보호되지 않은 엔드포인트가 약한 고리가 되다

Sophos가 보고한 새롭게 문서화된 인터로크 랜섬웨어 사건은 보안 팀이 수개월 동안 지적해온 문제를 명확히 보여줍니다. 보호되지 않는 단일 엔드포인트가 공격자에게 자격 증명을 훔치고 누구도 알아차리지 못하게 침투할 시간을 충분히 줄 수 있다는 것입니다. Sophos에 따르면, 이 사건은 엔드포인트 보호 솔루션이 없는 장치로 인해 인터로크 그룹이 일반적으로 모니터링되는 기기에서 의심스러운 행동을 알리는 경고를 트리거하지 않고 활동할 수 있었기 때문에 발생했습니다.

그 격차가 중요했습니다. 엔드포인트를 감시하는 보안 소프트웨어가 없었기 때문에 공격자들은 천천히 신중하게 움직일 여유가 있었고, 로그인 자격 증명을 수집하고 네트워크 접근을 유지하기 위한 메커니즘을 구축할 수 있었습니다. 이는 랜섬웨어 운영자들이 점점 더 방어를 무너뜨리는 것보다 조용히 열쇠를 모아 정문으로 걸어 들어가는 데 의존하고 있음을 상기시킵니다.

도난당한 자격 증명이 진정한 목표인 이유

인터로크 사례는 Sophos가 한동안 기록해 온 패턴과 일치합니다. 이전 Sophos 연구에 따르면 랜섬웨어의 79%가 도난당한 자격 증명에서 시작되며, 이 수치는 현대 랜섬웨어 작전에서 신원 도용이 얼마나 중심적인 역할을 하게 되었는지 강조합니다. 또 다른 Sophos 보도는 한 걸음 더 나아가 침해된 로그인이 이제 소프트웨어 취약점을 제치고 랜섬웨어의 최상위 진입점이 되었다고 밝혔습니다.

인터로크 사건은 공격자 관점에서 그러한 변화가 왜 합리적인지 보여줍니다. 소프트웨어 결함을 악용하려면 종종 정확한 타이밍이 필요하며 비정상적인 익스플로잇 시도를 탐지하도록 구축된 시스템을 작동시킬 수 있습니다. 반면 유효한 자격 증명을 훔쳐 로그인에 사용하는 것은 특히 이상 징후를 알릴 보호 소프트웨어가 없는 엔드포인트에서는 정상적인 사용자 활동처럼 보일 수 있습니다. 내부에 들어간 공격자는 굳이 네트워크를 뚫고 들어갈 필요가 없습니다. 이미 합법적인 접근 권한을 가진 계정을 사용해 이동할 수 있습니다.

이는 광범위한 신원 관련 발견과도 맥을 같이합니다. 최근 Sophos 보고서에 따르면 2025년 전 세계 조직의 71%가 최소 한 건의 신원 관련 침해를 겪었으며, 이는 자격 증명 도용이 정교한 공격자만을 위한 틈새 기술이 아니라는 점을 뒷받침합니다. 이는 인터로크를 포함한 광범위한 랜섬웨어 그룹들 사이에서 기본 진입 전략이 되었습니다.

지속성 확보, 문제의 나머지 절반

자격 증명을 훔치는 것은 공격자가 계속 사용할 수 있거나 원본 계정이 잠긴 후에 다른 진입 방법으로 대체할 수 있을 때만 유용합니다. Sophos가 이 사건에서 강조한 두 번째 요소가 바로 이것입니다. 보호되지 않은 엔드포인트는 인터로크에게 중단 없이 충분한 시간을 주어 지속성 메커니즘을 구축할 수 있게 했으며, 이는 본질적으로 도난당한 자격 증명이 발생해 결국 발견되어 폐기되더라도 돌아올 수 있게 하는 백도어를 만든 것입니다.

자격 증명 도용에 이은 지속성 확보라는 이 2단계 과정이 단발성 침해와 장기간 이어지는 침해를 가르는 요소입니다. 자격 증명 남용을 신속하게 포착하는 조직은 심각한 피해가 발생하기 전에 접근을 차단할 수 있습니다. 하지만 영향을 받은 기기에 대한 모니터링이 없을 경우, 방어 담당자가 문제를 알아차리기도 전에 공격자가 두 단계를 모두 완료할 수 있습니다. 랜섬웨어 분야 밖의 다른 사건들도 유사한 경로를 따릅니다. Plaza Home Mortgage의 단 한 대의 침해된 컴퓨터만으로도 고객 사회보장번호에 영향을 미치는 데이터 유출 조사가 시작될 정도였으니, 안전한 환경 속의 단 하나의 취약점만으로도 충분할 수 있음을 보여줍니다.

이것이 우리에게 의미하는 바

일반 사용자와 소규모 조직 모두에게 인터로크 사건에서 얻는 교훈은 추상적인 것이 아닙니다. 엔드포인트 보호는 단순히 기업의 체크리스트 항목이 아닙니다. 이는 잠재적으로 수주에 걸친 침해를 당일 탐지로 전환하는 계층입니다. 개인 노트북이든 소규모 사무실 네트워크든 기기를 관리하는 사람이라면 공유 리소스에 연결된 보호되지 않는 기기는 소유자뿐 아니라 해당 네트워크의 모든 사람에게 부담이 됩니다.

자격 증명 위생도 그만큼 중요합니다. 여러 계정에서 비밀번호를 재사용하거나, 다중 요소 인증을 건너뛰거나, 누군가 조직을 떠난 후에도 이전 계정을 활성 상태로 유지하는 것은 모두 공격자가 소프트웨어 버그를 악용하는 대신 도난된 로그인 정보를 사용하여 침투할 기회를 늘려줍니다. 이러한 추세는 인터로크만의 문제가 아닙니다. 최근 헤드라인을 장식한 더 넓은 사건들, 예를 들어 러시아 Zimbra 스파이 활동과 Stadler Rail 갈취 사건의 혼합도 이러한 자격 증명 기반 공격이 얼마나 다양하고 지속적인지에 주목하게 합니다.

실천할 만한 조치

원격 근무에 사용되는 개인 컴퓨터를 포함하여 민감한 시스템에 연결되는 모든 장치에 활성 엔드포인트 보호가 적용되도록 하십시오. 지원되는 모든 곳에서 다중 요소 인증을 시행하십시오. 이는 도난된 비밀번호의 가치를 떨어뜨립니다. 사용되지 않거나 소유자가 불분명한 자격 증명이 있는지 정기적으로 감사하고, 유효한 사용자 이름과 비밀번호가 곧 합법적인 사용자를 의미한다고 가정하지 말고 비정상적인 로그인 패턴을 모니터링하십시오.

인터로크 사건이 특별하지 않기 때문에 유용한 사례 연구가 됩니다. 새로운 익스플로잇이나 고급 제로데이가 필요하지 않았습니다. 단지 보호되지 않은 하나의 엔드포인트와 평범해 보이는 로그인 자격 증명을 훔칠 충분한 시간만이 필요했습니다. 그 격차를 좁히는 일은 대부분의 조직이 충분히 할 수 있는 범위 안에 있으며, 이를 수행하는 것은 자격 증명이 아닌 코드가 가장 쉬운 침입 경로라고 분명히 결정한 랜섬웨어 그룹에 대비하는 가장 효과적인 방어 수단 중 하나로 남아 있습니다.