사일런트 랜섬 그룹, IT 사칭으로 법무법인을 노리다

법무법인은 병원과 정부 기관을 제외하고 가장 민감한 정보를 보유하고 있습니다. 인수합병 세부 내용, 소송 전략, 고객 재무 정보, 그리고 진행 중인 사건과 관련된 개인 기록 등이 바로 그것입니다. 이러한 높은 가치와 더불어 많은 경우 사이버 보안 예산이 부족하다는 점 때문에, 법률 분야는 사일런트 랜섬 그룹(SRG)으로 알려진 집단에게 점점 더 매력적인 표적이 되고 있습니다. 루나 모스(Luna Moth), 채티 스파이더(Chatty Spider), UNC3753이라는 별칭으로도 추적되는 이 그룹은, 랜섬웨어 하면 떠올리는 대부분의 과정을 완전히 건너뛰는 갈취 전략을 구축했습니다.

색다른 유형의 갈취

전통적인 랜섬웨어 공격은 익숙한 패턴을 따릅니다. 멀웨어가 피해자의 파일을 잠그고, 공격자는 복호화 키에 대한 대가를 요구하는 방식이죠. SRG는 이보다 더 조용하고 어떤 면에서는 더 위험한 방식을 취합니다. 시스템을 암호화하는 대신, 이 그룹은 데이터를 통째로 훔쳐내고 법무법인이 돈을 내지 않으면 이를 공개하겠다고 위협하는 데 집중합니다. 탐지할 랜섬웨어도 없고, IT 직원에게 이상 징후를 알려줄 뒤섞인 파일도 없습니다. 문제가 생겼다는 첫 신호는 대개 협박 요구 자체입니다.

침입은 주로 매우 단순하면서도 효과적인 사회 공학적 수법에서 시작됩니다. SRG 조직원들은 IT 지원 직원을 사칭하여 직원들에게 전화를 걸거나 이메일을 보내 자격 증명을 넘겨주거나 원격 접근 도구를 설치하도록 설득합니다. 일단 내부에 침투하면, 이 그룹은 네트워크에 혼란을 일으켜 경보를 울리는 대신 조용히 파일을 빼내는 데 집중합니다. 법무법인이 무언가 잘못되었다는 사실을 알아차렸을 때쯤이면, 데이터는 이미 빠져나간 후이며 공개 폭로 위협은 이미 현실로 다가와 있습니다.

이러한 접근 방식은 갈취 집단이 피해자에게 압박을 가하는 방식의 광범위한 변화를 반영합니다. 일부 랜섬웨어 운영자들은 요구 사항이 더 공식적으로 보이고 무시하기 어렵게 만들기 위해 위협에 가짜 법적 문구를 꾸며 넣기 시작하기도 했는데, 이는 랜섬웨어 갱단, 협박 편지에 가짜 AI 법적 위협 추가 기사에서 자세히 다룬 전술입니다. 압박이 가짜 법적 메모에서 비롯되든, 고객 파일을 유출하겠다는 단순한 위협에서 비롯되든, 목표는 동일합니다. 바로 돈을 지불하는 것이 유일한 합리적인 선택처럼 느껴지게 만드는 것입니다.

법무법인이 특히 취약한 이유

법무법인은 사이버 보안 세계에서 특이한 위치를 차지하고 있습니다. 이들은 매우 민감한 제3자 데이터의 관리자 역할을 하며, 한 번에 여러 기업 고객의 정보를 보유하는 경우가 많습니다. 그럼에도 불구하고 많은 법무법인은 그들이 서비스를 제공하는 산업에 비해 더 작은 IT 팀과 덜 공식화된 보안 교육을 바탕으로 운영됩니다. 변호사와 지원 직원은 종종 시간적 압박을 받으며, 외부 업체, 법원, 고객의 전화를 동시에 처리해야 하므로 그럴듯한 IT 사칭 전화가 경계심을 뚫고 지나가기 더 쉬워집니다.

구조적인 동기 부여 문제도 존재합니다. 법무법인에서 발생한 침해 사고는 해당 법인의 자체 데이터만 노출시키는 것이 아니라, 해당 시스템을 거친 모든 고객의 기밀 정보를 노출시킵니다. 이는 어떤 유출 사건이든 평판과 법적 위험을 증폭시키며, SRG와 같은 집단이 암호화 대신 공개를 위협할 때 노리는 지렛대가 바로 이 점입니다.

이것이 의미하는 바

법무법인에서 근무하거나 민감한 기록이 법무법인을 통과하는 고객이라면, 비록 직접 협박 편지를 보는 일이 없더라도 이러한 추세는 중요합니다. 사칭을 통한 데이터 절취에는 정교한 기술적 취약점 공격이 필요하지 않습니다. 단 한 명의 직원이 잘못된 전화나 이메일을 신뢰하는 것만으로도 충분합니다. 이는 대형 법인만이 아니라 모든 규모의 법무법인이 잠재적인 표적이 될 수 있음을 의미합니다.

고객의 입장에서는 자신의 사건이나 거래를 처리하는 법무법인에 원격 접근 권한을 부여하거나 자격 증명을 재설정하기 전에 어떤 확인 절차를 거치는지 물어볼 가치가 있습니다. IT 요청을 확인하는 명확하고 테스트된 절차를 갖춘 법무법인은 SRG가 의존하는 사칭 수법에 넘어갈 가능성이 낮습니다.

지금 당장 취할 만한 실질적인 조치

희소식은 이 특정 공격 방식의 실패 지점이 매우 좁다는 것입니다. 바로 인간의 확인 절차입니다. 몇 가지 구체적인 조치만으로도 위험을 의미 있게 줄일 수 있습니다.

• 자격 증명, 원격 접근, 소프트웨어 설치와 관련된 모든 IT 요청에 대해 엄격한 회신 확인 정책을 수립하십시오. 직원들은 발신자의 신원을 액면 그대로 신뢰하는 대신, 알려진 내부 번호를 통해 요청을 독립적으로 확인해야 합니다.
• 요청하지 않은 IT 연락, 특히 긴급하게 들리는 요청을 일상적인 업무가 아닌 경고 신호로 간주하도록 직원을 교육하십시오.
• 비정상적인 설치나 로그인이 경보를 울리도록 원격 접근 도구를 제한하고 모니터링하십시오.
• 랜섬웨어 증상에 맞춰진 탐지 방식으로는 이러한 침입을 놓칠 수 있으므로, 암호화뿐 아니라 데이터 절도를 상정한 사고 대응 계획을 수립하십시오.

사일런트 랜섬 그룹의 성공은 속도와 신뢰에 달려 있습니다. 누군가가 확인을 위해 멈추기도 전에 신속하게 행동하도록 설득하는 것입니다. 단순한 회신 확인 정책처럼 그 과정에 마찰을 추가하는 법무법인은 이 그룹의 이점을 대부분 제거할 수 있습니다. 법률 분야의 사이버 보안은 하룻밤 사이에 대대적인 점검이 필요한 것은 아니지만, 사회 공학적 공격을 기술적 취약점 못지않게 심각하게 다루는 것을 요구합니다. 지금 그 변화를 이루는 법무법인은 협박 요구가 대화를 강제할 때까지 기다리는 곳보다 훨씬 나은 위치에 서게 될 것입니다.