RANSOMWARE

시장이 우려하던 상황이 결국 터졌습니다. 24일(현지시간) 새벽 러시아가 결국 우크라이나를 침공했는데요. AP통신 등 주요 언론에 따르면 러시아는 침공 첫날 우크라이나 동부는 물론 수도 키예프 등 여러 지역을 동시다발적으로 공격했습니다. 사상자는 최소 220여 명이 될 것이라는 보도가 나오기도 했는데요. 러시아군은 침공 하루도 채 안돼 수도 인근까지 진격했고, 우크라이나 주민들의 탈출 행렬이 이어지고 있다고 합니다. 미국을 비롯한 서방국가들은 경제 제재 수위를 높이면서 대응에 나서고 있는데요. 이와 관련해서 뉴욕타임스(NYT)는 이날 "러시아가 경제 제재를 피하기 위해 암호화폐 기술을 이용할 것"이라고 분석했습니다. 보도에 따르면 러시아 중앙은행이 자체 발행을 추진 중인 '디지털 루블'을 비롯해서 제재를 회피할 수 있는 다양한 암호화폐 기술과 도구를 보유하고 있다고 합니다. 특히 암호화폐를 훔치기 위한 랜섬웨어 기술을 확보하고 있는데요. 암호화폐 거래는 자금 추적이 은행과 비교해 상대적으로 수월하게 이뤄지기 때문에 제재를 피할 수 있을 것이라는 분석입니다. 👉 제재가 통하지 않으면 다음은? 이란이나 북한과 같은 나라에서도 제재를 피하기 위해 암호화폐를 사용해왔는데요. 자금 확보를 위해 랜섬웨어를 이용한 정황들이 속속 드러나고 있습니다. 서방 국가들의 러시아에 대한 이번 경제 제재가 효과가 없을 것이라는 전망이 이미 나오고 있는데요. NYT는 전문가들의 말을 인용, "러시아 기업들이 이미 전 세계 누구와도 암호화폐를 통해 거래를 하면서 제재에서 빠져나갈 수 있는 준비를 하고 있다"고 지적했습니다. 워싱턴에 본사를 둔 로펌 '페라리 앤드 어소시에이츠'의 자금세탁 방지 담당 마이클 파커 변호사는 "러시아는 이번 전쟁을 준비하면서 많은 고민을 했을 것"이라며 "러시아가 (경제 제재와 같은) 시나리오를 정확하게 고려하지 않았다고 생각하는 것은 순진한 발상"이라고 말했습니다.

러시아군의 우크라이나 침공을 해킹으로 저지하라.벨라루스의 핵티비스트 단체가 러시아군의 우크라이나 침공을 위한 군대 이동을 막기 위해 철도 시스템에 랜섬웨어를 감염시켰다. 이들은 알렉산더 루카센코 벨라루스 대통령이 러시아 지원을 중단해야 암호 해독키를 제공할 것이라고 밝혔다. 보안 업계는 이번 공격은 랜섬웨어를 혁명 투쟁에 사용하는 최초의 사례로 보고 있다. 그동안 랜섬웨어는 금전 획득 목적이 대부분이었다. 사이버 파르티잔(Cyber Partisans)이라는 그룹은 트위터에 "벨라루스 철도 시스템을 정상으로 되돌릴 암호키를 갖고 있다. 의료 지원이 필요한 50명의 정치범을 석방하라. 러시안 군대가 벨라루스로 들어오는 것을 막아라"라는 조건을 내세웠다. 이들의 공격으로 벨라루스 철도 네트워크는 발권와 운행에 차질을 빚고 있는 것으로 알려졌다. 러시아는 우크라이나와 국경을 접하고 있는 벨라루스로 철도를 이용해 군사 장비와 인력을 집결시키고 있다. 사이버 파르티잔은 사이버 공격을 이용해 철도 시스템을 교란하고 벨라루스 정부를 압박하고 있다.

