랜섬웨어 공격이라고 하면 보통 회사 대표나 임원을 노리는 정교한 사기 메일을 떠올리기 쉬운데요. 실제 공격 조직들이 움직이는 방식은 좀 다르다고 해요. 이들이 진짜 노리는 사람은 화려한 직함의 CEO가 아니라, 조용히 서버실과 계정 시스템을 관리하는 40대 IT 관리자라는 거예요.
왜 CEO가 아니라 IT 관리자일까요
생각해보면 당연한 이야기인데요. CEO는 회사에서 가장 높은 사람이지만, 정작 시스템에 대한 '실질적인 권한'은 거의 없어요. 이메일 계정 하나 털어봐야 민감한 문서 몇 개 나오는 정도거든요. 반면 IT 관리자는 어떨까요? 도메인 관리자 계정, 그러니까 회사 전체 PC와 서버를 한 번에 제어할 수 있는 최상위 계정을 갖고 있고요. 백업 시스템 콘솔, 보안 솔루션(EDR) 관리 화면, 원격 접속 도구까지 전부 이 사람 손에 있어요. 공격자 입장에서는 이 계정 하나만 확보하면 보안 솔루션을 끄고, 백업을 지우고, 랜섬웨어를 전사에 배포하는 것까지 일사천리로 진행할 수 있는 거죠.
공격은 어떻게 이뤄질까
공격 조직은 먼저 링크드인 같은 곳에서 공개된 정보를 뒤져 조직도를 그려요. 누가 인프라를 담당하는지, 회사가 어떤 솔루션을 쓰는지까지 파악하고요. 그다음에 꺼내는 무기는 의외로 '전화'예요. 헬프데스크에 전화를 걸어 그 IT 관리자인 척하면서 '비밀번호를 잊어버렸다', 'MFA 기기를 바꿨으니 재설정해달라'고 하는 거죠. 이런 수법을 비싱(voice phishing, 음성 피싱)이라고 하는데요. 2023년 MGM 리조트가 뚫렸을 때도 공격 그룹 스캐터드 스파이더(Scattered Spider)가 전화 몇 통으로 초기 침투에 성공한 것으로 알려져 있어요. MFA 피로 공격이라는 수법도 있어요. 이게 뭐냐면, 인증 승인 알림을 수십 번씩 계속 보내서 짜증이 난 담당자가 실수로라도 승인 버튼을 누르게 만드는 거예요. 기술의 허점이 아니라 사람의 피로를 노리는 거죠.
그리고 한 가지 더 씁쓸한 포인트가 있는데요. 협박 단계에서도 IT 담당자가 표적이 돼요. 회사가 몸값 협상을 미루면 담당자 개인에게 직접 연락해 압박하는 사례도 있다고 해요. 침투할 때도, 협박할 때도 가장 효과적인 지점이 바로 이 자리라는 거예요. 회사의 모든 열쇠를 쥐고 있지만, 경호를 받는 것도 아니고 이름이 알려진 것도 아닌 사람이니까요.
랜섬웨어 산업의 분업화라는 맥락
이런 흐름은 랜섬웨어 생태계가 '산업화'된 것과 관련이 깊어요. 요즘 랜섬웨어는 한 팀이 처음부터 끝까지 다 하지 않아요. 초기 침투만 전문으로 해서 확보한 계정을 파는 초기 침투 브로커(IAB)가 있고, 랜섬웨어 자체를 서비스처럼 빌려주는 RaaS(Ransomware-as-a-Service) 모델이 있고요. 분업이 되니까 각 단계가 점점 정교해지는데, 특히 침투 단계에서는 값비싼 제로데이 취약점 대신 사람을 속이는 소셜 엔지니어링이 가성비 최고의 수단이 된 거예요. 방화벽은 업그레이드할 수 있지만 사람은 패치가 안 되니까요.
그럼 어떻게 막아야 할까요
방어 쪽에서 나오는 답은 크게 세 가지예요. 첫째, 피싱에 강한 인증 수단으로 바꾸는 것. 문자나 앱 승인 방식 대신 FIDO2 보안키나 패스키처럼 실물 기기와 해당 사이트가 맞아야만 인증되는 방식을 쓰면 전화로 속여서 뚫는 게 거의 불가능해져요. 둘째, 특권 계정 분리예요. 관리자가 평소 메일 보고 웹 서핑하는 계정과 서버를 만지는 관리자 계정을 반드시 분리하고, 관리자 계정에는 PAM(특권 접근 관리) 솔루션으로 접근 기록과 승인 절차를 붙이는 거죠. 셋째, 헬프데스크의 본인 확인 절차 강화예요. 목소리나 사내 정보 몇 개로 본인 확인을 해주면 안 되고, 등록된 번호로 다시 전화를 거는 콜백이나 영상 확인 같은 별도 절차를 정해두는 게 중요해요.
한국 개발자에게 주는 시사점
국내 사정을 보면 이 이야기가 더 남 일 같지 않은데요. 중소·중견기업에서는 IT 담당자 한두 명이 인프라, 보안, 계정 관리를 전부 겸직하는 경우가 정말 많잖아요. 권한이 한 사람에게 몰려 있을수록 공격자에게는 최고의 표적이 돼요. 당장 큰 솔루션을 도입하기 어렵다면, 관리자 계정 분리와 패스키 도입, 그리고 '전화로 오는 재설정 요청은 무조건 정해진 절차로 콜백 확인' 같은 규칙부터 시작해도 방어력이 크게 올라가요. 개발자 입장에서도 자기 계정에 걸린 권한이 필요 이상으로 넓지 않은지 점검해볼 만하고요.
정리하면, 랜섬웨어 조직은 이제 시스템의 취약점보다 '권한을 가진 사람'을 노리고, 그 정점에 IT 관리자가 있다는 이야기였어요. 여러분 회사는 어떤가요? 헬프데스크에 전화 한 통 걸어서 비밀번호 재설정을 요청하면, 과연 몇 단계의 확인을 거치게 될까요?
🔗 출처: Hacker News