수많은 국가들이 랜섬웨어 공격자들의 협박에 응하지 않겠다고 다짐했다. 강제력은 없지만, 아무튼 다짐은 했다. 그런데 이 다짐이란 게 얼마나 큰 효과를 발휘할지는 알 수 없다. 너무 알 수 없어서 회의적이기까지 하다.
[보안뉴스 = 슈무엘 기혼 보안 연구 수석, Cyberint] 랜섬웨어로부터 안전한 기업은 어디에도 없다. 어떤 규모이든, 어떤 사업을 하든, 랜섬웨어에 감염될 위협은 항상 존재한다. 그렇다면 어떻게 대응해야 할까? 이 주제는 오랜 기간 논의되어 왔지만 아직 이렇다할 해결책이 합의되지는 않고 있다. 때마침 미국을 비롯해 40여 개국이 랜섬웨어 조직들에게 돈을 내지 않겠다는 데에 합의하기도 했다. 보안 업계는 이러한 정부 기관들의 움직임에 환호하고 있지만, 이것이 랜섬웨어 공격에 대한 실질적인 해결책이 되지는 않으리라는 걸 알고 있다.
점점 심각해지고 있는 랜섬웨어 사태에 대한 근본적인 해결책은 국제적인 모임이나 선언문 발표가 아니다. 데이터 보호와 방어에 대한 근본적인 이해도와 인지를 높이는 것이 정답이면서 장기적인 대책이다. 정부 수장들이 모여 돈을 내지 않겠다고 약속하고, 심지어 그 약속에 그 어떤 강제력도 없는데, 어떤 면에서 상황이 달라질 것인지, 필자의 작은 머리로는 상상도 가지 않는다.
랜섬웨어와 돈, 일관적이지 않은 관계성
2021년 5월 콜로니얼 파이프라인(Colonial Pipeline)이 랜섬웨어로 마비되었을 때, 많은 조직들이 ‘국가적 위기 상황이 초래됐다’는 의견을 냈다. 틀린 말은 아니었다. 석유라는 에너지는 사회의 근간을 구성하는 가장 중요한 요소 중 하나이니까 말이다. 공격자들은 100GB의 데이터를 콜로니얼 파이프라인 측에서부터 훔쳐냈고, 돈을 내지 않으면 이 정보를 공개하겠다고 협박했다. 그래서 회사는 440만 달러를 냈다. 모든 사회적 비용을 생각했을 때 차라리 돈을 내는 게 훨씬 나을 것이라는 판단 때문이었다. 심지어 이 돈은 나중에 FBI의 추적으로 대부분 회수됐다.
콜로니얼 파이프라인처럼 사회 기반 시설을 담당하는 기업들의 경우 랜섬웨어에 당해 피해를 입었을 때 마비되는 시간을 최소화시키는 게 그 무엇보다 중요하다. 그렇지 않으면 사회적 혼란이 가중되고, 이는 국가 전체의 비용 손실로 이어진다. 또한 공격자들이 가져간 정보 역시 빠르게 회수하는 것이 중요하다. 무슨 말인가? 공격자들과 협상하여 돈을 내더라도 시스템을 복구시키고 정보를 되찾아오는 게 급선무라는 것이다. 당연하지만 모든 종류의 기업들에 적용되는 말은 아니다.
콜로니얼 파이프라인은 2021년 당시 31억 달러의 자산을 보유하고 있었다. 전년도에는 총 수익이 4억 2천만 달러였다. 그런 조직에 있어 440만 달러라는 공격자들의 조건은 - 정말로 모든 시스템과 데이터가 원상복구 되기만 한다면 - 과장 조금 보태 무료나 다름없이 상황을 무마시킬 수 있는 유일한 방법이었다. 게다가 사회적 여파도 최소화시킬 수 있었다. 사업을 운영하는 데 드는 비용이 조금 더 들어가는 수준의 돈이었을 뿐이었다.
하지만 모든 조직들이 랜섬웨어에 당했을 때 비슷한 여유를 가지고 있는 건 아니다. 어떤 기업들에 있어서 범인들이 요구하는 돈은 회사 전체를 휘청이게 만드는 것일 수 있다. 그렇기 때문에 비상시를 위해 돈을 비축하는 것도 필요하지만 랜섬웨어 사태를 방지하거나 피해를 축소할 수 있는 보안 강화도 병행해야 한다. 여러 국가들이 모여 돈을 내지 않겠다고 선언한 것은 바로 이 지점에서 나온 것으로 보인다. 아예 사이버 보안 강화에만 집중하겠다는 선언이라는 것이다. 그러나 그게 현실적일까?
