랜섬웨어 표적 선정은 명성이 아닌 지불 가능성을 따른다
수년간 랜섬웨어 피해자의 대중적 이미지는 병원 시스템, 대형 항공사, 글로벌 제조업체 같은 유명 기업이었다. 그러나 최근 분석은 더 단순하고 유용한 점을 지적한다: 랜섬웨어 표적 선정은 명성이 아닌 지불 가능성을 따른다는 것이다. 공격자들, 특히 대부분의 랜섬웨어 침해를 실행하는 제휴 조직들은 헤드라인을 좇지 않는다. 그들은 보상금을 좇으며, 이는 누가 그들의 표적이 되는지를 바꾼다.
이를 뒷받침하는 경제 논리는 단순하다. 대부분의 현대 랜섬웨어는 랜섬웨어-서비스(RaaS) 모델로 운영되며, 핵심 그룹이 악성코드와 인프라를 구축하고 독립 제휴 조직들이 실제 침입을 담당한다. 이 제휴 조직들은 피해자가 지불할 때만 수수료를 받는다. 이 단 하나의 사실이 전체 표적 선정 과정을 재편한다. 제휴 조직들은 "누가 가장 큰 파장을 일으킬까"라고 묻는 대신 "누가 지불할 가능성이 가장 높고, 얼마나 빨리 지불할까"라고 묻는다.
왜 지불 확률이 브랜드 인지도를 앞서는가
지불이 유일한 수입원일 때, 명성은 지불 의향이나 능력과 상관관계가 없다면 무의미해진다. 강력한 백업, 강화된 사고 대응 계획, 공격자와 협상하지 않겠다는 공개적 약속을 갖춘 잘 알려진 브랜드는 실제로 좋지 않은 표적이다. 침해에 성공하면 더 많은 언론의 주목을 받을 수 있음에도 불구하고 말이다. 반면, 방어가 취약하고, 사이버 보험에 가입되어 있으며, 다운타임을 감당할 수 없는 비즈니스 모델을 가진 중견 기업은 훨씬 더 매력적인 표적이 된다.
피해자의 인식된 지불 가능성을 높이는 신호로는 가용 자금의 증거, 대규모 지불을 신속히 승인하는 명확한 내부 프로세스, 지속적 운영에 대한 의존성, 과거 랜섬금 지불 이력(공개적이거나 추정되는) 등이 있다. 공개적으로 지불을 거부한 조직은 반대 신호를 보낸다. 예를 들어 Stadler Rail은 공격자들이 공급업체를 통해 기술 데이터를 탈취한 후 Everest 갈취 갱단의 1,230만 달러 랜섬 요구를 거부했으며, 이 결정은 같은 그룹이 향후 유사한 표적을 우선시할 유인을 줄인다. 베를린 주정부도 네트워크 침해 이후 갈취 시도가 있었음에도 해커에게 지불하지 않겠다고 확인하며 유사한 입장을 취했다. 모든 공개적 거부는 제휴 조직의 의사 결정을 이끄는 지불 확률 계산을 조금씩 깎아낸다.
프라이버시 관점: 데이터 탈취는 결정을 기다리지 않는다
이러한 표적 선정 논리는 랜섬금 지불 논쟁에서 종종 간과되는 직접적인 프라이버시 결과를 낳는다. 피해자가 지불 여부를 결정하기 훨씬 전에, 공격자들은 일반적으로 이미 데이터를 유출했다. 현대 랜섬웨어 작전은 점점 더 이중 갈취에 의존하며, 시스템을 암호화하는 동시에 추가적인 지렛대로 사용할 민감한 파일을 탈취한다. 이는 랜섬 결과와 관계없이 개인 정보, 금융 기록, 내부 통신이 노출되거나 판매될 수 있음을 의미한다.
ShinyHunters 그룹의 콜롬비아 금융 서비스 회사 Addi.com에 대한 공격은 이 위험을 명확히 보여준다. 이 그룹은 1,600만 건의 금융 기록을 탈취했다고 주장했으며, 이 노출 규모는 Addi.com이 유명하거나 정치적으로 중요한 표적이었는지와 무관하다. 이는 동일한 근본 논리를 반영한다: 대량의 민감한 데이터를 보유한 금융 서비스 회사는 브랜드 인지도와 무관하게 갈취를 위한 고가치 기회를 나타낸다. 일상적인 사용자에게 이는 단순히 해당 데이터를 보유한 조직이 제휴 조직에게 좋은 승부수로 보였기 때문에, 누구라도 예상할 만한 표적이었기 때문이 아니라, 여러분의 데이터가 위험에 처할 수 있음을 의미한다.
이것이 여러분에게 의미하는 바
표적 선정이 명성이 아닌 지불 가능성에 의해 주도된다면, 실질적인 교훈은 규모나 가시성에 관계없이 어떤 조직도 랜섬웨어 운영자들에게 "너무 작아서 문제될 게 없다"고 가정할 수 없다는 것이다. 소규모 기업, 의료 제공자, 금융 플랫폼, 지방 정부 기관은 덜 성숙한 방어와 접근을 신속히 복구해야 하는 높은 운영 압박 때문에 종종 매력적인 표적이 된다.
개인에게 이는 익숙하지만 중요한 현실을 강화한다: 개인 데이터의 안전은 유명한 조직뿐만 아니라 이를 보유한 모든 조직의 보안 태세에 크게 의존한다. Stadler Rail 사건이 보여주듯이 금융 기관, 소규모 서비스 제공자, 공급망 내 공급업체 모두 그럴듯한 진입점이다.
실행 가능한 교훈
조직은 백업 무결성, 사고 대응 계획, 랜섬 정책에 대한 공개 커뮤니케이션을 쉬운 보상금을 노리는 제휴 조직에 대한 매력을 직접적으로 줄이는 도구로 취급해야 한다. 개인은 민감한 개인 또는 금융 데이터를 보유한 모든 서비스가 표적이 될 수 있다고 가정하고, 강력하고 고유한 비밀번호를 사용하며, 가능한 모든 곳에서 다중 인증을 활성화하고, 침해 통보 후 계정의 비정상적 활동을 모니터링해야 한다. 랜섬웨어 표적 선정은 명성이 아닌 지불 가능성을 따르므로, 소규모의 덜 알려진 제공자에 대한 경계를 늦추지 않는 것이 주요 브랜드에 대한 공격 뉴스를 주시하는 것만큼 중요하다. 이러한 결정이 어떻게 이루어지는지에 대한 인식은 위험보다 앞서 나가는 가장 간단한 방법 중 하나다.
