티알프 빙상 경기장, 더 젠틀맨 랜섬웨어 갱단의 공격을 받다

티알프 빙상 경기장에 무슨 일이 일어났나

세계적으로 스피드 스케이팅 선수권 대회 개최로 유명한 네덜란드의 유명 빙상 경기장 티알프(Thialf)가 사이버공격의 최신 피해자가 되었습니다. 마이크로소프트에 따르면, 침입 배후 그룹인 '더 젠틀맨(The Gentlemen)'이라는 조직이 경기장의 데이터를 탈취했으며, 며칠 안에 몸값을 지불하지 않으면 다크웹에 이를 공개하겠다고 협박하고 있습니다.

이는 이중 갈취 랜섬웨어 갱단의 전형적인 사례입니다. 공격자는 파일을 단순히 암호화하는 데 그치지 않고, 먼저 민감한 데이터를 훔친 다음 공개 협박을 지렛대로 삼습니다. 티알프와 같은 기관이라면, 기한 내에 지불이 이루어지지 않을 경우 직원 기록, 재무 정보, 티켓팅 데이터 또는 기타 운영 세부 사항이 범죄 포럼에서 판매되거나 무료로 다운로드될 수 있습니다.

더 젠틀맨의 이중 갈취 방식은 어떻게 작동하나

이중 갈취 수법은 대부분의 주요 랜섬웨어 작전에서 기본 접근 방식이 되었으며, 더 젠틀맨도 수많은 다른 사례에서 기록된 것과 동일한 패턴을 따르는 것으로 보입니다. 먼저 공격자는 네트워크에 침입하여 암호화를 배포하기 전에 조용히 데이터를 빼냅니다. 데이터를 안전하게 확보한 후에야 피해자의 시스템을 잠그고 모습을 드러내며, 카운트다운 타이머와 탈취한 데이터의 증거로 다크웹 유출 사이트를 함께 제시하는 경우가 많습니다.

이 양방향 압박 전술은 피해자의 가장 쉬운 탈출구를 막기 위해 고안되었습니다. 견고한 백업을 갖추고 몸값 없이 암호화된 시스템을 복구할 수 있는 조직조차도 도난당한 파일의 공개라는 두 번째 위협에 직면하게 됩니다. 이러한 조합 덕분에 이중 갈취는 암호화만 단독으로 사용하던 구식 단일 위협 모델보다 훨씬 효과적이며, 보안 연구자들이 백업은 필요하지만 더 이상 그 자체로 충분하지 않다고 경고하는 이유입니다.

서비스형 랜섬웨어와 제휴자 모집 설명

더 젠틀맨과 같은 그룹을 근절하기 어렵게 만드는 것은 그들이 하나의 긴밀하게 통제된 조직으로 운영되지 않는다는 점입니다. 마이크로소프트의 분석에 따르면, 이 그룹은 서비스형 랜섬웨어(RaaS) 계약을 통해 제휴자를 모집하여 규모를 확장해 왔습니다. 이 사업 모델에서는 핵심 팀이 악성코드, 협상 인프라, 유출 사이트를 구축하고 유지 관리한 다음, 이 도구 키트를 실제 침해를 수행하는 독립된 제휴자에게 대여합니다.

이 프랜차이즈식 구조는 몸값이 반드시 한 명의 배후 조종자에게만 돌아가는 것이 아니라는 의미입니다. 몸값은 개발자와 해당 공격을 수행한 제휴자 간에 분배되며, 이는 법 집행 기관이 한 그룹을 소탕하더라도 근본적인 위협은 거의 사라지지 않음을 뜻합니다. 제휴자들은 단순히 다른 서비스형 랜섬웨어 브랜드로 옮겨 활동을 계속할 뿐입니다. 이는 회복력을 염두에 둔 사업 모델이며, 개별 갱단이 흥망성쇠를 거듭하는 와중에도 랜섬웨어가 지속적인 문제로 남아 있는 이유 중 하나입니다. Conti 랜섬웨어 갱단에 관한 BBC 팟캐스트 심층 보도에서 유출된 내부 대화는 이러한 작전이 배후에서 얼마나 기업적이고 위계적인지 보여주는 드문 사례를 제공했습니다.

