해킹 기법 시리즈 다섯 번째 주제: 랜섬웨어 침투 경로
631곳. 랜섬웨어 조직 드래곤포스(DragonForce) 한 곳이 지금까지 자신들의 유출 사이트에 올린 피해 기업 명단이다. 그중 43곳은 최근 한 달 사이에 새로 추가됐다. 이 숫자가 말해주는 건 하나다. 랜섬웨어는 뉴스에서 가끔 보이는 특별한 사고가 아니라, 지금도 어딘가에서 매일 새로 벌어지는 흔한 일이라는 것. 지난 편에서 다룬 피싱·스미싱이 사람의 판단을 무너뜨려 정보를 빼내는 공격이었다면, 랜섬웨어 침투 경로는 그렇게 얻은 발판을 밟고 조직 전체를 인질로 잡는, 사실상 마지막 단계에 가깝다. 그리고 화면에 몸값 요구 메시지가 뜨는 그 순간은, 공격이 시작된 시점이 아니라 이미 끝나가는 시점이라는 걸 아는 사람은 의외로 많지 않다.
랜섬웨어 침투 경로, 화면이 잠기기까지 3단계
랜섬웨어 공격은 보통 세 단계를 거친다. 첫 단계는 초기 침투다. 피싱 메일에 낚이거나, 외부에 그대로 노출된 원격접속 포트, 패치되지 않은 VPN 장비, 어딘가에서 이미 유출된 계정정보 같은 것들이 공격자가 문을 여는 통로가 된다. 두 번째는 내부 확산이다. 일단 안으로 들어온 공격자는 조용히 시스템 안을 돌아다니며 더 높은 권한을 얻고, 어떤 데이터가 가장 값어치 있는지 살피고, 무엇보다 피해 조직이 복구할 때 쓸 백업 시스템부터 찾아 무력화한다. 이 단계가 길게는 몇 주씩 걸리기도 한다는 게 무섭다. 마지막이 우리가 뉴스에서 보는 장면, 즉 데이터를 암호화하고 몸값을 요구하는 단계다. 요즘은 여기에 한 가지가 더 붙는다. 암호화하기 전에 데이터를 몰래 빼돌려 놓고, “돈을 안 내면 이걸 공개하겠다”고 이중으로 협박하는 방식이다. 흔히 ‘더블 익스토션’이라 부른다.
왜 이 침투 경로는 막기가 유독 어려울까
세 단계 중 어느 하나만 막아도 피해를 줄일 수 있는데, 왜 여전히 이렇게 자주 뚫릴까. 첫째는 진입장벽이 낮아졌기 때문이다. 요즘 랜섬웨어는 ‘랜섬웨어 서비스형(RaaS)’이라는 사업 모델로 돌아간다. 코드를 직접 짤 줄 몰라도 이미 만들어진 랜섬웨어 도구를 빌려 쓰고, 성공하면 수익을 나누는 구조다. 침투 전문 브로커가 이미 뚫어놓은 시스템 접근권을 따로 사고파는 시장도 존재한다. 공격자 입장에서는 분업이 되어 있는 셈이다. 둘째는 더블 익스토션 탓에 방어 셈법 자체가 달라졌다는 점이다. 예전엔 “백업만 잘해두면 몸값을 안 내도 된다”는 게 정설이었는데, 이미 데이터를 빼돌린 다음이라면 백업이 있어도 유출 위협 자체는 사라지지 않는다. 셋째, 내부 확산 단계가 워낙 조용히 진행되다 보니, 침입을 알아차렸을 땐 이미 백업까지 손댄 뒤인 경우가 많다. 그래서 보안업계는 “언젠가는 뚫린다”는 전제 아래, 침투 자체를 막는 것 못지않게 얼마나 빨리 알아채고 확산을 끊어내느냐를 더 중요하게 본다.
