Rhysida 랜섬웨어, 30비트코인 요구와 함께 베를린 공격

베를린과 관련된 새로운 랜섬웨어 공격 주장이 Rhysida 그룹을 다시 조명하고 있다. 해당 사건에 대한 보도에 따르면, Rhysida는 현재 환율 기준으로 100만 달러가 훨씬 넘는 30비트코인을 요구하며, 그룹이 확보했다고 주장하는 5.79TB의 데이터를 유출하지 않는 대가로 이 금액을 요구하고 있다. 이는 엄청난 양의 정보로, 모든 주요 랜섬웨어 사건이 제기하는 동일한 질문을 던진다. 즉, 도난당한 파일 안에 개인 데이터가 포함된 사람들에게는 어떤 일이 벌어질까라는 것이다.

Rhysida는 랜섬웨어 세계에서 새로운 이름이 아니다. 이 그룹은 랜섬웨어-as-a-service 모델로 운영되며, 실제 침입을 수행하는 제휴 업체에 자사 악성코드와 인프라를 임대한다. 이러한 구조 덕분에 Rhysida는 정부 사이버보안 기관이 추적하는 가장 다작의 갈취 조직 중 하나가 되었으며, 다양한 분야와 지역에서 그룹의 피해자 목록이 계속 늘어나는 이유를 설명해 준다. 베를린과 Alumax를 겨냥한 Rhysida와 Akira의 공격 주장 및 다음 단계에 대한 보고서에서 다룬 바와 같이, Rhysida는 단독으로 활동하는 경우가 드물다. 여러 랜섬웨어 조직이 동시에 활동하는 경우가 많으며, 때로는 며칠 간격으로 동일한 지역이나 산업을 표적으로 삼기도 한다.

랜섬머니보다 데이터 규모가 더 중요한 이유

랜섬웨어 공격에 관한 헤드라인은 일반적으로 랜섬 요구 금액의 달러 수치에 초점을 맞추지만, 여기서 더 중요한 숫자는 5.79TB다. 그런 규모의 데이터 확보에는 일반적으로 내부 업무 기록 이상의 것이 포함되는 경우가 많다. 어떤 시스템이 손상되었는지에 따라 직원 기록, 주민 또는 시민 데이터, 재무 문서, 계약서, 통신 내역 등이 포함될 수 있으며, 이 모두에는 침해로 이어진 보안 결정에 아무런 역할을 하지 않은 사람들의 개인 정보가 포함될 수 있다.

이것이 Rhysida와 같은 이중 갈취 랜섬웨어의 핵심적인 개인정보 보호 위험이다. 이 그룹은 단순히 운영을 방해하기 위해 파일을 암호화하는 것만 하지 않는다. 먼저 데이터 사본을 훔친 다음, 랜섬머니를 지불하지 않으면 공개적으로 유포하겠다고 위협한다. 피해 조직이 강력한 백업을 보유하고 있어 돈을 지불하지 않고도 시스템을 복원할 수 있다고 해도, 도난당한 데이터는 여전히 유출되거나 판매될 수 있다. 즉, 개인정보 노출 위험은 랜섬머니 지불 여부와 관계없이 독립적으로 존재한다.

Rhysida를 추적하는 정부 기관은 방어자들이 그룹의 활동이 암호화와 데이터 도용으로 확대되기 전에 발견할 수 있도록 침해 지표와 기술 분석을 게시했다. 이러한 권고는 Rhysida 제휴 조직이 일반적으로 의존하는 패턴을 설명하며, 여기에는 노출된 원격 접근 지점을 악용하고 합법적인 관리 도구를 사용해 랜섬웨어를 배포하기 전에 네트워크를 조용히 이동하는 방식이 포함된다. 이러한 지표의 가치는 보안 팀이 테라바이트 단위의 데이터가 네트워크를 떠나기 훨씬 전에 침입 초기 단계에서 발견할 기회를 제공한다는 점이다.

이것이 당신에게 의미하는 바

당신이 IT 관리자가 아니라면, 도시 정부나 기업에 대한 랜섬웨어 공격이 당신과 거의 관련이 없다고 생각할 수도 있다. 그러나 실제로는 그렇지 않은 경우가 많다. 베를린의 시스템에 주민, 직원, 계약업체 또는 파트너 조직과 관련된 데이터가 포함되어 있었다면, 관리자들이 Rhysida와 협상하는지 여부와 관계없이 해당 정보가 노출될 위험에 처할 수 있다.

이와 같은 침해로 잠재적으로 영향을 받을 수 있는 사람들을 위한 실질적인 조언은 어느 랜섬웨어 그룹이 관련되어 있는지와 관계없이 동일하다. 대부분의 관할권에서 침해 공개 의무법에 따라 영향을 받은 당사자에게 통지가 요구되므로, 관련 조직의 공식 통지를 주시하라. 공격자와 기회를 노리는 사기꾼은 유출된 데이터나 공개된 침해 소식을 활용해 후속 피싱 캠페인을 실행하는 경우가 많으므로, 해당 사건을 언급하는 예상치 못한 이메일, 전화, 문자는 모두 의심하라. 영향을 받은 조직에 계정이나 기록이 있다면 비밀번호 변경, 가능한 경우 다단계 인증 활성화, 그리고 귀하의 이름으로 개설된 새 계정과 같은 신원 도용 징후를 모니터링하는 것을 고려하라.

랜섬웨어 피해 노출 줄이기

조직은 Rhysida와 같은 그룹으로부터 방어하는 일차적 책임을 지며, 게시된 침해 지표는 특히 보안 팀이 이러한 제휴 조직이 악용하는 취약점을 차단하도록 돕기 위해 존재한다. 그러나 개인도 무력한 방관자는 아니다. 개인 데이터를 공유하는 곳에 주의를 기울이고, 서비스마다 고유한 비밀번호를 사용하며, 알려진 침해 이후 신용 또는 계정 활동을 주시하는 것은 베를린 사건과 같은 사고가 결국 당신의 정보와 관련되었을 때 피해를 실질적으로 줄일 수 있다.

Rhysida와 같은 랜섬웨어 그룹은 속도와 규모를 통해 번성하며, 많은 대상을 공격하고 그중 충분히 많은 수가 지불하기를 기대하여 운영을 수익성 있게 만든다. 활발한 캠페인에 대한 정보를 유지하고, 이중 갈취 요구가 도난당한 데이터에 실제로 무엇을 의미하는지 이해하며, 침해 통지 후 기본적인 보호 조치를 취하는 것이 노출을 제한하는 가장 현실적인 방법이다. Rhysida의 활동이 2026년까지 계속됨에 따라 베를린을 겨냥한 것과 같은 더 많은 주장이 나올 것으로 예상되며, 각각의 주장에 동일한 개인정보 보호 질문이 뒤따를 것이라고 기대하라.