한 은행이 랜섬웨어 해커의 말을 그대로 믿었다

사이버 보안 보도에서 리버 뱅크(River Bank)로 확인된 미국 금융 기관이 랜섬웨어 공격자들이 고객 프로필, 내부 문서, 기밀 은행 기록을 포함한 수 테라바이트의 민감한 데이터를 훔친 후 중대한 사이버 보안 사고를 공시했다. 이 은행은 몸값을 지불한 후, 범죄 조직 스스로가 한 약속에 크게 의존하여 공격자들이 훔친 데이터를 삭제했다고 믿고 있다고 밝혔다.

이 세부 사항이 이 사건을 주목할 만하게 만든다. 랜섬웨어 협상은 종종 대금이 결제되면 훔친 파일이 삭제될 것이라는 약속으로 끝난다. 하지만 이러한 거래에는 독립적인 검증 절차가 내장되어 있지 않다. 범죄 조직의 말에 의존하는 은행이나 어떤 조직도 데이터가 사라졌는지 실제로 확인할 방법이 없다. 데이터는 복사되거나, 재판매되거나, 몇 달 후 2차 갈취 시도를 위해 보관될 수 있다.

랜섬웨어 갱단을 신뢰하는 것이 도박인 이유

랜섬웨어 운영은 합의 이행이 아니라 대금을 갈취하는 데 초점이 맞춰져 있다. 공격자들이 데이터를 유출한 순간, 모든 복사본은 그들의 통제하에 놓인다. 삭제 약속은 강제할 수 없으며, 피해 조직이 이행 여부를 확인할 수 있게 해주는 기술적 메커니즘도 없다. 설령 공격의 배후에 있는 특정 개인들이 자신의 사본을 삭제할 의도라 하더라도, 몸값이 요구되기도 전에 훔친 데이터는 제휴 네트워크, 초기 접근 브로커, 혹은 제3자 구매자를 통해 유통되는 경우가 많다. 하나의 사본을 삭제한다고 모든 사본이 사라지는 것은 아니다.

고객 프로필과 기밀 금융 기록을 다루는 은행에게 이는 엄청나게 중요한 문제다. 은행 데이터는 단순히 재설정할 수 있는 도난 비밀번호와 다르다. 계좌 번호, 거래 내역, 내부 컴플라이언스 문서는 침해 사실이 공개된 후에도 오랫동안 사기나 신원 도용에 악용될 가치를 지닌다. 기관이 규제 당국과 고객에게 데이터가 삭제되었다고 믿는다고 말하는 것은, 본질적으로 애초에 침입해서 정보를 훔쳐간 바로 그 행위자들을 신뢰하라고 대중에게 요구하는 셈이다.

이런 패턴은 이번 사건에만 국한된 것이 아니다. 보안 연구원들과 업계 보도는 랜섬웨어 그룹이 대금을 받고도 데이터를 보관, 재판매, 또는 유출하는 일이 빈번하다는 점을 거듭 보여주었다. 범죄 조직의 보증을 침해 사건 해결로 간주하는 것은, 검증되지 않은 주장을 넘어 실제로 데이터가 노출된 고객에게 금융 기관이 리스크를 전달하는 방식에 문제의 소지가 있는 선례를 남긴다.

이것이 여러분에게 의미하는 바

침해 사실을 공개한 기관과 거래하는 경우든, 아직 사고를 보고하지 않은 곳이라 해도, 공격자가 어떤 주장을 하든 랜섬웨어 공격에 연루된 모든 데이터는 영구적으로 노출된 것으로 간주하는 것이 가장 안전한 가정이다. 실제로 이는 다음과 같은 의미를 지닌다:

  • 계좌 내역과 신용 보고서를 면밀히 살펴서 낯선 활동이 없는지 확인하라. 특히 은행이 침해 사실을 공개한 후 몇 달 동안 더욱 주의를 기울여야 한다.
  • 온라인 뱅킹 비밀번호를 변경하고, 아직 설정하지 않았다면 다중 인증을 활성화하라. 도난당한 내부 문서에는 보안 질문 답변이나 자격 증명 재설정에 사용되는 정보가 포함되어 있을 수 있기 때문이다.
  • 본인의 은행, 계좌 번호, 최근 거래를 언급하는 원치 않은 전화, 문자, 이메일에 회의적인 태도를 취하라. 훔친 금융 데이터는 설득력 있는 피싱 시도를 만드는 데 자주 사용된다.
  • 공공 와이파이나 낯선 네트워크에서 온라인 뱅킹에 접속할 때는 VPN 사용을 고려하라. 연결을 암호화하면 기관 자체의 침해와 별개로 자격 증명이 가로채일 위험을 줄일 수 있다. Mozilla VPN 무료 평가판 같은 서비스는 암호화된 브라우징이 자신의 평소 뱅킹 습관에 맞는지 부담 없이 시험해 볼 수 있는 방법을 제공한다.

이러한 조치로 이미 발생한 침해를 되돌릴 수는 없지만, 도난당한 데이터가 직접적인 금전 피해로 이어질 가능성을 낮춰준다.

금융 기관을 위한 더 큰 그림

이 사건은 침해당한 조직이 대중과 소통하는 방식에서 더 큰 긴장감을 부각시킨다. 규제당국은 중대한 사이버 보안 사고의 공개를 점점 더 요구하고 있지만, 공개 규정은 조직이 공격자의 주장을 그대로 반복하기 전에 그 내용을 검증하도록 요구하지는 않는다. 은행이 고객에게 데이터가 삭제되었다고 믿는다고 말할 때, 그 진술은 증거보다는 희망에 더 가깝다. 민감한 고객 데이터를 다루는 금융 기관은 랜섬웨어 갱단의 이야기를 그대로 옮기는 대중 메시지 대신, 훔친 정보가 최악의 경우에도 보존되어 있다는 가정에 기반한 사고 대응 관행을 갖춰야 한다.

핵심 시사점

랜섬웨어 몸값 지불은 데이터 삭제를 보장하지 않으며, 어떤 은행이나 기업도 범죄 조직이 실제로 훔친 파일을 파기했는지 확인할 수 없다. 여러분의 금융 기관이 침해 사실을 공개했다면, 자신의 데이터가 무한정 노출된 것으로 간주하라. 계좌를 주시하고, 로그인 보안을 강화하며, 실제 계좌 정보를 언급하는 피싱 시도에 경계를 늦추지 마라. 랜섬웨어 행위자의 약속을 신뢰하는 것은 보안 전략이 될 수 없으며, 여러분의 전략이 되어서도 안 된다.