돈을 내는 건 범죄 육성하는 것, 하지만 생명 걸린 일에는 빠른 해결책
정답 없는 랜섬웨어, 백업만이 유일한 해결책

[보안뉴스 문가용] 악명이 높다 못해 이젠 지겨울 정도까지 된 랜섬웨어. 여기에 당한 기업이나 개인은 두 가지 선택의 기로에 놓이게 된다. 바로 돈을 내느냐 마느냐다. 업계는 ‘돈을 내면 랜섬웨어 공격자들을 더 부추기는 꼴이 되므로 돈을 내지 말아야 한다’고 주장하고 있으나 작년 FBI는 ‘랜섬웨어에 걸리면 데이터 복구 방법이 사실상 없으므로 차라리 돈을 내는 걸 검토하라’고 권고한 적도 있다. 심지어 해외에서는 랜섬웨어에 당해 돈을 내고 데이터를 되찾은 경찰국도 있다.



그렇다면 당신이 랜섬웨어에 걸렸을 때, 어떤 선택을 해야 할까? 두 가지 옵션에 대해 보다 면밀히 살펴보았다.

1. 돈을 낸다
위에서도 살짝 언급했지만 작년 FBI는 랜섬웨어에 걸렸을 때 돈을 내는 게 가장 빠른 해결법이라고 말한 적이 있는데, 이는 해당 기관의 공식적인 입장은 아니었고 한 요원이 공식석상에서 발표 중에 살짝 흘린 말이다. 게다가 이 말 이후 큰 논란이 발생해 그 말을 살짝 취소하기도 했다. 하지만 이미 엎질러진 물. 게다가 의외로 많은 사람들이 ‘차라리 그게 낫지’라면서 동의하기도 했다.

그 중 하나가 버퍼존(BufferZone)의 CEO인 이스라엘 레비(Israel Levy)다. “FBI가 사실 맞는 말을 했죠. 괜히 소중한 데이터를 돈 몇 푼에 버릴 이유가 없습니다. 저희는 고객들에게 랜섬웨어에 당하면 돈을 내고 해결하라고 권하는 편입니다.”

랜섬웨어에 걸렸을 때 어떻게 대처해야 하는가에 대한 논란은 아직 결론이 나지 않고 있지만 단 하나, 랜섬웨어에 이미 걸렸다면 대처 방법이 없다는 것에 대해서는 모두가 동의하고 있다. 기술적으로 랜섬웨어 공격자들이 대단하다기 보다는 암호를 풀 수 있는 시간적 여유를 주고 있지 않아서다. 일정 시간 후 요구금액을 두 배, 세 배로 늘려버리는 전략 역시 심리적 압박감을 더한다.

시만텍의 보고서에 의하면 랜섬웨어 공격자들이 요구하는 금액 또한 상당히 ‘합당해’ 보인다고 한다. 즉, 랜섬웨어가 피해자의 수준을 미리 알고, 그에 맞는 금액을 제시한다는 것. 개인에게 요구하는 금액은 21달러부터 시작해 최대 700달러 선이고 평균은 300달러다. 그러나 업체나 조직이 랜섬웨어에 걸린 경우 요구액은 1만 달러 근처로 훌쩍 뛴다. 이는 매우 미묘한 금액으로 대부분 기업들은 ‘따로 경찰에 신고하지 않고 이 정도는 낼 수 있겠다’고 느낀다고 한다.

그러니 내는 게 손쉽고 속편한 선택일 때가 많다고 기업들은 말한다. 레비는 “돈을 내지 않고 데이터를 복구하려면 기업 입장에서 얼마나 많은 돈이 들지 모른다”며 “차라리 범인들이 요구한 금액을 내는 것이 훨씬 저렴하다”고 주장하는 것처럼 말이다. “또 데이터의 값어치를 생각한다면 랜섬이 차라리 이득입니다.”

2. 돈을 낼 수야 없지
아직 돈을 내냐 마냐에 대한 결론이 나고 있지 않다고는 하지만, 사실 보안 업계의 오피니언 리더라고 볼 수 있는 사람들은 대부분 ‘내지 말라’는 쪽이다. 그래야 공격자 입장에서 수익성이 떨어지고, 그래야 범죄가 줄어들 것이라는 논리다.

“돈을 내면 범죄 행위를 ‘양육’하는 것과 다름이 없습니다. 이런 큰 그림까지 내가 생각해야 되느냐고 물을 수 있습니다. 그런데 범죄자들은 대부분 한 번 당한 피해자에게 다시 돌아오는 습성이 있다는 걸 아셔야 합니다. 즉, 랜섬웨어에 당해 돈을 냈다면 그 한 번으로 끝나지 않을 가능성이 높다는 것이죠. 즉 범죄 피해에 거듭 당하지 않으려면 아예 처음부터 돈을 내지 않는 게 좋습니다.” 클리어스위프트(Clearswift)의 부회장인 가이 벙커(Guy Bunker)의 설명이다.

그렇다면 결국 ‘안 걸리는 게’ 최선책일 수밖에 없다. 그리고 랜섬웨어에 대한 가장 좋은 예방책 및 복구책은 체계적인 백업 시스템을 마련하는 것뿐이다. “백업이 잘 되어 있으면 데이터를 잃어버려도 저렴하고 손쉽게 복구할 수 있게 됩니다. 범죄의 확장도 막고, 자신도 당하지 않으니 일거양득이라고 할 수 있습니다.”

3. 선택은 사정에 따라
그러나 모두의 사정이 다 다르니 위에서 말한 절대적인 기준을 가지고 양자택일을 하라고만은 할 수 없다. 어떤 데이터가 납치당한 것인지, 기업의 자금력이 어느 정도인지에 따라 선택지는 그때그때 갈릴 수밖에 없다.

피시미(PhishMe)의 CEO인 로하이트 벨라니(Rohyt Belani)는 “사전에 얼마나 잘 대비하고 있느냐가 관건”이라고 못을 박는다. 벨라니 역시 돈을 내면 낼수록 범죄만 증가하고 피해만 늘어난다는 의견이다. “대비가 어려운 것도 아니에요. 백업만 자주 하면 됩니다. 랜섬웨어어로 피해를 입었다? 솔직히 저는 게으름에 대한 책임도 일정 부분 있다고 봅니다.”

그러나 그것이 생명에 관한 것이라면 이야기가 달라진다는 게 벨라니의 입장이다. “얼마 전 랜섬웨어에 걸린 할리우드장로병원이 좋은 예입니다. 병원이 1주일 동안 수동으로 운영되었어요. 심각한 환자는 전화를 걸어 다른 병원에 예약해서 이송을 해야 했을 정도였습니다. 그런 경우는 랜섬을 내는 게 차라리 현명한 거라고 봅니다. 상황에 대한 빠른 대처였죠. 1주일 정도 걸리긴 했지만.”

그런데 회계 관련 정보가 연루된 것이라면? “돈을 내야만 정보 복구가 가능한지, 고객 정보도 같이 들어가 있는지, 이전 버전의 백업 자료가 얼마나 오래된 것인지에 따라 결정이 달라지겠죠. 또한 결정권자의 의지에 따라서도 달라지고요.”

벨라니의 설명이 계속된다. “정답은 없습니다. 돈을 무조건 내지 말아야 한다, 무조건 내야 한다는 것도 없습니다. 결국 상황과 사정에 따라 달라질 수밖에 없죠. 하지만 백업만 하면 무조건 대처가 가능해집니다. 랜섬웨어는 결국 백업과의 싸움이라고 볼 수 있습니다.”
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>