코로나19 팬데믹은 업무 환경을 뒤흔들었다. 기업은 재택과 원격 근무를 위해 빠르게 디지털 전환을 서둘렀다. 디지털 전환 가속화는 사이버 범죄 혼란을 부추겼다. 사이버 범죄자들은 사회가 혼란한 틈을 놓치지 않는다. 사이버 범죄자들에게 혼란한 사회는 돈을 더 많이 벌 수 있는 기회이기 때문이다. 생물학적 바이러스 변이 생성으로 세계 혼란이 계속되고 있다. 이와 동시에 인터넷 공간에서는 사이버 바이러스가 지속해서 변이를 일으키며 기업과 개인을 공격한다. 사이버 공간에서 팬데믹은 그 확산세를 멈추지 않는다. 사이버 범죄자들은 딥페이크와 암호화폐, 모바일 지갑 등을 사용해 새로운 악탈을 끊임 없이 시도한다. 사이버 공격의 정교함과 규모는 계속해서 기록을 경신할 것으로 예상된다. 랜섬웨어와 모바일 공격 수가 급증하고 있어 이에 대한 대책 마련이 시급하다.

글로벌 팬데믹이 초래한 갑작스러운 변화로 전 세계는 그 어느 때보다도 사이버 공격에 취약한 상태다. 사이버 보안의 중요성을 오랫동안 강조해온 벤처캐피탈리스트 사라 궈(Sarah Guo)는 원격근무로 대전환과 신기술로 전환을 사이버 범죄의 주요 원인으로 꼽았다. 사이버 공격자는 재택근무가 보편화되자 가정 네트워크를 통해 더 쉽게 공격을 할 수 있게 됐다. 원격으로 일하는 직원들은 데이터 센터가 없는 곳에서 기업 이메일과 소프트웨어 시스템이 노출된 상태로 기업 네트워크를 사용한다. 이 결과, 기업들은 사이버 범죄, 특히 랜섬웨어 공격의 증가로 피해를 보고 있다.궈는 지난 20일(현지시각) 월스트리트저널 테크 라이브(WSJ Tech Live)에 출연해 “나는 근본적으로 문제가 더 악화된 것 같아 매우 걱정스럽다”며 “개인, 소비자, 기업은 이를 심각하게 받아들이지 않고 있는 것 같다”고 우려했다.팬데믹으로 디지털 전환이 늘어 새로운 소프트웨어를 받아들이는 속도가 중요해졌다. 궈는 초기 회사들은 빨리 움직여 최고의 제품을 만들고 싶어 하지만 “그들이 원하는 속도는 보안 및 위험에 대한 생각과 상충된다”고 지적했다. “안전하지 않은 컴퓨팅이 보안보다 빠르게 커가는 것이 사회의 근본적 문제”라고 덧붙였다.궈는 “보안을 유지하는 것이 좋은 비즈니스”라고 설명했다. 사이버 공격으로부터 기업을 보호하는 것이 최우선 과제가 됐다. 이제 보안은 그 어느 때보다도 중요한 투자의 영역이다. 다음은 대담 전문이다.

바이든 행정부가 드디어 랜섬웨어 공격에 대응하는 칼을 빼든다. 대상은? 해커가 아닌 암호화폐다. 미 정부는 해커들이 랜섬웨어 공격을 통해 그들이 취하고자 하는 목표인 암호화폐, 특히 그 인프라를 겨냥할 것으로 전망된다. WSJ에 따르면 미 재무부는 해커들이 디지털 화폐로 랜섬(몸값)을 받는 것을 막기위해 일련의 조치를 포함한 재제를 이르면 다음주 발표할 계획이라고 단독 보도했다. 그동안 미국은 최근 벌어진 랜섬웨어 공격의 배후에 러시아가 있다고 판단, 크렘린궁에 이들의 제재를 요구한 바 있다. 하지만 러시아가 그들을 단속하는 조치를 취하지 않고 도리어 활동하도록 방치하면서 미국 정부가 직접 나설 것이라는 분석이다.실제로 미 연방수사국(FBI)와 재무부는 일련의 랜섬웨어 공격들이 러시아를 포함한 동유럽 국가에서 진행됐다는 증거를 가지고 있는 것으로 알려졌다. 2019년 말 재무부는 당시 두 건의 주요 랜섬웨어 공격에서 러시아와 관련된 기업인 이블코프(Evil Corp)가 연관되었다는 사실을 밝혀냈다. 이블코프는 러시아 최고의 정보기관인 FSB(연방보안국)에서 근무한 막심 야쿠베츠(Maksim Yakubets)가 이끄는 기업이다. 사이버 보안 업체인 크라우드 스트라이크(CRWD)는 올해 초 인드릭 스파이더(Indrick Spider)로 개명한 이블코프가 웨이스티드락커(WastedLocker)와 하데스(Hades)라는 랜섬웨어 프로그램 개발에 책임이 있다는 풍부한 디지털 증거가 있다고 발표했다. 이 뿐 아니라 암호화폐 분석 회사인 체인날리시스(Chainalysis)는 최근 랜섬웨어 공격 이후 지불된 암호화폐의 대부분이 구소련 동유럽 국가의 계정으로 지불되었다는 것을 확인했다.

