랜섬웨어의 공격 극복: 안정성의 시험

2025년은 랜섬웨어에 있어 유례없는 한 해였습니다. 아직도 5개월이나 남아 있고요. 🫠랜섬웨어는 영국의 리테일 기업에 큰 혼란을 초래했고, 아시아 태평양 지역의 헬스케어 기관을 파괴했으며, 라틴 아메리카의 정부를 무너뜨렸고, 북미의 교육 시스템을 그야말로 '혼쭐'냈습니다.

랜섬웨어는 범죄 조직, 핵티비스트, 그리고 초보 해커에게까지 여전히 막대한 수익을 안겨주는 비즈니스 모델입니다. 이들의 동기는 제각각이더라도요. (참고로 TrickBot 관련 랜섬웨어 변종만으로 이들이 갈취한 암호화폐 금액은 무려 7억 2,400만 달러에 달합니다. 정말 어마어마하죠.)

비관적이고 싶진 않지만, 현실은 꽤 암울합니다. 랜섬웨어 그룹은 몸값을 확실히 받아내기 위해 다양한 갈취 수법을 동원할 뿐만 아니라, 표적 선정도 점점 정교해지고 있어 위협 수준이 상당히 높아지고 있습니다. 하나의 기업을 여러 랜섬웨어 그룹이 동시에 표적으로 삼는 일도 흔하고, 기업이 글로벌하게 운영된다면 그 위협 또한 국경을 넘나들게 됩니다.

상황을 더 악화시키는 건 이들이 회피 기술에 아주 능하다는 점입니다. 기술적인 회피 수단은 물론, 법 집행기관을 따돌리는 방식도 상당히 교묘하죠. 게다가 그룹 이름이나 연계 관계가 계속 바뀌기 때문에 🎶이들의 범죄를 막는 일은 더욱 어려워지고 있습니다🎶.

하지만 2025년과 그 이후에 우리가 진짜로 집중해야 할 요소는 바로 안정성입니다. 민첩하게 대응하고, 위협을 신속히 식별하고, 빠르게 복구하는 데 중점을 둔 안정성 중심의 문화를 구축해야만 이런 디지털 범죄자들에게 당하지 않을 수 있습니다.

랜섬웨어에 당한 후의 평균 다운타임은 무려 21일입니다. 이는 기업에 막대한 경제적 손실과 평판 피해를 입히기에 충분한 기간이며, 피해 대상이 헬스케어 기관이라면 생명까지도 위협받을 수 있습니다.

전체 보고서를 읽는 것이 가장 좋지만, 지금 당장 시간이 없다면 SOTI 보고서라는 보물 상자에서 확인할 수 있는 주요 내용만 간략히 소개해 드리겠습니다.

공격자는 AI와 대규모 언어 모델(LLM)을 활용해 공격의 규모는 키우고, 정교함과 효율성은 높이고 있습니다. FunkSec 등의 랜섬웨어 그룹과 Forest Blizzard 및 Emerald Sleet와 같은 지능형 지속적 위협 그룹은 생성형 AI를 활용해 다양한 기법을 자동화하고 있습니다. 여기에는 악성 코드 생성, 그럴듯한 피싱 이메일 작성, 회사 직원을 사칭한 보이스피싱 수행, 피해자와 협상하는 챗봇 사용 등이 포함됩니다.

WormGPT, DarkGPT, FraudGPT 같은 신종 툴은 진입 장벽을 획기적으로 낮춰, 숙련되지 않은 공격자도 손쉽게 공격을 감행할 수 있는 환경을 조성하고 있습니다.

공격자는 단순히 데이터를 암호화하고 복호화를 대가로 랜섬을 요구하는 수준을 넘어섰습니다. 이제는 이중, 삼중, 사중 갈취 기법을 통해 압박 수위를 높이고 있습니다. 예를 들어, 고객 정보를 유출하겠다고 협박하고, DDoS(분산 서비스 거부) 공격으로 운영 중단을 유발하고, 언론에 유출 사실을 알리는 것을 포함해 비즈니스 파트너, 고객 등에게 협박 메시지를 전송하는 방식을 사용합니다.

랜섬웨어 공격자는 컴플라이언스를 무기화했습니다. 최근 트렌드 중 하나는 기업이 보안 규정이나 유출 공개 규정을 위반했다는 사실을 공개하겠다고 위협하는 것입니다. 이 경우, 피해 기업은 랜섬 요구액보다 훨씬 큰 벌금을 부과받을 수 있습니다.

RaaS(Ransomware as a Service)는 초기 REvil과 Ryuk 시절보다 크게 발전했습니다. RaaS가 기술적 진입 장벽을 극적으로 낮춰 랜섬웨어 운영을 혁신함에 따라 비전문가들도 오늘날 목격되는 성공적인 공격을 기획할 수 있게 되었습니다.

일부 랜섬웨어 그룹은 핵티비즘과 이익 추구의 경계를 모호하게 만들고 있습니다. 이러한 하이브리드 그룹은 RaaS 플랫폼을 단순히 금전적 이익을 추구하기 위해 활용하는 것뿐 아니라 이념 또는 정치적 목표를 달성하기 위해 활용하고 있습니다.

Stormous, DragonForce, KillSec, CyberVolk, Dragon RaaS와 같은 그룹은 전 세계의 민간 기업, 정부 기관, 핵심 인프라에 파괴적인 공격을 가해 왔습니다.

SOTI 보고서에는 Akamai의 보안 슈퍼히어로인 Or Zuckerman, Maor Dahan, James Casey가 작성한 다음과 같은 특정 주제를 심층적으로 다루는 특별 보안 스포트라이트도 포함되어 있습니다.

• Wizard Spider(일명 TrickBot)는 헬스케어 시스템을 비롯한 중요 인프라를 표적으로 삼는 금전적 동기의 사이버 범죄 그룹으로, 러시아 정보기관과의 연계가 있는 것으로 알려져 있습니다.

• 크립토마이닝 멀웨어(크립토재커)는 피해자의 리소스를 몰래 이용해 암호화폐를 채굴함으로써 이익을 취하는 멀웨어로, 현재 전 세계 사이버 범죄의 상당 부분을 차지하고 있습니다.

• 랜섬웨어와 법적 대응: 급변하는 랜섬웨어 수법에 대응하기 위해 입법기관과 규제 당국은 관련 법적 프레임워크를 마련하고 있으며, 특히 몸값 지불을 억제하려는 법적 조치들이 주목받고 있습니다.

사이버 보험료가 급격히 상승하고 기업의 사이버 보안 기능에 대한 감사 빈도가 증가함에 따라 기업은 랜섬웨어 안정성을 강화하기 위한 전략을 수립해야 합니다. 이는 최악의 시나리오를 대비해 랜섬웨어 지불 협상 및 대응 전략을 명확히 수립하는 것을 의미합니다.

범죄 랜섬웨어 경제는 역동적이며 이러한 위협에 대응하기 위해서는 그와 같은 민첩성이 필요합니다. 기업은 자신을 보호하기 위해 사이버 안정성을 재정의하고 포괄적인 보호를 달성하기 위한 실용적인 프레임워크를 구현해야 합니다. 랜섬웨어 위협의 현황을 이해하는 것은 그 과정의 중요한 첫 번째 단계입니다.