랜섬웨어(중요 데이터를 암호화해 몸값을 요구하는 악성 프로그램) 공격자들은 이제 체계적인 비즈니스처럼 협상을 진행합니다. 피해 기업의 연매출과 사이버 보험 가입 여부를 미리 조사한 뒤, 요구 금액을 연매출의 1~5% 수준으로 정하고 협상가·연구원·홍보 담당자 역할까지 분업화하고 있습니다. 단순 암호화를 넘어 데이터 탈취, DDoS 공격(서버를 마비시키는 공격), 고객·언론 접촉 등 복합 협박 수단도 동원합니다. 피해를 최소화하려면 사고 발생 전에 대응 권한자, 관련 이해관계자, 커뮤니케이션 절차를 미리 정해 두는 것이 핵심입니다.
랜섬웨어 공격 그룹이 피해 기업의 매출·보험 정보를 사전 조사하고, 전문화된 팀을 구성해 협상·압박·기술 지원을 분업으로 수행하는 구조가 확인됐다.
단순 파일 암호화에 그치지 않고 데이터 유출, DDoS, 고객 및 언론 접촉 등 다중 협박으로 피해 기업의 협상 입지를 약화시킨다.
공격자들이 지하 서비스 경제(언어 번역·법률 분석·데이터 검토 전문 인력 등)를 활용해 기업 수준의 운영 체계를 갖추었다.
사고 발생 전 대응 권한자 지정, 이해관계자 범위 결정, 공식 커뮤니케이션 채널 수립 등 사전 준비가 필수다.
몸값 요구액이 연매출 기준으로 산정되므로 기업의 재무 정보·사이버 보험 한도가 외부에 노출되지 않도록 관리해야 한다.
본문
이 Help Net Security 영상에서 Intel 471 인텔리전스 퓨전 팀 수석 디렉터 Dave Ross가 랜섬웨어 협상 과정에서 무대 뒤에서 벌어지는 일을 설명합니다.
Ross는 공격이 시작된 후 공격 그룹이 사용하는 전술을 단계별로 설명합니다. 피해자의 매출과 보험 가입 여부 조사부터, 복호화 키를 실제로 보유하고 있음을 증명하는 테스트 복호화까지 다룹니다.
그는 요구 금액이 흔히 연매출의 약 1~5% 수준으로 설정되는 이유, 피해자의 반응에 따라 마감 기한이 달라지는 방식, 그리고 일부 그룹이 연구원·협상가·공개 압박 담당자로 역할을 분업하는 구조를 설명합니다.
또한 언어 능력·데이터 검토·법률 분석을 제공하는 사이버 범죄 서비스 경제와 함께, 데이터 탈취·DDoS 공격·고객 및 언론 접촉 등 다중 협박(multi-extortion) 수법도 소개합니다. 사고 발생 전에 준비해야 할 사항으로는 대변인 권한 지정과 관여할 이해관계자 범위 결정 등을 제시합니다.