랜섬웨어, 중소기업 킬러
콜로니얼 파이프라인 말고, 우리가 더 흔히 볼 수 있는 중소기업들에 대해 이야기를 해보자. 콜로니얼 파이프라인처럼 수십억 달러를 선뜻 낼 수도 없고, 그렇다고 마음껏 보안도 강화할 수 없는 조직들이다. 콘티(Conti)와 같은 랜섬웨어 조직들은 자신들이 침해하는 데 성공한 기업의 크기와 규모에 따라 금액을 조정하는 것으로 알려져 있다. 중소기업들의 경우 적은 돈을 내면 된다. 하지만 그렇더라도 워낙 자본 규모가 작은 곳이기 때문에 공격자들에게 돈을 내는 것 자체가 부담될 수밖에 없다.
중소기업들은 보안 침해 사고 발생 시 평균 3만 8천 달러의 피해를 입는 것으로 알려져 있다. 여기에는 랜섬웨어 공격자들에게 주는 돈은 포함되어 있지 않다. 중소기업의 연간 수익이 4만 4천 달러에서 100만 달러라는 것을 생각했을 때 피해 복구만으로도 꽤나 힘들 것이 눈에 선하다. 그런데 아무리 공격자들이 가격을 낮춰준다고 해도 돈을 낼 수 있을리 만무하다.
무슨 말인가? 굳이 여러 나라 수장들이 돈을 내지 않겠다고 선언하지 않더라도 이미 돈을 낼 수 없는 상황이라는 것이다. 돈을 낼 수 있는 기업들은 상황에 따라 돈을 내는 게 더 나을 수도 있고, 그렇지 않은 기업들은 어차피 내지 못하는데, 수많은 국가의 지도자들이 모여서 하나마나 한 소리를 한 것이라고밖에 볼 수가 없다.
‘~하지 않겠다’보다는 ‘~하겠다’의 보안
이 선언의 가장 큰 문제는 ‘~하지 않겠다’라는 수동적인 태도로 보안에 접근한다는 뉘앙스를 품고 있다는 것이다. 보안이 왜 사람들의 기피 대상이 되었는가? 프로그램 설치하면 안 되고, 장비를 가져오면 안 되고, 공공 와이파이로 연결하면 안 되고, 이런 저런 사업은 아예 시작도 하면 안 되고... 안전을 위해서 무엇이나 거절하는 태도를 유지했기 때문이다. 물론 ‘하면 안 된다’는 지침이 아예 없을 수는 없지만, 보안 지침 거의 모두가 ‘안 된다’로 구성됐을 때 효력은 크게 줄어들 수밖에 없다.
이제 보안은 ‘~하겠다’라는, 보다 능동적인 방향으로 나아가야 한다. 그리고 실제 그러한 흐름을 타고 있기도 하다. 백업을 하고, 교육을 하고, 훈련을 하고, 사고 발생 시를 위한 대비책을 마련하고, 취약점을 미리 찾아내 패치하고, 사이버 보험에 가입하고... 이런 능동적인 방법으로 대비하는 것이 훨씬 효과적이기도 하고 보다 많은 사람의 참여를 유도할 수 있다.
많은 나라들이 모여 랜섬웨어 공격자들에게 ‘돈 받을 생각하지 마라’고 외친 건 상징성이라는 측면에서 헛된 수고는 아니었을 것이다. 하지만 당장 랜섬웨어의 위협으로부터 벗어나게 하지는 못한다. 장기적인 효과 역시 큰 기대를 갖게 하지는 않는다. 그렇기 때문에 혹여 ‘이제 국가가 나서서 랜섬웨어 문제를 해결해 줄 거야’라는 기대감을 갖고 있었다면, 버리는 것을 추천한다. 지금은 오히려 더욱 ‘개인 플레이’를 통해 보안을 강화해야 할 때다.
여러 기업들과 전문가들이 뭉쳐서 실질적인 대응을 기획할 수는 있다. 하지만 일부 정치인들이 모여 멋진 선언 문구를 내는 것에 마음을 빼앗겨서는 안 될 것이다.
