랜섬웨어 위협과 조직의 대응 체계

데이터 암호화가 사업 연속성 문제로 번지는 방식

랜섬웨어(Ransomware)는 중요 데이터를 암호화해 접근을 막고, 그 대가로 주로 암호화폐 형태의 금전을 요구하는 악성 소프트웨어다. 이름은 몸값(Ransom)과 소프트웨어(Software)를 합친 말에서 왔다.

일반적인 흐름은 시스템 침투, 파일 암호화, 몸값 요구, 지불 시 복호화 키 제공으로 이어진다. 강력한 암호화 알고리즘과 익명 결제 수단을 사용하며, 지불 기한을 설정하는 경우도 있다. 다만 지불 뒤 복호화 도구 제공은 보장되지 않는다.

단순 암호화에서 서비스형 공격으로 바뀐 흐름

초기 랜섬웨어로 알려진 AIDS 트로이 목마는 1989년부터 2000년대 초까지 단순한 대칭키 암호화를 사용했다. 2000년대 중반부터 2010년대 초에는 GPCode와 WinLock이 등장하며 암호화 기법이 더 정교해졌다.

2013년 이후에는 CryptoLocker가 비대칭 암호화 방식과 비트코인 결제를 도입했다. WannaCry는 2017년 전 세계 150개국에서 230,000대 이상 컴퓨터를 감염시켰고, NotPetya는 우크라이나를 중심으로 글로벌 기업을 타격하면서 복구 불가능한 파괴적 특성을 보였다. 2020년대에는 REvil, Ryuk, DarkSide 등을 통해 RaaS(Ransomware-as-a-Service) 모델이 확산됐다.

침투 지점은 이메일부터 공급망까지 넓다

랜섬웨어는 이메일 피싱, 취약한 RDP 서비스, 악성 광고나 웹사이트, 소프트웨어 취약점, 공급망 공격을 통해 유입될 수 있다. 피싱에서는 첨부파일 실행과 악성 링크 클릭이, RDP에서는 무차별 대입 공격과 취약한 자격증명이 주요 문제가 된다. 패치되지 않은 시스템도 공격 경로가 된다.

⤢✕

암호화형(Crypto Ransomware)은 가장 일반적인 형태로, 파일을 암호화한 뒤 복호화 키 제공 조건으로 금전을 요구한다. WannaCry, CryptoLocker, Ryuk이 이 유형의 사례다.

잠금형(Locker Ransomware)은 파일보다 시스템 접근 자체와 사용자 인터페이스를 차단한다. Reveton과 WinLock이 이에 속한다.

이중 갈취(Double Extortion)는 암호화와 데이터 유출 위협을 함께 사용한다. 몸값이 지불되지 않으면 데이터를 공개하겠다고 협박하며, Maze, Conti, DarkSide가 사례로 언급된다.

모바일 랜섬웨어는 스마트폰 등 모바일 기기를 대상으로 하며 Android.Lockdroid가 사례다. RaaS는 개발자가 공격자에게 랜섬웨어를 서비스 형태로 제공하고 수익을 분배하는 모델로, REvil, DarkSide, BlackMatter가 사례다.

암호화 이전에 일어나는 공격 단계

공격은 악성 이메일이나 링크 전송으로 시작할 수 있다. 피해자가 의도치 않게 악성코드를 실행하면 시스템은 파일을 스캔하고 암호화를 진행하며, 이후 랜섬노트를 표시한다. 피해자는 몸값을 지불할지 선택하고, 공격자는 복호화 도구를 제공할 수 있다.

⤢✕

실제 공격은 초기 침투 뒤 네트워크 내부의 다른 시스템으로 측면 이동하고, 시스템 관리자 권한을 탈취하는 권한 상승으로 이어질 수 있다. 이중 갈취를 위해 암호화 전에 중요 데이터를 빼내기도 한다.

파일 암호화에는 주로 AES, RSA 등 강력한 암호화 알고리즘이 사용된다. 랜섬노트에는 지불 방법, 금액, 시간제한 등이 안내되며, 협상과 지불은 암호화폐 지갑을 통한 익명 거래로 이뤄질 수 있다.

