8월 한 달, 다크웹 유출 사이트에 이름이 오른 한국 기업만 다섯 곳이다. 자동차 부품 제조사(내부 서버 접근 권한·DB 판매 정황), 중장비 부품·신소재 제조사(Gunra), 온라인 교육 기업(DragonForce), 모터·로봇 기계 제조사(Qilin), 산업용 가스 제조사(SAFEPAY). 안랩 위협 인텔리전스(ASEC)가 주간 단위로 집계한 실제 기록이다.
패턴이 보인다. 대기업이 아니다. 제조업 중심의 중견·중소기업, 그리고 교육 서비스다.
왜 제조 중견·중소가 표적인가
랜섬웨어 조직은 자선 단체가 아니라 사업체다. 표적 선정 기준은 "보안이 얼마나 약한가"와 "돈을 낼 절박함이 있는가"의 곱이다.
- 공장이 멈추면 하루 손실이 몸값보다 크다. 제조업은 가동 중단의 비용이 즉각적이고 계산 가능하다. 공격자가 협상에서 쥐는 카드다.
- IT 담당 인력이 얇다. 생산 설비 투자에 비해 보안 투자는 후순위인 경우가 많고, 담당자 한 명이 전산 전체를 보는 구조가 흔하다.
- 원청과 연결돼 있다. 부품사가 뚫리면 원청 대기업과의 수주 관계까지 흔들린다. "유출 자료를 원청에 보내겠다"는 협박이 실제로 쓰인다.
침투 경로는 늘 같은 세 갈래다
8월의 다섯 건이 특별한 신기술로 뚫렸을 가능성은 낮다. 국내외 침해사고 분석에서 랜섬웨어의 초기 침투는 거의 항상 세 갈래로 수렴한다.
- 외부 노출 원격접속 — VPN·RDP의 취약한 펌웨어 또는 훔친 계정. 최근 SSL-VPN 장비 취약점이 연쇄적으로 실공격에 쓰이는 상황은 SonicWall 분석 글에서 다뤘다.
- 피싱 메일 — 견적서·이력서로 위장한 첨부파일 한 번의 클릭.
- 패치 안 된 공개 서버 — 알려진 CVE가 방치된 웹서버·그룹웨어.
전부 "밖에서 보이는 구멍"이라는 공통점이 있다. 즉, 공격자가 우리를 찾기 전에 우리가 먼저 찾을 수 있는 것들이다.
복구를 좌우하는 건 사고 전의 세 가지다
랜섬웨어 대응의 성패는 감염 후의 임기응변이 아니라 사고 전 준비에서 갈린다. 우선순위 순으로 세 가지만 꼽는다.
- 오프라인·오프사이트 백업 — 같은 네트워크에 붙어 있는 백업은 함께 암호화된다. 백업본 하나는 반드시 네트워크에서 분리된 곳(클라우드 오브젝트 스토리지, 물리 분리 매체)에 두고, 복원 테스트를 실제로 해봐야 한다. 복원 안 되는 백업은 백업이 아니다.
- 초기 침투 경로 셋 봉쇄 — 위 세 갈래(원격접속·메일·미패치 서버)에 대한 점검을 분기 1회라도 정례화한다.
- 당할 경우의 절차 한 장 — 누가 네트워크를 차단하고, 어디에 신고하고(KISA 118), 복구 우선순위가 무엇인지. 한 장짜리 절차서가 있는 회사와 없는 회사는 복구 속도가 다르다.
전체 예방·대응 체계는 중소기업 랜섬웨어 가이드에 정리해 뒀다.
우리 회사가 표적 목록에 오르기 전에
공격자의 정찰은 자동화돼 있다. 우리 회사의 외부 노출면(열린 포트, 방치된 서버, 노출 파일)이 그 자동 스캔에 어떻게 보이는지 먼저 확인하는 것이 방어의 시작이다. 30초 무료 스캔으로 지금 상태를 확인하고, 제조·공급망 환경의 전체 진단이 필요하다면 SENTRIX 모의해킹·취약점 진단으로 이어가면 된다.