미국 정부 기관, 2TB 데이터 도난 후 카이로스에 100만 달러 지불

랜섬웨어 없이 이뤄진 6자리 수 지불

Ransom-ISAC가 발표한 사례 연구에 따르면, 미국 정부 기관이 카이로스(Kairos)라는 데이터 갈취 그룹에 약 100만 달러 상당의 비트코인을 지불했습니다. 2025년 6월 13일경 이루어진 이 지불이 눈에 띄는 이유는 카이로스가 시스템을 잠그기 위해 랜섬웨어를 배포하지 않았기 때문입니다. 대신, 이 그룹은 2TB 이상의 민감한 데이터를 훔친 후 기관이 돈을 내지 않으면 공개하겠다고 협박한 것으로 알려졌습니다.

이 차이는 중요합니다. 전통적인 랜섬웨어 공격은 파일을 암호화하고 복호화 키에 대한 대가를 요구하며, 이는 숨기기 어려운 가시적인 운영 중단을 초래합니다. 데이터 갈취는 다르게 작동합니다. 공격자는 조용히 파일을 빼낸 후 공개하겠다고 위협합니다. 충돌한 네트워크도 없고, 멈춰버린 화면에 표시되는 랜섬 노트도 없으며, 그저 은밀한 최후통첩과 카운트다운 시계만 존재합니다. 이 때문에 이러한 사건은 대중의 시야에서 감추기 쉽고, 외부 연구자나 감시 단체가 독립적으로 검증하기가 더 어렵습니다.

카이로스는 누구이며, 이 방식이 효과적인 이유는?

카이로스는 바로 이런 수법을 전문으로 하는 것으로 보입니다. 조직에 침투해 가능한 한 많은 데이터를 빼낸 다음, 업무 중단의 위협이 아닌 데이터 노출의 위협으로 금전을 갈취합니다. 이 그룹을 추적하는 보안 연구자들은 카이로스가 랜섬웨어를 배포한 사례를 확인한 적이 없는데, 이는 의도적인 전략적 선택임을 시사합니다. 갈취만 하는 공격은 실행 비용이 더 저렴하고, 실시간 탐지가 더 어려우며, 피해자가 암호화된 시스템을 재구축할 필요 없이 유출만 막으면 되기 때문에 재정적으로도 더 빨리 해결되는 경우가 많습니다.

정부 기관의 경우, 돈을 지불할지에 대한 판단은 특히 더 복잡합니다. 연방, 주, 지방 기관들은 일반적으로 몸값 지불을 장려하지 않으며, 그 이유는 지불금이 미래의 공격 자금으로 쓰이고 훔친 데이터가 실제로 삭제된다는 보장이 없기 때문입니다. 하지만 그 대안이 민감한 기록이 공개되는 것이라면, 일부 기관은 장기적인 선례보다 즉각적인 위험이 더 크다고 판단하는 것이 분명합니다. Ransom-ISAC의 보고서는 어떤 기관이 연루되었는지, 어떤 종류의 데이터가 도난당했는지, 그리고 그 지불이 실제로 데이터 공개를 막았는지 여부 등, 일반적으로 대중이 이 사건의 심각성을 평가하는 데 영향을 미칠 세부 사항을 밝히지 않았습니다.

정부의 지불이 개인정보보호 우려를 낳는 이유

여기서 핵심적인 개인정보보호 문제는 단순히 유출이 발생했다는 사실이 아닙니다. 대중이 기관 자체를 통해서가 아니라 위협 인텔리전스 보고서를 통해 이 사실을 알게 되었다는 점입니다. 데이터 사고에 대한 정부의 투명성은 기껏해야 일관성이 없으며, 갈취 전용 공격은 대중의 시야에서 벗어나 있기에 특히 유리합니다. 서비스를 중단시키고 공식적인 인정을 강제하는 랜섬웨어 공격과 달리, 조용한 데이터 탈취 대금 지불은 Ransom-ISAC과 같은 제3자가 이를 수면 위로 끌어올리지 않는 한, 뉴스 헤드라인에 오르지 않은 채 해결되고 종결될 수 있습니다.

