스위스 법원이 네필림(Nefilim) 랜섬웨어 변종을 개발한 혐의로 유죄 판결을 받은 52세 우크라이나 남성에게 약 13년의 형을 선고하며, 2020년 슈타들러 레일(Stadler Rail)에 대한 사이버 공격으로 거슬러 올라가는 사건을 마무리 지었다. 이번 선고는 유럽 법정에서 진행된 랜섬웨어 기소 사례 중 상당히 중요한 사건 중 하나로, 랜섬웨어 작전이 실제로 어떻게 운영되는지, 그리고 피해자들이 몸값 지불을 거부했을 때 어떤 일이 벌어지는지를 보여주는 유용한 창을 제공한다.

악성코드 사건에서 랜섬웨어 유죄 판결로

2020년 슈타들러 레일이 공격을 받았을 당시, 회사는 처음에 "랜섬웨어"라는 단어를 사용하지 않았다. 당시 회사는 이 사건을 "데이터 유출로 이어졌을 가능성이 높은" 악성코드와 관련된 것으로만 설명했으며, 공격자들이 몸값이 지불되지 않으면 탈취한 파일을 공개하겠다고 위협하며 거액의 금전을 갈취하려 했다고 밝혔다. 슈타들러는 올해 별도의 사건 이후와 마찬가지로 당시에도 지불을 거부했다. 이러한 거부는 결국 공격에 사용된 네필림 랜섬웨어 코드 배후의 인물을 특정하게 된 형사 수사로 이어졌다.

네필림은 파일 암호화와 데이터 탈취를 결합한 랜섬웨어 계열의 물결 중 하나로, 이는 흔히 이중 갈취(double extortion)라고 불리는 전술이다. 피해자의 시스템을 단순히 잠그는 대신, 운영자들은 먼저 민감한 파일을 유출한 다음, 피해자가 지불하지 않으면 이를 공개적으로 게시하겠다고 위협했다. 이러한 접근 방식은 강력한 백업 전략으로도 공개 데이터 유출의 평판 및 규제적 여파를 막을 수 없었기 때문에 조직에 추가적인 압박을 가했다. 취리히 랜섬웨어 재판에 대한 이전 보도에서 검찰이 어떻게 사건을 구축했는지, 12년형을 구형했으나 법원이 결국 약 13년의 형을 선고했는지 자세히 다루었다.

이 사건이 스위스 너머에서 중요한 이유

긴 징역형으로 이어지는 랜섬웨어 기소는 상대적으로 드문데, 이는 주로 많은 운영자들이 범죄인 인도나 체포를 어렵게 만드는 관할권에서 활동하기 때문이다. 이 사건이 주목할 만한 이유는 신원이 확인 가능한 개인, 형사 재판, 그리고 스위스 법원이 선고한 상당한 형량으로 귀결되었다는 점이다. 이는 법 집행 기관과 검찰이 일부 상황에서는 랜섬웨어 코드를 개발자까지 성공적으로 추적하고 원래 공격이 있은 후 수년 뒤에 그 사람에게 책임을 물을 수 있음을 보여준다.

이 사건은 또한 랜섬웨어 사건에서 반복적으로 나타나는 패턴을 강화한다: 지불을 거부하는 피해자들이 반드시 더 나쁜 결과에 직면하지는 않으며, 몸값을 지불한다고 해서 탈취된 데이터가 유출되지 않는다는 보장이 없다는 것이다. 2020년에 그리고 올해에도 지불하지 않기로 한 슈타들러 레일의 결정은 일반적으로 랜섬웨어 작전에 자금을 대는 것에 반대하는 보안 연구원 및 법 집행 기관의 지침과 일치하는데, 지불은 침해를 되돌리지 못하고 종종 추가 범죄 활동에 자금을 지원하기 때문이다.

이것이 당신에게 의미하는 것

대부분의 독자에게 이 사건은 직접적인 위협은 아니지만, 랜섬웨어 작전이 실제로 배후에서 어떻게 작동하는지에 대한 알림이다. 슈타들러 레일에 대한 것과 같은 공격은 일반적으로 도난당한 자격 증명, 피싱 이메일, 또는 악용된 소프트웨어 취약점으로 시작되며, 막을 수 없는 힘 같은 것이 아니다. 랜섬웨어 코드를 작성하고 배포하는 개인들은 일부 경우에는 공격이 발생한 후 수년이 지나도 신원이 확인되고, 기소되고, 선고될 수 있는 사람들이다.

민감한 데이터를 다루는 조직에서 일한다면, 이 사건은 성공적인 침입이 암호화뿐만 아니라 데이터 탈취를 포함할 수 있다고 가정하는 것의 중요성을 강조한다. 백업 전략만으로는 충분하지 않다. 조직은 파일 유출 가능성을 고려한 사고 대응 계획을 갖추어야 하며, 랜섬웨어 공격이 발생하기 전에, 혼란스러운 공격 중이 아닌, 몸값 지불에 대한 입장을 결정해야 한다. 개인 사용자의 경우, 시사점은 우리가 오랫동안 권장해 온 것과 유사하다: 강력하고 고유한 비밀번호, 다중 인증, 그리고 이메일 첨부 파일과 링크의 신중한 처리가 랜섬웨어 공격을 가능하게 하는 초기 접근 기법에 대한 가장 효과적인 방어책으로 남아 있다.

핵심 요점

이번 선고는 랜섬웨어 운영자들이 손댈 수 없는 존재가 아니며, 인내심 있는 수사 작업이 결국 악성 코드 조각을 그것을 작성한 사람과 연결할 수 있음을 보여준다. 조직의 경우, 이 사건은 암호화만이 유일한 위험이라고 가정하기보다 몸값 요구를 거부하고 데이터 유출 시나리오에 대비하는 것의 가치를 강화한다. 개인의 경우, 랜섬웨어 공격이 거의 항상 평범한 보안 실패, 약한 비밀번호, 패치되지 않은 시스템, 또는 성공적인 피싱 시도로 시작되며, 이 모든 것이 기본적인 보안 위생으로 예방 가능하다는 것을 상기시켜 준다. 더 많은 랜섬웨어 사건이 법원을 통해 진행됨에 따라, 이러한 작전이 어떻게 자금이 조달되고, 운영되고, 궁극적으로 해체되는지에 대한 지속적인 조사가 이루어질 것으로 예상된다.