임라인이다. 랜섬노트는 일반적으로 공격자가 이미 상당한 기간(많은 경우 6개월 이상으로 설명됨) 동안 피해자의 네트워크 내부에서 조용히 운영한 후에야 실제 랜섬웨어를 배포하기 전에 나타난다. 그 기간 동안 자격 증명이 수집되고, 데이터가 유출될 수 있으며, 공격자는 공격이 가시화되는 날 오류 화면을 표시하는 시스템을 훨씬 넘어 시스템 전반에 걸쳐 측면 이동을 한다.

그렇기 때문에 랜섬웨어 사고 후 적절한 포렌식 조사는 두 가지 별개의 질문에 답해야 한다: 무엇이 암호화되었는지, 무엇이 유출되었는지. 이는 같은 문제가 아니며, 하나로 취급하는 것은 흔한 실수다. 조직은 백업에서 모든 암호화된 파일을 복원할 수 있지만, 공격자의 소유에 남아 있는 해결되지 않은 데이터 노출 문제가 여전히 있을 수 있다. 이것이 또한 백업만 중심으로 구축된 랜섬웨어 보호 전략이 2025년에 부족한 이유다. 백업은 가용성 문제를 해결한다. 이중 갈취가 만드는 기밀성 문제에는 아무것도 해주지 못한다.

데이터가 침해에 휩싸인 경우 소비자가 할 수 있는 일

랜섬웨어 사고와 관련된 침해 통지를 받았다면, 이를 데이터가 단순히 일시적으로 접근 불가능했던 것이 아니라 공격자에게 복사되었을 수 있다는 증거로 취급하라. 몇 가지 실질적인 조치가 실제 차이를 만든다:

  • 영향을 받은 계정과 연결된 비밀번호를 변경하고, 해당 비밀번호를 재사용한 다른 계정도 변경하라. 자격 증명 수집은 이러한 침입의 일상적인 부분이며, 재사용된 비밀번호는 공격자가 한 침해에서 무관한 계정으로 이동하는 가장 쉬운 방법 중 하나다.
  • 다단계 인증을 제공되는 모든 곳에서 활성화하라. 특히 이메일, 은행, 그리고 다른 자격 증명을 재설정하는 데 사용될 수 있는 모든 계정에서 그렇게 하라.
  • 침해의 실제 세부 정보를 언급하는 피싱을 주의하라. 데이터를 유출한 공격자는 때때로 이를 사용하여 설득력 있는 후속 사기를 만들기도 한다. 실제 계정 번호나 구매 내역을 언급하는 메시지는 일반적인 피싱 시도보다 훨씬 신뢰도가 높기 때문이다.
  • 노출된 데이터에 금융 또는 신원 정보가 포함된 경우 신용 동결 또는 모니터링 서비스를 고려하라. 이중 갈취 사건에서 유출된 데이터는 원래 공격이 있은 지 오랜 후에 범죄 시장에 나타날 수 있기 때문이다.

이러한 조치 중 어느 것도 노출을 되돌리지는 못하지만, 이미 통제 밖으로 나간 데이터로 공격자가 입힐 수 있는 피해를 제한한다.

이것이 더 넓은 랜섬웨어 복구 그림에 맞는 방식

여기서 설명된 소비자 측 위험은 실제로 랜섬웨어 복구의 더 큰 패턴의 증상이다: 지불해도 깨끗한 결과가 보장되지 않는다. 호주와 뉴질랜드를 대상으로 한 연구에 따르면 랜섬 지불의 36%가 실제로 데이터를 복원하지 못하며, 이는 파일을 되찾는 좁은 문제에서도 랜섬 지불이 도박임을 강조하며, 데이터 유출을 방지하는 것은 말할 것도 없다. 다른 복구 중심 가이드라인, 단계별 랜섬웨어 복구 워크스루를 포함한 자료는 같은 메시지를 강화한다: 복구는 복원과 노출을 별개의 트랙과 별개의 타임라인으로 다루어야 한다.

이것이 당신에게 의미하는 바

활성 사고를 관리하는 비즈니스 리더든 침해 통지를 받은 소비자든 교훈은 동일하다. 랜섬웨어 이중 갈취 데이터 노출은 시스템이 다시 온라인 상태가 되거나 랜섬 결정이 내려지면 저절로 해결되지 않는다. 암호화가 시작되기 전에 네트워크를 떠난 데이터는 이미 누구의 통제 밖에 있으며, 유일한 의미 있는 대응은 도난당한 데이터가 다음에 무엇에 사용될 수 있는지를 제한하는 것이다.

실행 가능한 핵심 사항

  • 랜섬웨어 침해 통지에는 시스템 중단뿐만 아니라 데이터 도난이 포함된다고 가정하고 그에 따라 행동하라.
  • 침해된 조직과 연결된 모든 계정의 비밀번호를 즉시 업데이트하고 MFA를 활성화하라.
  • 침해에서 확보된 특정 세부 정보를 사용하는 표적 피싱에 경계를 유지하라.
  • 랜섬을 지불하거나 백업을 복원하는 것이 암호화를 해결할 뿐, 별개의 데이터 유출 위험을 해결하지 않는다는 점을 인식하라.
  • 개인적으로 그리고 데이터를 신뢰하는 조직 모두에서 계층화된 보안 관행을 지원하라. 사후 복구보다 예방이 여전히 더 효과적이기 때문이다.