랜섬웨어 갱단, 경영진 사무실 건너뛴다

수년간 보안 인식 교육은 CEO, CFO 등 최고 경영진을 표적 공격으로부터 보호하는 데 초점을 맞춰왔다. 새로운 연구는 랜섬웨어 운영자들이 이미 다른 곳으로 이동했음을 시사한다. Zscaler의 ThreatLabz 연구팀 데이터에 따르면, 공격자들은 최고 경영진보다는 평균 46세의 중간 관리자급 IT 및 비즈니스 관리자를 점점 더 노리고 있다.

이 결과는 351명의 피해자를 분석한 단일 랜섬웨어 캠페인에서 나왔다. 이 집단 중 62%는 관리자 직급 이상, 특히 지급 및 재무 결정 권한이 있는 역할이었다. 이 디테일이 중요하다. 랜섬웨어는 오직 지급을 승인할 수 있는 누군가가 그렇게 할 만큼 충분한 압박을 느낄 때만 비즈니스 모델로 성립한다. 공격자들은 예산 승인, 벤더 계약, IT 인프라를 통제하는 중간 관리자가 일상적인 지급 결정에서 여러 단계 떨어져 있을 수 있는 CEO에게 접근하려고 애쓰는 것보다 더 빠른 대금 지급 경로인 경우가 많다는 결론을 내린 것으로 보인다.

IT 관리자가 완벽한 표적이 되는 이유

중간 관리자로의 이동은 공격자들이 작전을 계획하는 방식의 변화를 반영한다. ThreatLabz 데이터에 따르면, 무차별 피싱 이메일을 대량 발송해 누군가 걸려들길 바라는 대신, 이 캠페인에는 사전에 조직 구조를 파악하는 작업이 포함된다. 공격자들은 조직도에서 누가 어디에 위치하는지, 누가 지급 권한을 가졌는지, 그리고 침해될 경우 실질적 피해를 줄 만한 기술적 접근 권한을 누가 가졌는지 식별한다. 그런 정보 수집을 통해 그들은 매우 특정한 유형의 직원 — 중요할 만큼 시니어이지만, 보좌진과 보안 프로토콜로 둘러싸일 만큼 너무 높지는 않은 직원 — 을 겨냥한 개인화된 사회공학적 접근을 만들 수 있다.

이러한 접근 방식은 3건 중 2건의 사례에서 관리자를 노린 랜섬웨어 캠페인에서 다룬 더 넓은 추세와도 맞물리며, 별도 사건에서도 임원이 아닌 관리직이 피해자의 대부분을 차지했다는 유사한 발견을 보여준다. 이들 보고서는 우연이 아닌 의도적인 전략을 가리킨다. IT 관리자와 부서장은 랜섬웨어 운영자들이 원하는 접근 권한과 권한을 정확히 혼합해 갖추고 있는 경우가 많다: 관리자 자격 증명, 백업 시스템에 대한 지식, 전체 리더십 팀의 승인 없이도 지급을 승인할 수 있는 능력 말이다.

대부분의 보도가 놓친 프라이버시 측면

이러한 변화가 프라이버시 관점에서 주목할 만한 이유는 공격 대상 선정이 공개적으로 이용 가능한 정보에 얼마나 의존하는지에 있다. 정확한 조직도를 만들고, 직함을 식별하고, 누가 지급을 통제하는지 알아내려면 공격자들은 일반적으로 전문 네트워킹 사이트, 회사 디렉토리, 보도 자료, 때로는 데이터 브로커 서비스에서 데이터를 끌어와야 한다. 직원의 공개 프로필이 더 상세할수록, 공격자가 설득력 있는 구실을 만들기 더 쉬워진다.

이것은 또한 랜섬웨어가 성장하는 기업 접근 권한 탈취 시장과 겹치는 지점이기도 하다. 표적 피싱 메시지를 계획하는 데 사용된 조직 정보의 일부는 범죄 포럼에서 판매되는 침해된 자격 증명이나 접근 권한에서 비롯될 수 있는데, 이는 우크라이나를 염탐하면서 훔친 기업 접근 권한을 판매한 러시아 해커에 관한 보고서에서 탐구된 역학이다. 공격자가 거점이나 상세한 직원 프로필을 확보하면, 대량 피싱 캠페인 시대보다 훨씬 쉽게 특정 관리자에게 맞춤형 랜섬웨어 미끼를 제작할 수 있다.

이것이 왜 중요한가

IT 관리, 운영, 혹은 지급이나 시스템 접근 권한이 있는 역할에 종사한다면, 이번 연구는 여러분이 이전에 생각했던 것보다 더 매력적인 표적일 수 있음을 시사한다. 몇 가지 실질적인 조치로 노출을 줄일 수 있다:

  • 고용주, 링크드인 프로필, 또는 경력 소개서에 본인의 구체적 책임과 접근 수준에 관해 무엇이 드러나는지 검토하라.
  • 알려진 연락처나 벤더에서 온 것처럼 보여도 직무, 예산 권한, 내부 시스템을 언급하는 예상치 못한 메시지를 각별히 주의하라.
  • 아무리 긴급해 보여도 모든 지급이나 시스템 변경 요청은 조치 전에 별도의 확인된 채널로 확인하라.
  • 공격자들이 항상 경영진만 노린다고 가정하지 말고 조직 전체의 백업 및 사고 대응 계획을 추진하라. 2026년에 흔해진 다중 갈취 랜섬웨어 플레이북이 보여주듯 백업만으로는 더 이상 충분한 안전망이 아니다.

핵심 요지

랜섬웨어 운영자들은 합법적 마케터들이 하는 것과 같은 방식으로 타겟팅을 정교화하고 있다: 실제로 의사 결정 권한을 가진 사람이 누구인지 식별하고 그들에게 직접 접근하는 것이다. Zscaler ThreatLabz의 발견은 이제 경영진뿐 아니라 중간 IT 및 비즈니스 관리자들이 확실히 표적의 중심에 놓였음을 분명히 보여준다. 전담 보안 팀이 없는 소규모 조직은 여기서 특히 위험에 직면하며, 그렇기에 중소기업을 위한 2026년 랜섬웨어 가이드와 같은 자료는 회사 규모나 위치와 관계없이 검토할 가치가 있다.

교훈은 공황 상태에 빠지라는 것이 아니라, 직함과 접근 수준이 이제 일종의 표적 프로필로 기능한다는 점을 인식하라는 것이다. 공개적 발자국을 줄이고, 비정상적 요청을 검증하며, 더 강력한 조직 대응 계획을 추진하는 것은 모든 관리자가 오늘부터 실천할 수 있는 실질적이고 달성 가능한 조치다.