예방부터 복구까지 연결하는 방어 체계

백업은 복구 가능성을 확보하는 핵심 수단이다. 3-2-1 백업 원칙은 3개 복사본을 2개 다른 매체에 두고, 1개는 오프라인으로 보관하는 방식이다. 정기적인 백업과 복원 테스트, 에어갭(Air-gapped) 백업 구현이 함께 필요하다.

운영체제와 소프트웨어를 정기적으로 패치하고 취약점 관리 프로그램을 운영해야 한다. 사용자는 피싱을 인식할 수 있어야 하며, 의심스러운 이메일과 첨부파일을 처리하는 방법을 알아야 한다. 이메일 필터링·스팸 차단, 웹 필터링, 엔드포인트 보호, 네트워크 세분화(Network Segmentation)도 기술적 통제에 포함된다.

⤢✕

사고 대응을 준비할 때는 대응팀을 구성하고 절차를 문서화하며 복구 자원을 확보한다. 탐지와 분석 단계에서는 침해 지표(IoC)를 모니터링하고 랜섬웨어 종류와 피해 범위를 식별한다.

봉쇄와 근절에서는 감염 시스템을 격리해 추가 확산을 막고 감염원을 제거한다. 이후 백업에서 데이터를 복원하고 시스템을 재구축해 정상 운영을 확인한다. 사고 분석과 문서화, 재발 방지 대책 수립, 보안 통제 개선까지가 사후 활동에 해당한다.

사건이 남긴 운영상 경고

WannaCry (2017)

WannaCry는 EternalBlue 취약점(MS17-010)을 활용했다. SMB 프로토콜 취약점을 통해 웜 형태로 전파됐으며, 150개국에서 230,000대 이상 시스템을 감염시키고 40억 달러 이상 피해를 냈다. 적시 패치 관리와 레거시 시스템 관리의 필요성을 드러낸 사례다.

Colonial Pipeline (2021)

Colonial Pipeline 사건의 공격자는 DarkSide 랜섬웨어 그룹으로 알려졌다. VPN 계정 유출과 다중 인증 미적용이 공격 경로였으며, 미국 동부 연안의 연료 공급이 중단되고 450만 달러의 몸값이 지불됐다. 중요 인프라 보안과 OT/IT 네트워크 분리의 필요성을 보여준다.

Kaseya (2021)

Kaseya 사건은 REvil 랜섬웨어 그룹이 수행한 공급망 공격(Supply Chain Attack)이다. 전 세계 1,500개 이상 기업이 감염됐고 요구 금액은 7,000만 달러였다. 공급망 보안과 제3자 위험 관리가 공격 대응 범위에 포함돼야 함을 보여준다.

몸값 지급과 국제 공조의 문제

몸값 지급은 추가 공격을 유발할 수 있다는 점에서 논쟁의 대상이다. 일부 국가에서는 제재 대상 단체에 지급할 경우 법적 문제가 발생할 수 있으며, OFAC(미 재무부 해외자산통제국) 가이드라인도 고려해야 한다.

랜섬웨어 증가는 사이버 보험료 상승과 보장 범위 축소로 이어졌고, 보험사는 몸값 지급 조건을 강화하고 있다. 국제 사법기관은 인터폴, 유로폴 등을 통한 공조를 진행하며 암호화폐 추적 기술도 발전하고 있다.

공격과 방어가 함께 고도화되는 환경

공격 측면에서는 AI/ML 기반 자동화된 공격, 제로데이 취약점 악용 증가, 표적 공격(Targeted Attacks) 확대가 예상된다. 방어 측면에서는 행위 기반 탐지 기술, 딥러닝 기반 예방 솔루션, 블록체인 기반 데이터 보호가 발전하는 방향이다.

랜섬웨어 관련 법제화와 사이버 보안 인증제도는 강화되고, 국제 공조 체계도 발전할 전망이다. 조직은 감염 가능성이 아닌 감염 시기의 문제라는 관점에서 예방과 사후 대응 계획을 균형 있게 갖춰야 한다.