이러한 패턴은 정부의 데이터 처리 및 공개를 둘러싼 더 광범위한 긴장감을 반영합니다. 데이터가 정부나 기업의 관리 하에 들어간 후 실제로 어떤 일이 일어나는지 대중이 얼마나 가시성을 확보하는가에 대한 질문, 즉 워런트 카나리아를 둘러싼 논쟁을 촉발하는 동일한 질문이 여기에도 직접적으로 적용됩니다. 기관이 유출의 범위를 공개하지 않고 은밀하게 갈취 그룹에 돈을 지불할 수 있다면, 영향을 받은 개인은 자신의 정보가 유출되었는지, 더 나아가 애초에 궁극적으로 유출되었는지조차 절대 알지 못할 수 있습니다.

이는 데이터 보호 정책을 둘러싼 지속적인 논쟁과도 연결됩니다. CLARITY 법안과 암호화 백도어에 대한 논의는 데이터 접근 및 암호화 표준에 대한 입법 결정이 민감한 기록이 얼마나 노출되는지에 직접적인 영향을 미친다는 점을 부각시킵니다. 더 취약한 암호화 표준이나 강제된 접근 지점은 데이터 탈취를 용이하게 만들고 이와 같은 대금 지불이 재발할 가능성을 높입니다.

이것이 여러분에게 의미하는 바

세금 신고, 복지 신청, 면허, 공공 기록 등 어떤 경로로든 미국 정부 기관과 상호 작용한다면, 여러분의 데이터는 바로 이런 종류의 갈취 시도의 표적이 되는 시스템에 존재할 수 있습니다. 이 지불 사실이 공식적인 공개가 아닌 제3자 위협 인텔리전스 보고를 통해 비로소 공개되었다는 사실은, 유출 사고의 영향을 받은 개인이 정상적인 경로를 통해 알지 못할 수도 있음을 의미합니다. 해당 기관이 공개보다 조용한 해결을 선택한다면, 침해 통지를 즉시, 혹은 전혀 받지 못할 수도 있습니다.

이는 공황 상태에 빠질 일이라는 의미는 아닙니다. 정부가 보유한 데이터를 다른 민감한 계정과 동일하게 취급하라는 뜻입니다. 즉, 언젠가 유출될 수 있다고 가정하고, 공식 통지가 절대 오지 않을 수도 있음을 염두에 두고 그에 맞춰 계획을 세우라는 의미입니다.

실천 가능한 조언

• 신용 보고서를 모니터링하고, 과거에 정부 기관에 민감한 정보를 제출한 적이 있다면 신용 동결을 고려하십시오. 침해 통지는 항상 시의적절하거나 완전하지 않습니다.
• 모든 정부 포털(세금, 복지, 면허)에 고유하고 강력한 비밀번호를 사용하고, 제공되는 경우 다중 인증을 활성화하십시오.
• 공식 기관의 발표뿐만 아니라 독립적인 보안 연구자와 위협 인텔리전스 그룹을 주시하십시오. 이와 같은 사건은 종종 외부 보고를 통해 먼저 수면 위로 드러나기 때문입니다.
• 데이터 갈취 대금 지불이 실제 영향을 받는 사람들에게 숨겨질 수 있기 때문에, 공공 부문 기관에 대한 더 명확한 침해 공개 요구 사항을 요구하는 목소리를 지지하십시오.

카이로스에 지불된 100만 달러는 데이터 갈취가 효과적이기 위해 랜섬웨어가 필요하지 않으며, 이러한 사건에 대한 정부의 투명성은 아직 갈 길이 멀다는 점을 상기시킵니다. 이러한 공격이 어떻게 작동하고, 공개는 어떻게 이루어지는지에 대해 계속 정보를 얻는 것이, 자신의 데이터가 타인의 손에 있을 때 개인이 스스로를 보호할 수 있는 몇 안 되는 도구 중 하나입니다.