금전 이익 노리는 랜섬웨어, 더 빠르고 과감해졌다

공격 잠입 기간 419일에서 10일로, 40분의 1 이상 단축

(지디넷코리아=남혁우 기자)“금전적 이익을 노리는 랜섬웨어가 더 많은 이익을 내기 위해 보다 빠르고 과감하게 변하고 있다. 보안이 취약하고 돈을 낼 가능성이 높은 조직을 노려 적극적인 공격을 감행하는 만큼 이에 대한 대응이 필요하다.””

맨디언트의 심영섭 한국 및 일본 지역 컨설팅 리더는 25일 서울 강남구 강남파이낸스센터에서 개최한 미다어 간담회를 통해 ‘2024 M-트렌드 연례 리포트’를 브리핑하며 이와 같이 말했다.

올해로 15회를 맞은 M-트렌드 리포트는 2023년에 수행된 사이버 공격 조사 및 대응 결과를 바탕으로 글로벌 보안 현황을 분석한다.

맨디언트의 심영섭 한국 및 일본 지역 컨설팅 리더

보고서에 따르면, 금전적 이익을 노린 랜섬웨어의 비율이 증가했으며 공격자가 탐지되기 전 시스템에 머무는 공격 지속 시간(드웰타임) 중앙값은 대폭 줄어든 것으로 나타났다.

드웰타임의 경우 2011년 416일에서 2023년 10일로 40분 1 이상 줄어들었다. 심 리더는 드웰타임이 감소된 이유에 대해 전 세계 조직의 보안 역량이 개선됨과 동시에 랜섬웨어 조직의 공격 비율이 줄어들었기 때문으로 분석했다.

그는 “랜섬웨어 조직은 투자 대비 이익을 중요하게 생각하는 만큼 수개월 씩 기다리는 것은 비효율적이라고 판단할 수밖에 없다”며 “그래서 돈을 낼 가능성이 높고 보완 수준이 낮은 기업을 타깃으로 인공지능(AI)나 자동화 도구 등을 사용해 최대한 빨리 공격해 목적을 달성하고 다음 피해자로 이동하는 방식이 주를 이루고 있다”고 설명했다.

금전적 이익을 노리는 랜섬웨어 조직들이 더 많은 이익을 내기 위해 사이버공격을 수행하는 회수가 늘어나면서 드웰타임도 급격하게 줄어드는 것으로 나타났다.

M-트렌드 리포트에 따르면 일본 및 아시아태평양(JAPAC) 지역이 9일로 가장 드웰타임이 짧았으며 가장 많이 표적이 된 산업은 금융 서비스로 전체 조사의 17%를 차지했다. 이어서 비즈니스/전문 서비스(13%), 하이테크(12%), 소매/서비스업(9%), 의료(8%)가 그 뒤를 이었다.

심영섭 리더는 “지난해에는 정부기관을 대상으로 한 공격이 1위를 차지했지만 러시아-우크라이나전이 장기화되면서 이런 추세가 줄어들고 금전을 노린 공격이 늘고 있다”며 “최근 주요 타깃이 되는 산업은 민감한 데이터를 다루고 있을 뿐 아니라 시스템이 마비될 경우 산업이나 인명에 치명적인 피해가 발생할 우려가 있어 금전을 지불할 가능성이 높다는 공통점이 있다”고 설명했다.

사이버공격의 주요 표적은 금융, 하이테크, 제조, 의료 등이었다.

랜섬웨어 공격 비율과 함께 조직 내 공격 탐지 비율도 상승한 것으로 나타났다. 2011년에는 외부에서 침투여부를 발견한 비율이 93%에 달할 정도로 내부 탐지 비율이 낮았지만 2023년에는 내부가 46%, 외부가 54%로 탐지 비율이 10배 이상 늘어난 것으로 나타났다. 사이버공격이 급증한 것을 고려하면 더욱 높은 수치다.

심 리더는 사이버 탐지 기술이 발전했음에도 내부 탐지 비율이 50%를 넘기 어려운 이유는 시스템의 복잡성으로 인한 탐지의 어려움과 사이버 공격자의 기술 발전 때문이라고 설명했다.

시스템을 침투에 쓰이는 악성코드 역시 보안 시스템에 발각되지 않도록 다양한 기술을 사용하고 있을 뿐 아니라 제로데이 공격이나 피싱공격 등 보안 시스템을 우회해 사람을 노린 공격도 수행하고 있기 때문이다

사이버공격의 주요 동기는 금전적 이득을 얻기 위한 것으로 나타났다.

심영섭 리더는 “최근 악성코드들은 보안 시스템에 노출되지 않기 위해 외부 연결없이 내부 서비스를 이용해 핵심 시스템을 장악하는 ‘시스템 자체도구 악용’(LOTL) 기술 등을 활용하고 있다”며 “이 밖에도 기업의 시스템에 침투하기 위해 생성형AI나 대규모언어모델(LLM) 등도 최신 기술을 적극 활용하고 있다”고 설명했다.

그는 급증하고 빠르게 발전하는 사이버 위협에 대응하기 위해 내부 시스템을 명확하게 파악할 수 있는 가시성을 확보해야 한다고 강조했다.

심 리더는 “수 많은 직원 중 한 명만 피싱 공격에 당해도, 보안패치를 잠시만 늦어도 침투를 허용할 수 있는 것처럼 현 상황에서 사이버 공격을 완전히 막는다는 것은 불가능하다”고 현재 보안 싱태를 설명했다.

이어서 “중요한 것은 침투 후 시스템을 장악하거나 핵심 데이터를 암호화해 유출하기 전에 찾아내고 대응하는 것이 핵심”이라며 “이를 위해서 내부 시스템의 구조와 전체 프로세스의 가시성을 확보하는 것에 힘써야 한다”고 강조했다.

남혁우 기자(firstblood@zdnet.co.kr)