스위스 열차 제조업체 스타들러 레일(Stadler Rail)이 공격자들이 공급업체의 파일 공유 플랫폼을 통해 기술 데이터를 탈취한 후, 에베레스트(Everest) 갈취단이 요구한 1,230만 달러(1,000만 스위스 프랑, ₣10,000,000)의 몸값 지불을 거부했다고 확인했습니다. 이 사실은 별도이지만 관련된 또 다른 사건과 동시에 알려졌습니다. 러시아 정부 연계 그룹 론드리 베어(Laundry Bear)가 패치되지 않은 짐브라(Zimbra) 이메일 서버를 표적으로 삼고 있다는 것입니다. 두 이야기는 러시아 연계 위협 행위자들이 어떻게 산업 공급망을 겨냥한 작전과 기업 이메일 인프라를 겨냥한 작전을 병행하고 있는지, 그리고 모든 규모의 조직이 왜 이 두 가지 모두를 심각하게 받아들여야 하는지를 보여줍니다.

스타들러 레일의 거부 배경에 있는 랜섬웨어 공격

Record의 보도에 따르면, 에베레스트 랜섬웨어 갱단은 스타들러 레일의 기술 데이터를 탈취한 책임을 주장했습니다. 열차 제조업체의 자체 네트워크를 직접 침해한 것이 아니라, 협력업체 중 하나가 운영하는 파일 공유 플랫폼을 침해한 방식이었습니다. 에베레스트는 훔친 파일을 유출하거나 판매하지 않는 대가로 약 1,230만 달러를 요구했습니다. 스타들러 레일은 지불을 거부했습니다.

이는 의미 있는 결정입니다. 몸값 거부는 흔히 단순한 저항 행위로 비춰지지만, 실제 운영상의 위험을 수반합니다. 갱단이 위협을 실행에 옮기면, 탈취된 기술 데이터(엔지니어링 도면, 협력업체 세부 정보, 내부 문서)가 경쟁사나 다른 범죄 조직에 유출되거나 판매될 수 있습니다. 스타들러 레일의 지불 거부 선택은 많은 대형 산업 기업들 사이에서 일어나고 있는 더 광범위한 변화를 반영합니다. 이제 이들 기업은 몸값 지불을 근본적인 노출 문제를 해결하기보다는 범죄 비즈니스 모델에 보상하는 행위로 간주하고 있습니다.

공급업체 침해가 직접 해킹만큼 중요한 이유

이 사례가 특히 교훈적인 이유는 최초 침해 지점이 스타들러 레일 자체 인프라가 아닌 협력업체의 파일 공유 시스템이었다는 점입니다. 이는 현대 랜섬웨어 공격에서 흔히 볼 수 있는 패턴입니다. 범죄 집단은 방어가 잘 된 주요 목표물을 정면으로 공격하기보다 공급망에서 가장 취약한 연결 고리를 점점 더 노리고 있습니다. 접근 통제가 느슨하거나 소프트웨어가 패치되지 않은 단일 협력업체가 훨씬 더 큰 데이터 탈취 작전의 진입점이 될 수 있습니다.

이러한 역학은 철도 산업에만 국한된 것이 아닙니다. 공급망 침해는 이전에도 신뢰할 수 있는 서드파티 소프트웨어를 통해 민감한 정부 및 기업 데이터를 노출시킨 사례가 있습니다. 모든 Treasury.gov 이메일을 노출시킨 SolarWinds 해킹의 여파에서 볼 수 있듯이 말입니다. 교훈은 일관됩니다. 조직의 보안 태세는 데이터를 공유하는 협력업체와 파트너사만큼만 강력하다는 것입니다.

러시아 연계 론드리 베어, 짐브라 서버 압박 가중

스타들러 레일 사건과 함께, 러시아 연계 위협 그룹 론드리 베어가 패치되지 않은 짐브라 이메일 서버를 표적으로 삼고 있다는 보도가 나왔습니다. 패치되지 않은 협업 및 웹메일 소프트웨어는 오랫동안 자격 증명을 수집하거나 조직의 통신에 지속적으로 접근하려는 국가 연계 행위자들이 선호하는 진입점이었습니다.

이 캠페인은 보안 기관들이 반복해서 지적해 온 패턴과 일치합니다. GCHQ 국장은 최근 최근 기억에 남는 가장 직접적인 경고 중 하나를 통해 주요 인프라와 민주주의 기관을 겨냥한 러시아의 끊임없는 사이버 작전에 대해 경고했습니다. 별도로, 미국 당국은 러시아 군사 정보 기관 GRU와 연계된 손상된 라우터 네트워크를 차단했습니다. 목표물이 철도 제조업체의 협력업체든 패치되지 않은 이메일 서버든, 공통된 맥락은 같습니다. 러시아 연계 그룹은 주목을 끄는 정부 네트워크뿐만 아니라 광범위하게 사용되지만 간과되기 쉬운 인프라를 탐색하여 접근을 시도하고 있습니다.

이것이 의미하는 바

대부분의 독자는 짐브라 서버를 운영하거나 열차를 제조하지 않겠지만, 이 이야기의 근본적인 위험은 광범위하게 적용됩니다. 여행 예약 플랫폼부터 로열티 프로그램까지, 데이터를 서드파티 공급업체와 공유하는 모든 서비스를 이용한다면, 그 데이터는 해당 공급업체의 방어 수준만큼만 안전합니다. 한 번도 들어본 적 없는 공급업체의 침해 사고도 기업 계정, 공유 파일 또는 사용자를 대신해 처리되는 개인 정보 등 사용자와 연결된 정보를 노출시킬 수 있습니다.

기업이 얻을 교훈도 마찬가지로 직접적입니다. 패치 관리와 협력업체 감독은 선택 사항이 아닙니다. 이메일 서버든 파일 공유 도구든, 패치되지 않은 소프트웨어는 여전히 공격자가 거점을 확보하는 가장 흔한 방법 중 하나이며, 몸값 지불 거부는 공격자가 침입할 수 있게 한 근본적인 취약점이 실제로 해결될 때만 장기적인 억지책으로 작동합니다.

실천 가능한 조치

  • 협력업체나 공급업체와 협력하는 경우, 자체 네트워크뿐 아니라 공유 파일 시스템에 대한 패치 처리 방식과 접근 통제 방식을 문의하세요.
  • 조직이 직접 해킹당하지 않았더라도 협력업체 침해 통지를 심각하게 받아들이세요. 데이터는 여전히 제3자를 통해 노출될 수 있습니다.
  • 협업 및 이메일 서버 소프트웨어를 신속하게 최신 상태로 유지하세요. 패치되지 않은 시스템은 랜섬웨어 공격과 국가 연계 침입 모두에게 여전히 최고의 진입점입니다.
  • 가능한 경우 몸값을 지불하지 않는 정책을 지지하세요. 지불은 추가 공격 자금을 제공할 수 있으며, 어차피 데이터가 유출되지 않는다는 보장도 없습니다.
  • 주요 인프라와 기업 소프트웨어에 영향을 미치는 러시아 연계 사이버 활동에 대한 정보를 지속적으로 확인하세요. 이러한 캠페인은 고립된 피해자보다 널리 사용되는 도구를 표적으로 삼는 경우가 많기 때문입니다.