베를린의 몸값 거부, 대규모 데이터 덤프로 이어지다

리스다 랜섬웨어 그룹이 베를린 정부를 상대로 한 협박을 실행에 옮겨, 다크웹에 약 6테라바이트의 탈취 파일을 공개했다. 이번 유출은 수 주간 이어져 온 사건의 최신 국면을 보여주며, 피해자가 몸값을 지불하지 않을 때 랜섬웨어 갈취 캠페인이 일반적으로 어떻게 전개되는지를 명확히 보여준다.

보도에 따르면, 공격자들은 익숙한 전술을 따랐다: 네트워크에 침투하고, 대량의 데이터를 빼내고, 공개를 위협하고, 지불을 요구하며, 피해자를 압박하기 위해 카운트다운 시계를 설정하는 방식이다. 이번 사건에서 리스다는 30비트코인을 요구한 것으로 알려졌다. vpn.social이 베를린이 5.79TB 탈취 사건 이후 230만 달러 상당의 리스다 몸값을 거부했다는 소식을 처음 보도했을 때 다룬 것처럼, 시 당국은 협상에 응하지 않겠다는 입장을 밝혔고, 이는 결국 데이터 공개로 이어지는 발판이 되었다.

협박에서 공개까지

여기서의 타임라인을 이해하는 것이 중요하다. 이는 "이중 갈취" 전술에 의존하는 랜섬웨어 그룹에서 반복적으로 목격되는 패턴을 그대로 보여주기 때문이다: 먼저 데이터를 탈취한 후, 암호화하거나 유출하겠다고 위협하며 별도의 협박 수단으로 삼는 것이다. 리스다가 처음 5TB 베를린 데이터 탈취를 주장했을 때 시 정부는 공개적으로 몸값을 지불하지 않겠다고 밝혔다. 이러한 거부가 결국 그룹이 파일을 공개하는 것으로 끝난 카운트다운을 촉발한 것으로 보인다.

거의 6테라바이트로 설명되는 이번 유출의 규모는 탈취된 자료가 좁은 범위의 기록을 훨씬 넘어선다는 것을 시사한다. 이 정도 분량의 정부 파일에는 행정 문서, 내부 통신, 그리고 직원이나 주민의 개인 데이터가 혼합되어 포함되는 경우가 많다. 이런 자료가 다크웹에 공개되면, 찾고자 하는 누구나 접근할 수 있게 되며, 여기에는 해당 파일에 이름이 거론된 개인을 대상으로 신원 도용, 피싱 캠페인 또는 추가 표적 공격을 감행할 수 있는 다른 범죄자들도 포함된다.

이번 사건이 리스다에게 고립된 사건은 아니다. 이 그룹은 알루맥스(Alumax)와 같은 다른 표적과 함께 베를린을 공격했다고 주장해 왔으며, 랜섬웨어 조직들은 더 넓게 보아도 정부 및 인프라 표적에 대한 공격 속도를 꾸준히 유지해 왔다. 또한 주목할 만한 점은, 독일이 이제 자국 사이버 공격의 점점 더 많은 비율이 순수하게 금전적 동기를 가진 범죄자가 아닌 국가 연계 행위자에게서 비롯된다고 보고하고 있다는 점이다. 이는 외국 스파이들이 독일 사이버 공격의 37%를 주도하는 것으로 밝혀졌을 때 기록된 추세다. 리스다가 국가와 연계되어 있는지 여부와 관계없이, 독일 공공 기관이 직면한 광범위한 위협 환경은 분명히 심화되고 있다.

몸값 거부가 여전히 결과를 초래하는 이유

베를린이 몸값을 지불하지 않기로 한 결정은 일반적으로 범죄 활동에 자금을 대고 탈취된 데이터가 실제로 삭제된다는 보장이 없기 때문에 몸값 지불을 권장하지 않는 사이버 보안 기관 및 법집행 기관의 표준 지침을 반영한다. 그러나 이러한 지침에는 냉혹한 트레이드오프가 따른다: 몸값을 거부하면 종종 데이터가 어쨌든 공개된다는 것이다.

이번 사건에서 정확히 그런 일이 일어난 것으로 보인다. 리스다의 데이터 유출은 정보가 외부로 반출되면 피해 조직이 그 정보에 대한 통제권을 거의 완전히 상실한다는 점을 강조한다. 몸값을 지불하든 지불하지 않든, 공격자들이 베를린 시스템에서 파일을 복사하는 순간 근본적인 노출은 이미 발생한 것이다. 공개 유출은 훨씬 더 일찍 시작된 침해의 마지막이자 가장 가시적인 단계일 뿐이다.

이것이 당신에게 의미하는 바

만약 당신이 베를린 주민이거나 공공 직원이거나, 영향을 받은 부서의 시정 서비스를 이용하는 사람이라면, 당신의 개인 정보 중 일부가 탈취된 파일에 포함되었을 합리적인 가능성이 있다. 가장 안전한 가정은 영향을 받은 정부 기관이 보유한 모든 데이터는 잠재적으로 노출된 것으로 간주해야 한다는 것이다.

실질적인 조치로는 금융 계좌와 신용 보고서를 비정상적인 활동이 없는지 모니터링하고, 유출된 정부 기록에서 비롯되었을 수 있는 개인 정보를 언급하는 피싱 이메일이나 전화에 주의하며, 노출된 자료에 자격 증명이 포함된 경우 정부 서비스와 연결된 계정의 비밀번호를 변경하는 것이 포함된다. 다중 요소 인증은 이번과 같은 대규모 데이터 유출 이후 발생하는 계정 탈취 시도에 대한 가장 효과적인 방어책 중 하나로 여전히 꼽힌다.

핵심 요점

베를린 정부를 겨냥한 리스다의 랜섬웨어 유출은 랜섬웨어 갈취가 몸값 미지불로 끝나지 않는다는 점을 상기시킨다. 그것은 종종 공개적 노출로 전환될 뿐이다. 영향을 받은 시스템과 연결된 주민과 직원에게는 신원 도용과 피싱에 대한 경계가 가장 즉각적인 방어책이다. 공공 기관 전반적으로 볼 때, 이번 사건은 정부 네트워크가 여전히 고가치 표적이며, 복구 계획은 몸값 지불 여부와 관계없이 탈취된 데이터가 결국 공개될 수 있다는 현실을 고려해야 한다는 증거를 늘려가고 있다.