[이슈플러스] 전문화된 랜섬웨어 조직…공격 대상 전방위 확대

생성형AI가 만든 이미지

랜섬웨어 공격이 급증하면서 피해도 빠르게 확산하고 있다. 악성코드 제작부터 침투·유포·협상까지 역할을 나눈 범죄 조직의 전문화가 배경이다. 공격자는 특히 대기업은 물론 보안 체계가 취약한 중소·중견기업까지 핵심 타깃으로 겨냥해 시스템과 파일을 암호화하고 업무 중단 피해를 키우고 있다.

◇제작·침투·유포·협상까지…분업화된 랜섬웨어 범죄

한국인터넷진흥원(KISA) 집계에 따르면 올해 상반기 국내 랜섬웨어 피해기업 신고 건수는 145건이다. 지난해 같은 기간 82건보다 76.8% 증가했다. 지난해 연간 신고 건수도 274건으로 전년보다 40.5% 늘었다. 보안당국은 공격 증가의 배경 가운데 하나로 랜섬웨어 범죄 조직의 지능화와 조직화를 지목한다.

최근 랜섬웨어는 한 조직이 악성코드를 만들고 직접 기업에 침투하는 방식에서 벗어나고 있다. 개발자와 운영자, 유포자, 침투 담당자 등이 역할을 나눠 공격을 수행한다. 피해 기업과 몸값을 협상하거나 탈취한 가상자산을 세탁하는 역할까지 별도로 맡는 구조도 형성됐다.

대표적인 형태가 '서비스형 랜섬웨어(RaaS)'다. 개발 조직이 랜섬웨어 프로그램과 유출 사이트, 공격 관리 도구를 제공하면 제휴 조직이 피해 기업을 찾아 실제 공격을 수행한다. 몸값을 받아낸 뒤 수익을 일정 비율로 나누는 구조다.

기업 내부망에 들어갈 수 있는 계정이나 접속 권한만 전문적으로 확보해 판매하는 '초기 접근 브로커(IAB)'도 등장했다. 공격자는 악성코드를 직접 개발하거나 침투 경로를 처음부터 찾지 않아도 필요한 기술과 계정을 구매할 수 있다.

범죄의 분업화는 공격 문턱을 낮췄다. 고도의 해킹 기술을 갖추지 않은 범죄자도 이미 만들어진 도구와 침투 서비스를 활용해 공격에 참여할 수 있어서다. 각 단계의 전문화로 동시에 여러 기업을 공격하는 것도 쉬워졌다. 랜섬웨어가 소수 해커의 범죄를 넘어 반복적으로 수익을 창출하는 산업형 범죄로 변했다는 평가가 나오는 이유다.

인공지능(AI)도 랜섬웨어 공격 고도화에 활용되기 시작했다. 공격자가 미리 정해진 악성코드를 유포하는 데서 나아가, 거대언어모델(LLM)이 침투한 시스템 환경을 분석하고 공격 대상과 방식을 선택하거나 악성 스크립트와 협박문을 자동 생성하는 형태다. 공격 전 과정의 자동화가 현실화하면 적은 인력으로도 다수 기업을 동시에 겨냥할 수 있어 위협이 더 커질 수 있다.

◇보안 취약한 中企 겨냥…개인정보 넘어 업무 마비 노린다

공격 대상도 개인정보를 다량 보유한 대기업과 플랫폼 기업에 머물지 않는다. 제조업체와 병원, 전문서비스 기업, 중소 협력사까지 표적이 되고 있다. KISA도 랜섬웨어 공격 대상이 연구·제조·금융·에너지뿐 아니라 교육·의료 등으로 확대되고 있다고 밝혔다.

중소·중견기업은 대기업보다 보안 전담 인력과 예산을 확보하기 어렵다. 오래된 운영체제나 외부에 노출된 원격접속 장비, 제때 보완되지 않은 소프트웨어 취약점도 공격 통로가 될 수 있다. 피싱 메일, 원격데스크톱프로토콜(RDP) 공격, 가상사설망(VPN) 취약점 악용 등이 주요 침투 수법으로 꼽힌다.

공격자가 반드시 개인정보만 노리는 것도 아니다. 제조기업의 설계도면과 생산 자료, 전사적자원관리(ERP) 시스템을 암호화하면 공장 가동과 출고를 멈출 수 있다. 병원에서는 진료 기록과 의료영상에 접근하지 못하게 만들 수 있다. 피해 기업은 업무 중단이 길어질수록 손실이 커지기 때문에 공격자의 금전 요구에 강한 압박을 받는다.


중소기업이 대기업보다 가치가 낮은 표적이라는 인식도 무너지고 있다. 한 곳에서 거액을 받아내지 못하더라도 보안이 취약한 여러 기업을 동시에 공격하면 수익을 올릴 수 있기 때문이다. 중소기업과 협력사의 업무 시스템이 연결되면서 한 기업의 장애가 거래처와 공급망으로 번질 가능성도 커졌다. 랜섬웨어 조직이 기업 규모와 업종을 가리지 않고 공격 대상을 넓히는 배경이다.

랜섬웨어 진화 단계별 특징

박진형 기자 jin@etnews.com