사이버 범죄자는 주로 미국, 캐나다, 호주, 영국 등에서 수익이 1억 달러 이상인 기업을 랜섬웨어 표적으로 찾는다. 범죄자들은 이런 조건을 만족하는 기업에 침투하기 위해 다크웹에서 네트워크 접속 권한을 구매한다. 사이버 보안 기업 KELA는 사이버 범죄그룹이 랜섬웨어 공격 효과를 최적화할 수 있는 피해자를 물색한다고 밝혔다. 몸 값(랜섬)을 많이 받을 수 있는 기업을 분류한 후 해당 기업 접속권한을 획득한다.

자동으로 소프트웨어 업데이트를 했는데 랜섬웨어에 감염됐다.원격관리솔루션 카세아(Kaseya)를 사용중인 기업이 해당 소프트웨어 자동 업데이트로 랜섬웨어 공격을 받았다. 알이블(REvil) 랜섬웨어 조직은 원격 관리 솔루션 기업 카세아(Kaseya)에 침투해 이 회사가 고객에게 제공하는 VSA 소프트웨어를 조작했다. VSA 소프트웨어 업데이트 내부에 랜섬웨어를 포함시켜 고객사에 배포했다. 카세아 VSA는 고객에게 각종 패치 관리와 클라이언트 모니터링을 수행할 수 있는 클라우드 기반 매니지먼트 서비스 플랫폼(MSP)이다. 카세아 소프트웨어를 사용하는 전 세계 수천개 기업에 영향을 미친다. 카세아 웹사이트에 따르면 4만 곳 이상의 고객이 있다. 해커는 4만개 고객에게 한꺼번에 랜섬웨어를 배포한 것이다. 카세아 VSA 취약점을 악용해 안전한 소프트웨어 패치가 아닌 랜섬웨어를 대량 배포했다.카세아는 고객들에게 매우 시급한 사안으로 신속히 VSA 서버를 중단하라고 공지했다. 카세아는 악성 업데이트가 고객에게 배포되는 것을 막기 위해 자체 클라우드 인프라 서비스도 중단했다. 미국 침해사고대응팀(US-CERT)는 대규모 공급망 공격 사고를 조사하고 있다고 밝혔다.

글로벌 육류 가공 기업 JBS가 랜섬웨어에 감염된 공장 정상화를 위해 사이버 범죄 그룹에 1100만 달러 몸 값을 지불했다. 송유관 기업 콜로니얼 파이프라인이 440만 달러 몸 값을 지불하고 시스템을 정상화했는데 JSB도 같은 선택을 했다.두 회사 공장과 라인 중단은 공급망과 경제에 영향을 끼쳤다. 사태가 장기화할 경우 경제에 큰 피해가 예상되자 몸 값을 지불했다. 월스트리트저널은 브라질 육류 회사인 JBS가 공장 정상 가동으로 육류값 변동에 영향을 막으려 랜섬웨어 몸 값을 지불했다고 보도했다. JBS 측은 범죄자에게 돈을 지불하는 것은 고통스럽지만 고객을 위해 어쩔 수 없는 일이었다고 밝혔다. JBS 공장이 다시 가동된 후 지불이 이뤄졌다.콜로니얼 파이프라인에 이어 JBS까지 사이버 범죄조직에 몸 값을 지불하면서 관련 비즈니스 수익성이 입증됐다. 이번 몸 값 지불이 주요 기반 시설 운영 기업에 대한 랜섬웨어 공격을 증폭하는 계기가 될 수 있다.

미 FBI가 송유관 기업 콜로니얼 파이프라인이 해커에게 몸 값을 보낸 수백만 달러의 암호화폐를 회수했다.몸 값으로 지불된 암호화폐를 회수한 건 드문 일이다.CNN은 법무부가 다크사이드로 알려진 사이버 범죄조직에게 지급된 비트코인 230만 달러를 압수했다고 보도했다. FBI는 비트코인 거래 기록을 살펴보고 지갑을 확인한 후 법원 명령에 따라 이를 압수했다. FBI는 디지털 지갑에서 자금을 이체하는데 사용하는 암호화 유사한 개인 암호화 키를 획득했다고 설명했다. FBI가 어떻게 암호화키를 얻었는지는 설명하지 않았다.FBI는 악성코드를 다른 사이버 범죄조직과 공유하는 것으로 알려진 다크사이드를 1년 넘게 조사하고 있다고 밝혔다.

