CISA, FBI 및 파트너 기관의 공동 권고에 따르면 SafePay 랜섬웨어가 600명 이상의 피해자를 냈으며, 침투 경로는 대개 통상적이다. 경고에 따르면 이 그룹은 SafePay 랜섬웨어 탈취한 VPN 자격 증명을 이용해 단순히 로그인하며, Veeam과 SonicWall 장비의 2024년 취약점 두 개도 악용한다. 핵심은 간단하다. VPN 게이트웨이는 로그인 정보와 펌웨어가 안전한 만큼만 안전하다.

SafePay 권고 내용

CISA, FBI 및 파트너 기관이 발표한 권고에 따르면 SafePay 랜섬웨어가 600명 이상의 피해자를 감염시켰다. 두 가지 초기 접근 경로가 두드러진다. 공격자가 다른 곳에서 입수한 유효한 VPN 자격 증명과 Veeam 및 SonicWall 제품에 영향을 미치는 2024년 취약점 두 개다.

원본 자료가 간략하여 특정 CVE 식별자나 전체 영향 산업 목록 등 일부 세부 사항은 여기서 다루지 않는다. 관리자는 기술적 지표와 완화 조치 목록을 원본 권고에서 직접 확인해야 한다. 요약에서 분명히 드러나는 것은 패턴이다. 공격자는 이국적인 기법에 의존하지 않는다. 유출되었거나 패치되지 않은 채 방치된 접근 권한을 이용하고 있다.

탈취한 VPN 로그인과 엣지 취약점이 문을 여는 방식

VPN은 사설 네트워크로의 통제된 출입구 역할을 한다. 공격자가 유효한 사용자 이름과 비밀번호를 보유하고 있다면, 그 출입구는 직원에게 열리듯 공격자에게도 열린다. VPN 입장에서 탈취한 로그인은 정상적인 세션처럼 보이기 때문에 추가 확인 없이는 이 경로를 발견하기 어려울 수 있다.

탈취한 자격 증명은 대개 이전 유출, 피싱, 또는 여러 서비스에 걸친 비밀번호 재사용에서 비롯된다. 직원이 업무용 VPN과 나중에 유출된 개인 계정에 같은 비밀번호를 사용한다면, 공격자는 기술적 익스플로잇이 전혀 필요 없다.

두 번째 경로는 패치되지 않은 엣지 장비다. 방화벽, VPN 어플라이언스, 백업 소프트웨어는 네트워크의 경계나 핵심에 위치하므로, 이들의 취약점은 공격자에게 강력한 발판을 제공할 수 있다. 권고는 2024년 취약점 두 개를 지목한다. 하나는 Veeam, 하나는 SonicWall 장비다. 2024년 취약점이 여전히 사용되고 있다는 사실이 중요하다. 이는 수정 사항이 존재하지만 항상 적용되지는 않는다는 것을 시사한다.

이러한 경로들을 종합하면 주변부 도구도 다른 중요 시스템과 동일한 주의가 필요한 이유를 알 수 있다. VPN은 접근이 보호될 때만 트래픽을 보호하며, 어플라이언스 자체도 최신 상태로 유지되어야 한다.

VPN 접근 및 엣지 장비 강화 단계

다음 중 이국적인 것은 없으며, 대부분은 권고에서 설명하는 약점과 일치한다.

  • 모든 VPN 로그인에 다중 인증을 요구하라. 탈취한 비밀번호만으로는 접속하기에 충분하지 않아야 한다.
  • SonicWall 및 Veeam 제품을 신속히 패치하라. 2024년 수정 사항이 예약만 된 것이 아니라 실제로 설치되었는지 확인하라.
  • 자격 증명 재사용을 감시하라. 직원 자격 증명을 알려진 유출 데이터와 대조하고 노출이 발견된 곳에서는 강제 재설정하라.
  • 비정상적인 활동이 있는지 VPN 로그를 검토하라. 이상한 시간대의 로그인, 예상치 못한 위치, 또는 평소 유휴 상태인 계정에서의 로그인은 면밀히 살펴볼 가치가 있다.
  • 오래된 계정을 제거하라. 전 직원과 사용하지 않는 계약직 로그인은 쉬운 표적이다.
  • 백업을 보호하라. Veeam은 백업 소프트웨어이므로, 이곳의 침해는 복구를 약화시킬 수 있다. 복사본을 격리하고 복원을 테스트하라.

600명 피해 집계가 조직과 사용자에게 의미하는 것

조직에게 600명 이상의 피해자는 랜섬웨어 그룹이 효과 있는 것을 반복함으로써 규모를 확장한다는 것을 상기시킨다. 취약한 로그인 하나나 오래된 미패치 어플라이언스 하나로 충분하다면, 기본적인 위생 관리는 이용 가능한 가장 효과적이면서 가장 저렴한 방어책 중 하나다.

업무용 VPN에 접속하거나 소비자용 VPN 서비스를 이용하는 개인 사용자에게 교훈은 자격 증명에 관한 것이다. 모든 계정에 고유한 비밀번호를 사용하고, 제공되는 모든 곳에서 다중 인증을 활성화하며, 이용 중인 서비스가 침해를 보고하면 신속히 비밀번호를 변경하라. 직원은 방어의 일부다. 그들의 로그인이 바로 공격자가 노리는 것이기 때문이다.

네트워크가 침해된 후에 어떤 일이 일어나는지 기억하는 것도 도움이 된다. 랜섬웨어 운영자들은 종종 갈취 요구와 데이터 공개 위협을 통해 압박을 가한다. 스스로 DataSuckers라고 부르는 그룹이 790만 명이 영향을 받았다며 40만 달러를 요구했다고 보도된 ATB 갈취 사건은 공격자가 접근 권한을 얻은 후 그러한 압박이 어떻게 전개되는지를 보여준다.

이것이 당신에게 의미하는 것

IT 시스템을 관리한다면 VPN 게이트웨이와 백업 소프트웨어를 최우선 자산으로 취급하라. 누가 로그인할 수 있는지 감사하고, 다중 인증이 적용되고 있는지 확인하며, SonicWall 및 Veeam 업데이트가 설치되어 있는지 검증하라. 일반 사용자라면 자신의 계정을 안전하게 지켜라. 고유한 비밀번호, MFA, 그리고 침해 통지 후 신속한 조치다.

핵심 요점

SafePay 랜섬웨어 탈취한 VPN 자격 증명 경고는 기본을 바로잡으라는 촉구다. 모든 VPN 로그인에 MFA를 적용하고, SonicWall 및 Veeam 장비를 지체 없이 패치하며, 재사용되거나 유출된 자격 증명을 감시하라. 단순히 로그인할 수 있는 공격자는 침입할 필요가 없으므로, 그들이 로그인하는 것을 훨씬 어렵게 만들어라.