랜섬웨어 보고서: 지급 기업의 37%가 반복 요구에 직면

랜섬웨어의 진짜 수익 엔진은 암호화가 아니다

수년간 랜섬웨어 방어는 한 순간, 즉 파일이 잠기는 바로 그 순간에 초점을 맞춰왔습니다. 하지만 The National CIO Review가 보도한 새로운 연구 결과는 암호화가 종종 랜섬웨어 공격에서 범죄자에게 가장 가치 없는 부분임을 분명히 보여줍니다. 진정한 수익은 데이터 탈취에서 발생하며, 그 수익은 몸값이 지급되거나 시스템이 복구되었다고 해서 멈추지 않습니다.

보고서에 따르면 영향을 받은 조직의 54%가 몸값을 지불했습니다. 암호화된 시스템이 얼마나 업무를 방해할 수 있는지 생각하면 그 자체로 놀라운 일은 아닙니다. 눈에 띄는 것은 그 다음에 일어난 일입니다. 몸값을 지불한 조직의 37%가 나중에 동일하거나 다른 공격자로부터 또 다른 요구를 받았습니다. 다시 말해, 사건을 종결했다고 생각한 피해자의 3분의 1 이상이 똑같은 탈취 데이터를 두고 다시 협상해야 하는 원점으로 돌아간 것입니다.

왜 탈취된 데이터가 공격자에게 계속해서 이득이 되는가

공격자가 암호화를 배포하기 전에 데이터를 빼내면, 피해자의 시스템이 잠겨 있지 않더라도 여러 개의 별도 수익원을 확보하게 됩니다. 보고서는 그중 몇 가지를 설명합니다.

• 공개 위협: 공격자는 복호화 키에 대한 원래의 몸값을 이미 지불했더라도, 두 번째 지불이 없으면 민감한 파일을 유출하겠다고 위협합니다.
• 탈취 데이터 재판매: 정보는 원래 피해자가 비용을 지불했는지 여부와 관계없이 범죄 시장에서 다른 위협 행위자에게 판매됩니다.
• 자격 증명 악용: 탈취된 파일에서 찾은 사용자 이름, 비밀번호, 액세스 토큰을 다른 계정이나 시스템을 침해하는 데 재사용하며, 때로는 파트너 조직이나 공급업체의 시스템도 노립니다.
• 후속 공격: 네트워크 구성도, 공급업체 계약서, 내부 커뮤니케이션 등 침해에서 수집된 세부 정보는 향후 침입을 더 쉽고 표적화되게 만듭니다.

이것이 바로 보안 연구자들이 현대 랜섬웨어를 "암호화가 덧붙여진 데이터 탈취 문제"로 점점 더 설명하는 이유이며, 그 반대가 아닙니다. 암호화는 며칠 또는 몇 주간 운영을 마비시킵니다. 탈취된 데이터는 몇 달 또는 몇 년 동안 무기화될 수 있습니다.

최근 이러한 역학을 공개적으로 보여준 사례로 iPhone 18 Pro 기밀이 유출된 Tata 전자 침해 사건이 있는데, 스스로를 World Leaks라고 부르는 랜섬웨어 그룹이 내부 시스템에 접근한 후 민감한 미공개 제품 정보를 공개했습니다. 이와 같은 사례는 탈취된 기업 데이터가 최초 침입 이후에도 공격자에게 어떻게 가치를 유지하는지, 그리고 작동하는 암호화 페이로드 없이도 공개 위협만으로 조직을 어려운 결정으로 몰아넣을 수 있음을 보여줍니다.

지불이 이야기의 끝을 보장하지 않는 이유

37%의 반복 요구 수치는 공통된 가정, 즉 몸값을 내면 사건이 종결된다는 생각을 뒤흔들기 때문에 특히 주목할 만합니다. 현실은 데이터가 조직의 네트워크를 떠난 순간, 피해자는 사본이 폐기되었는지, 공격자가 정보를 재판매하지 않을지, 또는 다른 그룹이 이미 동일한 파일을 입수하지 않았는지 검증할 방법이 없습니다. 지불은 암호화 문제만 해결할 뿐입니다. 데이터 탈취 문제는 전혀 해결하지 못하는데, 그 이유는 데이터가 유출된 순간 이미 피해자의 통제를 벗어나기 때문입니다.

이는 조직이 랜섬웨어 대비 태세를 어떻게 생각해야 하는지에 직접적인 영향을 미칩니다. 백업 및 복구 계획은 시스템을 다시 온라인 상태로 만드는 데 중요하지만, 유출, 재판매 또는 두 번째 갈취 시도를 막는 데는 아무 역할도 하지 못합니다. 네트워크 세분화, 엄격한 접근 통제, 애초에 민감한 데이터의 저장량이나 접근성을 최소화하는 것을 통해 유출 자체를 막는 것이 복구 계획만큼이나 중요합니다.

이것이 의미하는 바

소규모 비즈니스의 IT를 관리하든 단순히 자신의 계정을 보호하든, 이 데이터에서 얻는 교훈은 동일합니다. 여러분의 정보가 연루된 침해는 일회성 사건이 아니라 지속적으로 노출될 위험을 초래할 수 있다고 간주하십시오. 거래하는 회사가 랜섬웨어 공격을 공개하면, 그것을 열린 위험으로 취급하십시오. 재사용된 비밀번호, 오래된 계정 자격 증명, 해당 침해와 연결된 개인 정보는 뉴스가 사라진 지 한참 후에도 자격 증명 스터핑 시도나 후속 사기에서 다시 나타날 수 있습니다.

조직이라면, 데이터 최소화와 네트워크 세분화를 사후 고려사항이 아닌 핵심 랜섬웨어 방어책으로 다루어야 합니다. 침해된 단일 지점에서 접근할 수 있는 민감한 데이터를 제한하면 공격자가 침투하더라도 탈취할 수 있는 정보가 줄어듭니다.

실천 가능한 교훈

• 모든 계정에 고유한 비밀번호를 사용하고, 데이터와 관련된 침해 통지를 받으면 몇 달이 지났더라도 업데이트하십시오.
• 가능한 모든 곳에서 다중 인증을 활성화하여 탈취된 자격 증명의 가치를 낮추십시오.
• 비즈니스를 운영 중이라면 어떤 민감한 데이터가 저장되어 있고 누가 접근할 수 있는지 감사하십시오. 노출된 데이터가 적을수록 공격자의 레버리지도 줄어듭니다.
• 몸값을 지불하거나 시스템이 복구되었다고 해서 랜섬웨어 사건이 끝났다고 가정하지 마십시오. 유출된 데이터나 재개된 갈취 시도의 징후를 모니터링하십시오.
• 단일 침해된 장치나 계정으로 전체 데이터 환경이 노출되지 않도록 네트워크를 세분화하십시오.

랜섬웨어의 가장 큰 이점은 헤드라인을 장식하는 암호화가 아닙니다. 그것은 그 이전에 조용히 일어나서 초기 위기가 해결된 것처럼 보인 뒤에도 오랫동안 공격자에게 가치를 지속적으로 창출하는 데이터 탈취입니다.