중소기업, 정보는 대기업 수준이지만 보안은 개인 수준
돈 내도 데이터 돌려주지 않는 사례 역시 증가 추세

[보안뉴스 문가용 기자] 역설적으로 들릴지 모르겠지만 랜섬웨어는 신뢰를 기반으로 하고 있는 범죄다. 피해자들은 범죄자들이 데이터를 돌려줄 것이라고 믿고 돈을 내기 때문이다.

물론 이는 어느 정도 사실이다. 아니, 사실이었다. 그러나 랜섬웨어 비용이 높아지는 반면 아무 데이터도 돌려주지 않는 사례가 점점 늘어나고 있다. 이는 보안 전문업체 비트디펜더(Bitdefender)가 중소기업에서 근무하는 IT 전문가 250명을 대상으로 조사를 실시해 나온 결과다.


▲ 백업 해두라고 했어, 안 했어!!![ⓒiclickart]

또 다른 보안 전문업체인 스파이스웍스(Spiceworks)도 최근 중소기업들을 대상으로 비슷한 조사를 실시했는데, 지난 12개월 동안 중소기업 5군데 중 1군데 꼴로 랜섬웨어 공격을 받은 적이 있다는 사실을 발견했다. 그 중 표적형 공격을 받은 경우는 20%였고, 38%는 공격자들에게 평균 242만 3000원을 지불했다. 하지만 정보를 되돌려 받은 경우는 45%에 불과했다.

비트디펜더의 수석 분석가인 보그단 보테자투(Bogdan Botezatu)는 “최근까지 랜섬웨어라는 ‘사업’의 핵심은 정직성이었다”며 “적어도 데이터 돌려받을 걸 확신할 수 있으니 피해자들이 돈을 내는 것이었다”고 설명한다. “하지만 세상에 변하지 않는 건 없고, 랜섬웨어 범죄자들의 이러한 ‘미덕’ 역시 사라지고 있는 듯 합니다.”

이는 사이버 범죄의 영역이 확대됨에 따라 경계선이 흐려지고 있기 때문에 나타나는 현상이라고 보테자투는 분석한다. “예전엔 범죄자들도 의료 기관이나 의료 정보를 훔쳐내지 않았어요. 환자를 건드리지 않는 게 불문율 같은 것이었습니다. 하지만 요 몇 년 동안 활동하는 사이버 범죄자들은 어떤가요? 의료 기관들을 집중적으로 노리고 있죠. 정보 보안이 강하지 않으니까요.”

비슷한 맥락에서 중소기업들에 대한 공격이 점차 증가하고 있다는 것도 눈여겨볼 만한 흐름이다. “중소기업 역시 의료기관들처럼 보안이 많이 취약합니다. 랜섬웨어로 노려보기 쉬운 곳이죠. 랜섬웨어는 개인을 노리거나 아예 대기업에 침투해 커다란 금액을 요구하는 게 보통이었는데요, 요즘은 그 중간에 있는 중소기업들이 더 빈번한 표적이 되고 있습니다.”

보안이 취약한 곳은 많을 텐데, 왜 중소기업일까? “일단 기업활동을 하는 곳이니 민감한 정보를 풍부하게 가지고 있지만(고객 정보, 금융 정보, 지적재산 등) 보안은 대기업 수준에 전혀 못 미치고 있기 때문입니다. 보안 교육을 전혀 하지 않는 곳이 대다수죠. 즉, 정보는 대기업처럼 가지고 있는데, 보안 수준은 개인의 그것과 거의 다를 바가 없다는 겁니다.”

또한 공격자들은 중소기업을 공격할 경우 대부분 돈을 낸다는 사실도 잘 알고 있다고 그는 말한다. 왜냐하면 중소기업이 다루고 있는 정보가 매우 민감한 것이기 때문이다. “개인에게서 뜯어낼 수 있는 돈은 많아야 1백만원 정도입니다만, 중소기업은 훨씬 많죠. 고객 정보가 당했다면, 중소기업은 사업을 접을 각오를 해야 합니다. 차라리 랜섬을 내고 말죠.”

중소기업들을 노리는 랜섬웨어 공격은 77%가 이메일을 통해 시작된다. 사이버 범죄자들은 이메일을 사용해 중소기업 내 누군가가 악성 파일을 열거나 다운로드 하도록 유혹한다. 혹은 악성 링크를 클릭하도록 유도하기도 한다. 악성 파일 공격에 당했다는 중소기업은 약 56%였고, 악성 링크에 당했다는 경우는 약 54%였다. 소셜 엔지니어링 공격에 당한 경우도 31%나 되었다.

“이는 꽤나 중요한 문제입니다. 왜냐하면 일단 이메일 사용을 전면 금지한다는 건 있을 수 없는 일이기 때문입니다. 즉 알면서도 최대 공격 경로를 열어두어야만 한다는 겁니다. 비슷하게 SNS 활동 역시 필수처럼 굳어져 가고 있는 추세라 공격은 더욱 교묘하고 거세게 들어올 예정입니다.”

랜섬웨어 공격에 당한 중소기업들 중 랜섬을 내지 않은 기업들 중 65%는 평소 백업을 잘 해두었던 것으로 나타났다. 반면 보안 소프트웨어나 전문가의 도움을 받은 경우는 52%였다. 해결책도 찾지 못하고 돈을 내지도 않아 데이터를 몽땅 잃어버린 경우는 33%에 달했다.

보테자투는 “백업 계획을 철저하게 세워야 할 것”이라고 강력하게 권고했다. “랜섬웨어 공격은 매우 불안정한 공격입니다. 딱 한 번의 요행수를 바라는 공격인 것이죠. APT 공격처럼 꾸준하거나 장기적인 계획 같은 건 전혀 없어요. 그러니 보안 정책이 탄탄하면 할수록 막기 쉬운 게 랜섬웨어입니다.”

그래도 랜섬웨어에 걸렸다면 어떻게 해야 할까? “없는 데이터라고 생각하세요. 어쩔 수 없습니다. 돈을 내는 것보다 더 나아요.” 돈을 내면 ‘불안정한 1회용 공격’이 갑자기 반복적으로 나타나기 시작한다는 게 그 이유다. “한 번 돈을 낸 사람을 다시 공격하는 사례가 많습니다. 게다가 거시적으로 보면 피해자가 낸 돈이 랜섬웨어라는 어둠의 산업 자체를 후원하는 것이나 다름없습니다.”
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>