글 : 슈무엘 기혼(Shmuel Gihon), 보안 연구 수석, Cyberint
[국제부 문정후 기자(globoan@boannews.com)]
[보안뉴스 = 슈무엘 기혼 보안 연구 수석, Cyberint] 랜섬웨어로부터 안전한 기업은 어디에도 없다. 어떤 규모이든, 어떤 사업을 하든, 랜섬웨어에 감염될 위협은 항상 존재한다. 그렇다면 어떻게 대응해야 할까? 이 주제는 오랜 기간 논의되어 왔지만 아직 이렇다할 해결책이 합의되지는 않고 있다. 때마침 미국을 비롯해 40여 개국이 랜섬웨어 조직들에게 돈을 내지 않겠다는 데에 합의하기도 했다. 보안 업계는 이러한 정부 기관들의 움직임에 환호하고 있지만, 이것이 랜섬웨어 공격에 대한 실질적인 해결책이 되지는 않으리라는 걸 알고 있다.
[이미지 = gettyimagesbank]
점점 심각해지고 있는 랜섬웨어 사태에 대한 근본적인 해결책은 국제적인 모임이나 선언문 발표가 아니다. 데이터 보호와 방어에 대한 근본적인 이해도와 인지를 높이는 것이 정답이면서 장기적인 대책이다. 정부 수장들이 모여 돈을 내지 않겠다고 약속하고, 심지어 그 약속에 그 어떤 강제력도 없는데, 어떤 면에서 상황이 달라질 것인지, 필자의 작은 머리로는 상상도 가지 않는다.
랜섬웨어와 돈, 일관적이지 않은 관계성
2021년 5월 콜로니얼 파이프라인(Colonial Pipeline)이 랜섬웨어로 마비되었을 때, 많은 조직들이 ‘국가적 위기 상황이 초래됐다’는 의견을 냈다. 틀린 말은 아니었다. 석유라는 에너지는 사회의 근간을 구성하는 가장 중요한 요소 중 하나이니까 말이다. 공격자들은 100GB의 데이터를 콜로니얼 파이프라인 측에서부터 훔쳐냈고, 돈을 내지 않으면 이 정보를 공개하겠다고 협박했다. 그래서 회사는 440만 달러를 냈다. 모든 사회적 비용을 생각했을 때 차라리 돈을 내는 게 훨씬 나을 것이라는 판단 때문이었다. 심지어 이 돈은 나중에 FBI의 추적으로 대부분 회수됐다.
콜로니얼 파이프라인처럼 사회 기반 시설을 담당하는 기업들의 경우 랜섬웨어에 당해 피해를 입었을 때 마비되는 시간을 최소화시키는 게 그 무엇보다 중요하다. 그렇지 않으면 사회적 혼란이 가중되고, 이는 국가 전체의 비용 손실로 이어진다. 또한 공격자들이 가져간 정보 역시 빠르게 회수하는 것이 중요하다. 무슨 말인가? 공격자들과 협상하여 돈을 내더라도 시스템을 복구시키고 정보를 되찾아오는 게 급선무라는 것이다. 당연하지만 모든 종류의 기업들에 적용되는 말은 아니다.
콜로니얼 파이프라인은 2021년 당시 31억 달러의 자산을 보유하고 있었다. 전년도에는 총 수익이 4억 2천만 달러였다. 그런 조직에 있어 440만 달러라는 공격자들의 조건은 - 정말로 모든 시스템과 데이터가 원상복구 되기만 한다면 - 과장 조금 보태 무료나 다름없이 상황을 무마시킬 수 있는 유일한 방법이었다. 게다가 사회적 여파도 최소화시킬 수 있었다. 사업을 운영하는 데 드는 비용이 조금 더 들어가는 수준의 돈이었을 뿐이었다.
하지만 모든 조직들이 랜섬웨어에 당했을 때 비슷한 여유를 가지고 있는 건 아니다. 어떤 기업들에 있어서 범인들이 요구하는 돈은 회사 전체를 휘청이게 만드는 것일 수 있다. 그렇기 때문에 비상시를 위해 돈을 비축하는 것도 필요하지만 랜섬웨어 사태를 방지하거나 피해를 축소할 수 있는 보안 강화도 병행해야 한다. 여러 국가들이 모여 돈을 내지 않겠다고 선언한 것은 바로 이 지점에서 나온 것으로 보인다. 아예 사이버 보안 강화에만 집중하겠다는 선언이라는 것이다. 그러나 그게 현실적일까?
