최근에야 위협 환경에 등장한 랜섬웨어 그룹이 기술 분야에서 첫 공개 피해자를 이미 주장했다. 위협 인텔리전스 연구원들은 스스로를 Sovcali라고 부르는 이 그룹이 이중 갈취 캠페인의 일환으로 한 기술 기업을 다크 웹 유출 포털에 추가한 후 해당 그룹을 확인했다. 이 사건은 새로운 랜섬웨어 작전이 꾸준한 속도로 계속 등장하고 있으며, 우리의 디지털 인프라를 구축하고 보호하는 기업들을 포함해 어떤 산업도 표적이 되는 것에서 예외가 아니라는 점을 상기시켜 준다.

Sovcali 랜섬웨어 그룹에 대해 알려진 것

Sovcali는 신흥 랜섬웨어 신디케이트로 설명되며, 이는 광범위한 공개 이력이 없는 새로 확인된 작전이라는 뜻이다. 경보에 따르면, 이 그룹은 Tor 기반 유출 사이트에 한 기술 부문 조직을 등재했으며, 이는 랜섬웨어 운영자들이 탈취한 데이터의 공개 노출을 위협하여 피해자가 몸값을 지불하도록 압박하는 데 사용하는 흔한 전술이다.

이 그룹의 방식은 이제 표준이 된 이중 갈취 플레이북을 따른다. 단순히 피해자의 파일을 암호화하고 복호화 키 대가로 지불을 요구하는 대신, Sovcali는 암호화를 배포하기 전에 표적 네트워크에서 데이터를 유출하는 것으로 보고된다. 이는 공격자에게 두 가지 지렛대를 제공한다. 피해자는 암호화된 시스템의 운영 중단과 몸값이 지불되지 않을 경우 민감한 정보가 공개되거나 판매될 위협에 모두 직면한다.

기술적인 측면에서 Sovcali는 AES-256과 RSA 암호화의 조합을 사용하는 것으로 보고되며, 이 접근 방식은 파일의 빠른 대칭 암호화(AES-256)와 암호화 키 자체를 보호하는 비대칭 계층(RSA)을 결합하기 때문에 랜섬웨어 생태계 전반에서 널리 사용된다. 이 조합은 공격자의 개인 키 없이는 무단 복호화를 극히 어렵게 만들며, 바로 이것이 핵심이다. 피해자의 시스템이 잠긴 후 그룹의 협상 위치를 강화하기 때문이다.

새로운 랜섬웨어 그룹이 계속 등장하는 이유

Sovcali와 같은 그룹의 등장은 고립된 사건이 아니다. 범죄 비즈니스 모델로서의 랜섬웨어는 회복력과 적응력을 입증했으며, 한 작전에 대한 법 집행 조치는 종종 새로운 브랜드의 등장으로 이어지는데, 때로는 교란된 그룹의 제휴사나 전 구성원으로 구성되기도 한다. 이러한 급속한 그룹 형성 패턴은 다른 곳에서도 문서화되었으며, 여기에는 등장하여 12명 이상의 피해자를 빠르게 주장한 ExfilSquad 갈취 그룹과 라틴 아메리카에서 새로운 제휴사 모집에 집중해 온 Moondancer 랜섬웨어 그룹에 관한 보도가 포함된다.

더 넓은 수치들이 이러한 추세를 뒷받침한다. 최근의 업계 리뷰인 Black Kite 2026 랜섬웨어 보고서는 1년 동안 수천 명의 랜섬웨어 피해자를 추적했으며, Sovcali와 같은 그룹이 틈새 시장이 아닌 이미 혼잡하고 매우 활발한 범죄 시장에 진입하고 있음을 강조한다. 조직과 개인 모두에게 이는 위협이 하나의 악명 높은 갱단과 연관된 일시적 급증이 아니라 현재 사이버보안 환경의 지속적인 특징이라는 것을 의미한다.

이중 갈취와 데이터 프라이버시 관점

Sovcali 사건을 프라이버시 관점에서 특히 관련성 있게 만드는 것은 데이터 유출 구성 요소이다. 몸값을 지불하지 않고도 암호화된 시스템을 복원할 수 있는 강력한 백업 관행을 갖춘 조직조차 탈취된 데이터가 공개적으로 유출될 위험에 노출되어 있다. 그러한 데이터에는 고객 기록, 직원 정보, 지적 재산 또는 내부 통신이 포함될 수 있으며, 이들 중 어느 것이든 침해에 직접적인 역할이 없었던 사람들을 대상으로 한 후속 사기, 피싱 또는 신원 도용을 부추길 수 있다.

기술 부문 피해자는 추가적인 위험 차원을 지니는데, 이러한 기업들이 종종 자체 고객과 파트너의 민감한 데이터를 보유하고 있어 단 한 번의 성공적인 공격이 공급망 전반으로 파급될 수 있기 때문이다.

이것이 당신에게 의미하는 것

기술 기업의 고객, 파트너 또는 직원이라면, 이와 같은 사건은 당황하기보다 경계를 유지하라는 신호이다. 랜섬웨어 그룹은 탈취된 데이터가 암시장에서 또는 지렛대로서 가치를 지닌다는 데 의존하며, 정보가 유출 사이트에 공개되면 이후 수년간 다른 악의적 행위자들에 의해 스크래핑되고 재사용될 수 있다. 비정상적인 계정 활동을 모니터링하고, 서비스 전반에 걸쳐 고유한 비밀번호를 사용하며, 가능한 모든 곳에서 다중 인증을 활성화하는 것이 이러한 침해의 후속 영향에 대한 가장 효과적인 개인 방어 수단으로 남아 있다.

조직의 경우, Sovcali 사건은 성공적인 침입이 있다면 암호화뿐만 아니라 데이터 도난도 수반될 가능성이 있다고 가정하는 것의 가치를 강화한다. 사고 대응 계획은 처음부터 두 시나리오를 모두 고려해야 한다.

실행 가능한 핵심 사항

  • 이중 갈취가 표준이라고 가정하라: 시스템을 백업하되, 몸값 지불 여부와 관계없이 탈취된 데이터가 유출될 가능성도 대비하라.
  • 사용 중인 기술 공급업체의 알림을 주시하고, 침해 공개에 신속히 대응하라.
  • 고유하고 강력한 비밀번호와 다중 인증을 사용하여 향후 유출에 자격 증명이 나타날 경우 피해를 제한하라.
  • 새로운 랜섬웨어 작전이 계속 형성되고 광범위한 산업을 표적으로 삼고 있으므로 Sovcali와 같은 신흥 그룹에 대한 지속적인 위협 인텔리전스 보도를 따르라.