VPN만으로는 랜섬웨어를 막을 수 없는 이유와 실제 도움이 되는 것

많은 보도에서 모호하게 넘어가는 부분을 분명히 짚고 넘어갈 필요가 있습니다. VPN은 이와 같은 공격을 막지 못했을 것이며, 어떤 단일 도구도 완벽한 해결책은 될 수 없습니다. 랜섬웨어 갱단은 일반적으로 피싱 이메일, 탈취된 자격 증명, 패치되지 않은 소프트웨어, 또는 노출된 원격 액세스 서비스를 통해 침입하지, 소비자용 VPN이 해결하도록 설계된 허점을 통하지는 않습니다. 조직에는 이 대신 계층화된 방어가 필요합니다. 다중 인증, 네트워크 세분화, 정기적인 오프라인 백업, 엔드포인트 탐지 도구, 피싱 시도를 식별하기 위한 직원 교육 등이 그 예입니다.

몸값 지불 여부 결정은 진정으로 어려워지는 지점이며, 지불이 깔끔한 해결을 보장한다고 기대하는 이들에게는 관련 데이터가 낙관적이지 않습니다. Proofpoint가 보도한 랜섬웨어 지불자가 종종 다시 공격받는다는 보고서에 따르면, 한 번 지불한 조직 중 상당수가 두 번째 표적이 되는 것으로 나타났습니다. 이는 지불이 피해자를 쉬운 표적으로 낙인찍을 수 있으며 사건을 종결짓지 못할 수 있음을 시사합니다. 모든 조직이 굴복하는 것은 아닙니다. 스위스 제조사 Stadler Rail은 에베레스트 갱단의 1,230만 달러 몸값 요구를 공개적으로 거부하여, 거절이 어렵지만 실행 가능한 길임을 보여주었습니다.

이것이 여러분께 의미하는 바

대부분의 독자에게 티알프 사건은 직접적인 위협은 아니지만, 현대 랜섬웨어 작전이 어떻게 작동하며 왜 계속 성공하는지 상기시키는 유용한 계기가 됩니다. 특히 고객, 직원, 방문객 데이터를 취급하는 조직에서 일하고 있다면, 예방은 공격자의 카운트다운 시계가 시작되기 훨씬 전에 이루어져야 한다는 교훈을 얻을 수 있습니다. 만약 티알프 방문객, 직원 또는 파트너로 자신의 데이터가 걱정된다면, 경기장의 공식 커뮤니케이션을 주시하고, 이번 침해 사건을 언급하는 피싱 시도에 경계하십시오. 공격자와 기회주의자들은 유출 소식을 후속 사기에 악용하는 경우가 많기 때문입니다.

실천 가능한 조언

• 자신의 데이터를 보유한 모든 조직이 이중 갈취 랜섬웨어 갱단의 표적이 될 수 있다고 가정하고, 상호작용하는 기업에 사고 대응 및 데이터 보호 관행은 어떤지 물어보십시오.
• IT 시스템을 관리한다면, VPN을 포함한 단일 보안 제품보다 다중 인증, 패치 적용, 오프라인 백업에 우선순위를 두십시오.
• 몸값 지불이 사건을 깔끔하게 해결할 것이라고 믿지 마십시오. 증거에 따르면 지불한 조직 사이에서 재표적화가 흔합니다.
• 티알프 침해나 유사한 사건을 언급하는 피싱 이메일에 주의하십시오. 공격자들은 종종 공개된 침해 소식을 후속 사기에 악용합니다.
• 피해 조직이 앞으로 어떻게 대응하는지 지켜보십시오. 지불 여부에 대한 티알프의 결정은 몸값 지불을 둘러싼 진행 중인 논쟁에 또 다른 데이터 포인트를 추가할 것입니다.

서비스형 랜섬웨어 작전을 펼치는 더 젠틀맨과 같은 단체가 계속 제휴자를 모집하고 이중 갈취 전술을 다듬으면서, 티알프에서 발생한 것과 같은 사건은 앞으로도 계속 헤드라인을 장식할 가능성이 높습니다. 이러한 공격이 어떻게 전개되는지 정보를 접하고, 의존하는 조직들이 예방을 진지하게 받아들이도록 요구하는 것이 대중에게 주어진 가장 실질적인 조치 중 하나입니다.