미국 정부가 '랜섬웨어' 공격을 테러리즘으로 규정했다. 3일(현지시각) 로이터 보도에 따르면 미국 법무부가 최근 발생한 콜로니얼 파이프라인 랜섬웨어 등 사이버 공격 수사를 테러에 준하게 취급하기로 했다. 미 정부가 랜섬웨어와 연결된 조직과 배후 국가 등 관련 생태계를 파악, 악의 고리를 끊기로 한 것이다. 최근 사이버 범죄 조직들은 국가 주요 인프라 등을 해킹, 본격적인 돈벌이에 나섰다. 이들은 기존엔 대상을 특정하지 않고 무작위로 해킹을 시도했다. 조용하고 은밀하게 수행했다. 하지만 최근엔 파급력이 큰 국가 기관이나 인프라를 겨냥, 고도로 표적화한 공격으로 선회했다. 또 표적한 기업이 해킹 당한 사실을 만천하에 공개 한다. IT시스템을 마비시키고 빼낸 데이터를 그대로 다크웹에 공개하면서 랜섬(몸값)을 요구한다. 또 해킹 사실을 미디어에 제보하면서 몸값을 올리는 등 돈을 버는데 집중한다.

랜섬웨어가 송유관에 이어 식품 공급망도 마비시켰다.해커가 연료와 식품 등 주요 공급망을 해킹하며 일상 생활까지 혼란을 초래한다. 사이버 범죄자는 경제적 이익을 얻기 위해 기업 데이터와 IT시스템은 물론 일반인 생활을 방해하는 지경에 이르렀다.콜로니얼 파이프라인이 연료 수송 정상화를 위해 사이버 범죄자에 440만 달러 몸값을 지불했다. 주요 기반 시설 마비가 ‘돈을 벌 수 있는 수단'으로 입증돼 해커 공격 수위는 더욱 높아졌다.

러시아-중국-이란-북한 등 국가의 지원을 받는 해킹 조직보다 랜섬웨어 범죄자가 가장 큰 사이버 위협으로 부상했다. 드미트리 알퍼로피치 크라우드스트라이크 공동창업자와 산드라 조이스 파이어아이 수석수부장은 RSA컨퍼런스 2021에서 '글로벌 위협'을 브리핑했다. 알퍼로피치 창업자는 현재 가장 심각한 사이버 위협은 '랜섬웨어'라고 말했다. 그는 “가족 사진의 암호를 풀어야 하는 할머니부터 작은 조직, 학교, 병원, 대기업까지 랜섬웨어에 시달리고 있다"고 덧붙였다. 세계 사이버 공격 4강으로 부상한 러시아-중국-이란-북한의 해킹 시도보다 랜섬웨어 피해가 더욱 직접적이다. 산드라 조이스 파이어아이 수석부사장은 “랜섬웨어 범죄조직이 피해 기업 데이터를 암호화해 업무를 마비시킨다. 외부로 데이터도 유출해 엄청난 몸 값을 지불하는 이중갈취로 진화하고 있다"고 설명했다. 조이스 수석부사장은 "최근 한 조직이 5000만 달러 몸 값을 요구하기도 했다. 몸 값이 지속적으로 상승한다. 랜섬웨어 공격자는 기업에서 빼낸 데이터로 경쟁사나 고객에게 전화를 걸어 수치심을 유발한다"고 말했다. 5월 초 랜섬웨어에 감염된 콜로니얼 파이프라인은 몸 값을 지불했다. 이 회사는 몸 값을 지불하고 시스템 장애를 해결했다. 최근 기업은 랜섬웨어에 감염되면 지적 재산과 고객의 민감한 데이터를 잃고 기업 평판도 나빠진다. 알퍼로피치 창업자는 "랜섬웨어 비즈니스 모델과 전술이 더욱 정교해 질 것"이라며 "공격자가 하드웨어를 물리적으로 파괴하는 시도는 아직 못봤지만 기술적으로 불가능한 일이 아니다"고 덧붙였다.