Sophos 보고서가 침해된 ID에 대해 발견한 내용

새롭게 발표된 Sophos 보고서는 보안 팀들이 수년간 의심해 온 사실에 구체적인 수치를 제시합니다. 랜섬웨어 조직은 더 이상 현관문을 부수고 들어오지 않고, 도난당한 열쇠를 들고 걸어 들어오고 있다는 점입니다. 보고서에 따르면, 이제 랜섬웨어 공격의 79%가 침해된 ID에서 시작됩니다. 즉, 대부분의 경우 소프트웨어 취약점이나 악성 첨부 파일이 아니라 유효한 사용자 이름과 비밀번호가 최초 접근 지점이라는 의미입니다.

또한 이 보고서는 공격이 시작된 이후 조직 규모에 따른 대응 능력의 현저한 차이를 부각합니다. 소규모 조직 중 단 34%만이 암호화나 갈취가 발생하기 전에 공격을 차단할 수 있었습니다. 직원 수 3,001~5,000명 규모의 조직은 46%의 사례에서 공격을 막아낸 것과 비교하면, 이 차이는 공격자의 침투 방식이 회사 규모와 관계없이 비슷해 보이더라도 자원, 인력, 탐지 성숙도가 여전히 매우 중요하다는 점을 시사합니다.

지역별로 보면, 영국이 연구 대상 지역 중 중간값 기준 가장 높은 몸값 요구를 기록했습니다. 전체 수치에 대한 상세한 내역은 제공되지 않았지만, 이러한 패턴은 몸값 요구가 데이터의 가치 자체보다는 지불 능력에 대한 인식에 따라 조정된다는 광범위한 추세를 뒷받침합니다.

MFA만으로는 랜섬웨어를 막지 못하는 이유

보안 예산의 우선순위를 재편해야 할 발견 사항이 있습니다. 침해된 자격 증명이 근본 원인이었던 사건의 97%에서 어떤 형태로든 다중 인증(MFA)이 도입되어 있었습니다. 다시 말해, 도난된 자격 증명을 통해 침해당한 거의 모든 조직이 이미 자사 환경 일부에 MFA를 켜 놓고 있었다는 뜻입니다.

이것이 MFA가 쓸모없다는 의미는 아닙니다. MFA가 일관되지 않게 적용될 때 완전한 해결책이 될 수 없다는 의미입니다. 최신 인증을 지원하지 않는 레거시 시스템, MFA 정책에서 제외된 서비스 계정, 취약한 검증 방식으로 구성된 원격 접속 도구와 같은 적용 범위의 공백이 공격자에게 필요한 바로 그 틈새를 제공합니다. 결의에 찬 공격자는 모든 곳에서 MFA를 무력화할 필요가 없으며, 단 한 번도 MFA가 강제되지 않은 로그인 경로를 찾기만 하면 됩니다.

이것이 바로 Sophos 데이터가 드러내는 핵심적인 긴장 관계입니다. 보안 팀들은 수년간 MFA를 단순한 체크리스트 항목처럼 다루어 왔지만, 랜섬웨어 공격자들은 그 체크리스트 밖에 있는 계정, 시스템, 연동 지점을 찾아내 적응해 왔습니다. 그 결과, 서류상으로는 강력해 보이지만 실제로는 구멍이 있는 방어 전략이 만들어집니다.

MFA를 넘어선 실용적인 ID 위생 관리 단계

자격 증명 탈취가 주된 진입점이라면, ID 위생 관리에 패치 관리나 엔드포인트 탐지와 동일한 수준의 운영적 관심을 기울여야 합니다. 보고서의 시사점을 바탕으로 몇 가지 실용적인 조치를 꼽을 수 있습니다.