최근 실제 사례로 보는 랜섬웨어 침투 경로
숫자만으론 감이 잘 안 올 수 있으니 최근 사례를 보자. 8월 3일, 랜섬웨어 조직 드래곤포스는 세계적인 여행업체 TUI 그룹의 중국 법인 ‘TUI China’를 공격했다고 밝혔다. 이들이 확보했다고 주장하는 자료에는 여권, 비자, 내부 문서, 재무·법무 관련 자료가 포함돼 있다. 협상에 응하지 않으면 이 자료를 공개하겠다는 게 이들의 방식이다. 바로 다음 날인 8월 4일에는 미국의 보험·금융서비스 기업 프리덤 클레임스 매니지먼트(Freedom Claims Management)가 랜섬웨어 조직 칠린(Qilin)의 유출 사이트에 이름을 올렸다. 두 사례 모두 아직 협상 결과나 실제 침해 규모가 공식 확인되지는 않았고, 각 조직이 자신들의 소행이라고 주장하는 단계라는 점은 감안할 필요가 있다. 다만 이런 주장이 며칠 간격으로 서로 다른 대륙, 서로 다른 업종에서 나왔다는 사실 자체가 이 공격 방식이 얼마나 광범위하게 반복되고 있는지를 보여준다.
국내 상황도 예외는 아니다. 올해 상반기 국내 랜섬웨어 신고 건수는 145건으로, 지난해 같은 기간보다 76.8% 늘었다. 유럽에서도 올해 1~4월 랜섬웨어 공격이 전년 동기 대비 55.1% 증가했다는 보고가 나왔다. 지역도, 업종도 가리지 않고 늘어나고 있다는 뜻이다.
랜섬웨어 방어 체크리스트
침투 경로를 알면 어디를 지켜야 할지도 보인다. 개인이라면 출처가 불분명한 메일이나 첨부파일을 열지 않는 것, 운영체제와 백신, VPN 클라이언트를 최신 상태로 유지하는 것, 중요한 파일은 오프라인이나 별도 클라우드에 이중으로 백업해두는 것, 계정마다 다른 비밀번호를 쓰고 다중 인증을 켜두는 것부터 시작하면 된다. 조직을 운영하는 입장이라면 좀 더 구조적인 접근이 필요하다. 원격접속 포트를 외부에 불필요하게 노출하지 않는 것, 백업 시스템을 운영 네트워크와 물리적으로 분리해 공격자가 함께 손댈 수 없게 만드는 것, 직원 권한을 최소 권한 원칙으로 정기적으로 재점검하는 것, 그리고 실제로 침해가 발생했을 때 누가 무엇을 하는지 정해둔 대응 절차를 미리 마련해두는 것이 핵심이다.
자주 묻는 질문
Q. 랜섬웨어에 걸리면 몸값을 내야 하나요?
전문가들과 수사기관은 대체로 지불을 권하지 않는다. 돈을 내도 데이터가 온전히 복구된다는 보장이 없고, 지불 사실이 알려지면 같은 조직이 다시 노릴 가능성도 있다. 대신 사고 초기부터 전문 대응 업체나 수사기관에 신고하는 편이 안전하다.
Q. 개인도 랜섬웨어의 표적이 되나요?
주로 기업이나 기관이 표적이지만, 개인용 PC나 NAS를 노리는 소규모 랜섬웨어도 꾸준히 발견된다. 특히 가족사진이나 문서를 백업 없이 컴퓨터 한 곳에만 저장해두는 경우, 피해 규모는 작아도 개인이 체감하는 타격은 클 수 있다.
Q. 백업만 해두면 안전한가요?
초기 침투와 내부 확산까지만 막던 시절엔 그랬지만, 지금은 데이터를 암호화하기 전에 미리 빼돌리는 더블 익스토션이 흔해서 백업만으론 유출 위협까지 막을 수 없다. 백업은 ‘복구’를 위한 최소한의 안전장치일 뿐, 유출 자체를 막는 대책은 초기 침투 단계에서의 차단이다.
이번 편은 랜섬웨어가 화면을 잠그기까지 거치는 세 단계와, 그 경로를 왜 막기 어려운지를 다뤘다. 다음 편에서는 이 시리즈에서 아직 다루지 않은 실제 랜섬웨어 사례들을 좀 더 들여다볼 예정이다.
출처
국내 기업 금융 보안 조직 8년차. 취약점 진단과 보안 기획 업무를 하며, 업계 밖에서는 잘 안 보이는 보안 이야기를 정리하고 있습니다. 개인 자격으로 쓰며 소속 조직과 무관합니다.