랜섬웨어, 중소기업 킬러
콜로니얼 파이프라인 말고, 우리가 더 흔히 볼 수 있는 중소기업들에 대해 이야기를 해보자. 콜로니얼 파이프라인처럼 수십억 달러를 선뜻 낼 수도 없고, 그렇다고 마음껏 보안도 강화할 수 없는 조직들이다. 콘티(Conti)와 같은 랜섬웨어 조직들은 자신들이 침해하는 데 성공한 기업의 크기와 규모에 따라 금액을 조정하는 것으로 알려져 있다. 중소기업들의 경우 적은 돈을 내면 된다. 하지만 그렇더라도 워낙 자본 규모가 작은 곳이기 때문에 공격자들에게 돈을 내는 것 자체가 부담될 수밖에 없다.
중소기업들은 보안 침해 사고 발생 시 평균 3만 8천 달러의 피해를 입는 것으로 알려져 있다. 여기에는 랜섬웨어 공격자들에게 주는 돈은 포함되어 있지 않다. 중소기업의 연간 수익이 4만 4천 달러에서 100만 달러라는 것을 생각했을 때 피해 복구만으로도 꽤나 힘들 것이 눈에 선하다. 그런데 아무리 공격자들이 가격을 낮춰준다고 해도 돈을 낼 수 있을리 만무하다.
무슨 말인가? 굳이 여러 나라 수장들이 돈을 내지 않겠다고 선언하지 않더라도 이미 돈을 낼 수 없는 상황이라는 것이다. 돈을 낼 수 있는 기업들은 상황에 따라 돈을 내는 게 더 나을 수도 있고, 그렇지 않은 기업들은 어차피 내지 못하는데, 수많은 국가의 지도자들이 모여서 하나마나 한 소리를 한 것이라고밖에 볼 수가 없다.
‘~하지 않겠다’보다는 ‘~하겠다’의 보안
이 선언의 가장 큰 문제는 ‘~하지 않겠다’라는 수동적인 태도로 보안에 접근한다는 뉘앙스를 품고 있다는 것이다. 보안이 왜 사람들의 기피 대상이 되었는가? 프로그램 설치하면 안 되고, 장비를 가져오면 안 되고, 공공 와이파이로 연결하면 안 되고, 이런 저런 사업은 아예 시작도 하면 안 되고... 안전을 위해서 무엇이나 거절하는 태도를 유지했기 때문이다. 물론 ‘하면 안 된다’는 지침이 아예 없을 수는 없지만, 보안 지침 거의 모두가 ‘안 된다’로 구성됐을 때 효력은 크게 줄어들 수밖에 없다.
이제 보안은 ‘~하겠다’라는, 보다 능동적인 방향으로 나아가야 한다. 그리고 실제 그러한 흐름을 타고 있기도 하다. 백업을 하고, 교육을 하고, 훈련을 하고, 사고 발생 시를 위한 대비책을 마련하고, 취약점을 미리 찾아내 패치하고, 사이버 보험에 가입하고... 이런 능동적인 방법으로 대비하는 것이 훨씬 효과적이기도 하고 보다 많은 사람의 참여를 유도할 수 있다.
많은 나라들이 모여 랜섬웨어 공격자들에게 ‘돈 받을 생각하지 마라’고 외친 건 상징성이라는 측면에서 헛된 수고는 아니었을 것이다. 하지만 당장 랜섬웨어의 위협으로부터 벗어나게 하지는 못한다. 장기적인 효과 역시 큰 기대를 갖게 하지는 않는다. 그렇기 때문에 혹여 ‘이제 국가가 나서서 랜섬웨어 문제를 해결해 줄 거야’라는 기대감을 갖고 있었다면, 버리는 것을 추천한다. 지금은 오히려 더욱 ‘개인 플레이’를 통해 보안을 강화해야 할 때다.
여러 기업들과 전문가들이 뭉쳐서 실질적인 대응을 기획할 수는 있다. 하지만 일부 정치인들이 모여 멋진 선언 문구를 내는 것에 마음을 빼앗겨서는 안 될 것이다.
글 : 슈무엘 기혼(Shmuel Gihon), 보안 연구 수석, Cyberint
[국제부 문정후 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-05-02] 
