랜섬웨어 공격이 이제 암호화가 아닌 데이터 절도에 집중하는 이유
수년간 표준적인 랜섬웨어 수법은 단순했습니다. 침입 후 파일을 암호화하고, 복호화 키에 대한 대가를 요구하는 것이었죠. 백업이 해답이었습니다. 시스템을 복원하고, 몸값 요구서를 무시하며, 넘어가면 됐습니다. 이제 그 수법은 거의 한물갔습니다.
오늘날의 랜섬웨어 그룹은 많은 조직이 암호화로부터 별 탈 없이 복구한다는 사실에 적응했습니다. 그래서 그들은 협상력을 다른 곳으로 옮겼습니다. 이제 공격자들은 시스템을 잠그기 전에 민감한 파일, 재무 기록, 직원 데이터, 고객 정보 등을 조용히 네트워크 밖으로 빼돌립니다. 암호화는 거의 부차적인 일이 되었고, 아예 생략되기도 합니다. 진짜 위협은 돈을 내지 않으면 훔친 데이터가 공개되는 유출 사이트입니다. 이것이 바로 보안 연구자들이 예의주시해 온 랜섬웨어 데이터 갈취 위협이며, ‘준비’의 의미 자체를 모든 규모의 조직에게 바꾸어 놓습니다.
이러한 패턴은 특정 지역이나 업종에만 국한되지 않습니다. 예를 들어, 인도의 랜섬웨어 사건 보도에 따르면 Proofpoint의 인도 랜섬웨어 활동 분석에 의하면 이제 대다수 공격이 순수한 암호화보다 데이터 절도를 수반합니다. 동일한 흐름이 우리 주변에서도, 세인트루이스 도시권에서도 벌어지고 있습니다.
세인트루이스 지역에서 알려진 사건들
세인트루이스 소재 IT 및 사이버보안 기업 CHR Solutions의 보도에 따르면, 최근 몇 달 사이에 랜섬웨어가 이 지역의 교육 시스템, 도시 네트워크, 현지 기업들을 강타했습니다. 지역 조직들과 직접 협력하여 보안 공백을 좁히고 있는 이 회사는 이 상황을 먼 곳의 뉴스가 아니라 반복되는 지역 문제로 규정합니다. 이용 가능한 보도에서 개별 사건의 구체적인 내용은 제한적이지만, 묘사된 패턴은 전국적으로 벌어지는 현상과 정확히 일치합니다. 공공 부문 네트워크와 중소규모 기업들이 빈번한 표적이 되며, 이는 대기업에 비해 전담 보안 자원이 적기 때문인 경우가 많습니다.
교육구와 지방자치단체 네트워크는 갈취 기반 공격에 특히 매력적인 표적입니다. 학생, 직원, 주민 기록 등 방대한 양의 개인 데이터를 보유하고 있으며, 운영 차질을 피해야 한다는 대중의 압력을 자주 받기 때문에 협상에 응할 가능성이 더 높습니다. 공격자 입장에서 협상력이 “파일 없이도 운영할 수 있나?”가 아니라 “이 데이터가 공개되는 것을 감당할 수 있나?”에 있다면, 지불 압박은 크게 증가합니다.
이중 갈취가 중소기업의 계산법을 어떻게 바꾸는가
이중 갈취, 즉 시스템을 암호화하는 동시에 훔친 데이터 유출을 위협하는 것은 소규모 조직에게 위험 방정식을 근본적으로 바꿉니다. 견고하고 검증된 백업을 갖춘 기업은 예전에는 복원과 재구축이라는 명확한 복구 경로가 있었습니다. 하지만 백업은 고객 계약서, 직원 사회보장번호, 독점적 사업 데이터가 유출 사이트에 게시되는 것을 막지 못합니다.
이는 백업만으로도 랜섬웨어 방어에 충분하다고 가정할 수 있는 중소기업에게 엄청난 의미를 갖습니다. 이런 유출 위협이 실제로 어떻게 전개되는지 보여주는 최근 사례는 Play 랜섬웨어 그룹이 Kreysler & Associates를 공격했다고 주장한 건으로, 이 그룹은 지불을 강제하기 위해 암호화에만 의존하는 대신 훔친 데이터를 공개하겠다고 위협하는 전형적인 운영 방식을 따랐습니다. 이와 같은 사례는 공격자가 보유한 협상력이 “시스템을 잠갔다”에서 “데이터를 가지고 있고 공개하겠다”로 이동했음을 보여줍니다. 이는 백업 복구만으로 해결할 수 없는 평판, 법적, 규제적 위험입니다.
전담 보안팀이 없는 소규모 조직에게 이 변화는 사고 대응 계획에 시스템 다운타임뿐 아니라 데이터 노출 시나리오를 포함해야 한다는 뜻입니다.
갈취 위험에 대응하는 실질적인 강화 조치
백업은 여전히 필수적이지만, 그 자체만으로는 더 이상 충분하지 않습니다. 갈취 위험을 진지하게 줄이려는 조직은 기존의 재해 복구를 넘어 몇 가지 영역에 집중해야 합니다.
- 공격자가 훔칠 수 있는 것 자체를 제한하세요. 가능한 곳에서는 데이터 보존 기간을 줄이고, 네트워크를 분할하여 하나의 계정이 탈취되더라도 모든 것에 접근하지 못하게 하세요.
- 암호화만이 아니라 데이터 유출을 감시하세요. 비정상적인 외부 데이터 전송을 탐지하는 도구는 파일이 네트워크를 떠나기 전에 공격을 잡아낼 수 있으며, 이는 암호화 중심 감시보다 더 이른 단계인 경우가 많습니다.
- ID 통제를 강화하세요. 다중 인증과 엄격하게 관리되는 특권 계정은 공격자가 데이터를 훔치기 위해 가장 먼저 확보해야 하는 초기 접근을 차단하는 가장 효과적인 장벽 중 하나입니다.
- 유출 위협을 다루는 사고 대응 계획을 수립하세요. 법무, 커뮤니케이션, 규제 신고 절차는 공격이 발생하기 전에 미리 정리해 두어야 합니다, 공격 중이 아니라.
이것이 여러분에게 의미하는 바
조직의 랜섬웨어 계획이 여전히 주로 백업 및 복원 절차에만 초점을 맞추고 있다면, 그것은 과거의 위협만을 상대하고 있는 것입니다. 랜섬웨어 데이터 갈취 위협은 진짜 위험이 여러분이 문제를 알아차리기도 전에 공격자가 이미 복사해간 것에 있는 경우가 많음을 뜻합니다. 이는 교육구이든, 지방 관공서이든, 고객 데이터를 다루는 소상공인이든 똑같이 적용됩니다. 자신이 표적이 되기에는 너무 작다고 가정하는 것은 더 이상 안전한 내기가 아닙니다. 소규모 조직은 바로 방어 체계가 부족하기 때문에 더 자주 선택됩니다.
핵심 요점
- 랜섬웨어 공격은 점점 더 순수한 암호화보다 데이터 절도와 유출 위협을 우선시하며, 이 패턴은 지역적·국제적으로 공통적으로 나타납니다.
- 백업을 통한 암호화 복구는 훔친 데이터의 공개 위험을 없애지 못합니다.
- 교육기관과 지방자치단체 네트워크를 포함한 중소 조직들은 제한적인 보안 자원으로 인해 여전히 빈번한 표적이 됩니다.
- 효과적인 방어에는 이제 데이터 유출 감시, 접근 통제 강화, 그리고 시스템 다운타임만이 아니라 공개 유출 가능성을 전제한 사고 대응 계획이 필요합니다.