  • MFA 존재 여부가 아닌 MFA 적용 범위를 감사하세요. 주요 로그인 화면뿐 아니라 모든 원격 접속 지점, 관리자 계정, 서드파티 연동에서 실제로 MFA가 강제되는지 확인하십시오.
  • 가능한 경우 피싱에 강한 인증을 우선시하세요. 기존의 일회용 코드는 여전히 가로채거나 사회공학적 기법으로 탈취될 수 있기 때문입니다.
  • 자격 증명 재사용 및 오래된 계정을 모니터링하세요. 휴면 계정과 공유 로그인은 직원이 이동하거나 역할이 변경된 후에도 오랫동안 공격자가 악용하는 일반적인 사각지대입니다.
  • 역할과 필요에 따라 접근을 분할하세요. 침해된 자격 증명이라도 네트워크 전반에 걸친 광범위한 수평 이동을 허용하지 않으면 공격자에게 훨씬 덜 유용합니다.
  • 특히 소규모 조직은 더 빠른 탐지 및 대응 역량을 구축하세요. 차단율 34%와 46%의 차이는 예방뿐 아니라 탐지 속도에서 자원이 부족한 팀이 뒤처지고 있음을 시사합니다.

이러한 조치 중 어느 것도 특별한 도구를 필요로 하지 않습니다. 규율, 가시성, 그리고 ID를 일회성 설정 작업이 아니라 정기적인 감사가 필요한 살아 있는 시스템으로 다루려는 의지만 있으면 됩니다.

암호화 도구와 VPN이 계층적 방어에 어떻게 맞물리는가

VPN과 암호화된 접속 도구는 특히 신뢰할 수 없는 네트워크에서 원격 로그인을 보호하고 노출을 줄이는 데 있어 광범위한 ID 보호 전략의 유용한 계층으로 남아 있습니다. 하지만 Sophos의 발견은 VPN, MFA, 엔드포인트 보호 등 어떤 단일 도구도 조직 전체에 걸친 일관된 ID 거버넌스를 대신할 수 없다는 점을 상기시킵니다. 공격자가 노리는 것은 도구 자체가 아니라 도구 사이의 틈새입니다.

또한 접근 제어와 인터넷 정책이 어떻게 더 광범위하게 교차하는지 생각해 볼 좋은 시점이기도 합니다. 정부가 점점 더 VPN 제공업체가 금지된 도박 사이트 접근을 처리하는 방식을 면밀히 조사하는 것처럼, 조직도 자체 접근 도구가 어떻게 구성되고 모니터링되는지 정밀하게 살펴봐야 합니다. 계층화된 제한 시스템이 어떻게 작동하는지 이해하는 것은, 국가 인터넷 검열 시스템이 단일한 관문 대신 여러 겹의 강제 계층으로 구축되는 방식과 유사하게, 랜섬웨어 방어에도 하나의 안전장치에 의존하지 않고 다중의 중첩된 통제가 필요한 이유에 대한 유용한 비유를 제공합니다.

이것이 여러분에게 의미하는 바

어떤 규모의 조직에서든 IT 보안을 관리하고 있다면, 이 보고서는 기존의 가정을 재검토하라는 신호입니다. MFA가 ‘활성화되어 있는 것’과 필요한 모든 곳에 ‘강제 적용되어 있는 것’은 다릅니다. 2026년의 자격 증명 탈취형 랜섬웨어 방어는 ID를 MFA 도입 완료 표시와 함께 끝난 프로젝트가 아니라 지속적인 운영 규율로 다룰 것을 요구합니다.

특히 소규모 조직은 차단율 격차를 심각하게 받아들일 필요가 있습니다. 이는 탐지 및 대응 능력에 대한 소박한 투자만으로도, 이미 초기 접근에 성공한 공격의 결과를 의미 있게 바꿀 수 있음을 시사합니다.

주요 시사점

  • Sophos에 따르면, 현재 랜섬웨어 공격의 79%가 도난된 자격 증명에서 시작됩니다.
  • 자격 증명 기반 랜섬웨어 사건의 97%에 MFA가 존재했으며, 이는 MFA 자체의 부재가 아니라 적용 범위의 공백이 진짜 문제임을 보여줍니다.
  • 소규모 조직은 공격을 34%만 차단한 반면, 직원 수 3,001~5,000명의 큰 조직은 46%의 차단율을 기록했습니다.
  • 이번 보고서에서 영국이 가장 높은 중간값 몸값 요구를 기록했습니다.
  • 효과적인 자격 증명 탈취 랜섬웨어 방어를 위해서는 MFA 적용 범위를 감사하고, 오래되거나 재사용된 자격 증명을 모니터링하며, 접근을 분할하고, 더 빠른 탐지 역량을 구축해야 하며, 어떤 단일 보안 도구에 의존해서는 안 됩니다.