최근 언론에서 랜섬웨어가 큰 화제를 모으고 있지만, 사실 이러한 컴퓨터 공격은 그 역사가 1990년대까지 거슬러 올라갑니다. 과거에는 기업을 대상으로 한 공격이 많았지만, 최근에는 일반 개인 사용자를 겨냥한 공격이 급증하며 공격 패턴이 크게 변화하고 있습니다.
개인 사용자를 노리는 해커들은 단돈 100~200달러 수준의 소액 몸값까지 요구하기도 합니다. 일반인은 공격 표적으로 삼기 쉽고, 피해를 신고하지 않는 경우가 많다는 점을 노린 전략입니다. 해커들의 공격 범위가 모든 컴퓨팅 환경으로 확대된 지금, 기업과 개인은 어떻게 랜섬웨어 피해를 줄일 수 있을까요?
랜섬웨어란 무엇인가?
랜섬웨어(Ransomware)는 시스템 파괴나 방해 자체보다 '금전 갈취'에 초점을 맞춘 컴퓨터 공격입니다. 악성 해커들은 컴퓨터 네트워크의 핵심 기능, 데이터 또는 접근 권한을 빼앗은 뒤, 지정된 몸값을 지불하면 시스템에 손상 없이 통제권을 돌려주겠다고 제안합니다.
1990년대 이후 랜섬웨어는 파일 이름만 암호화하던 단순한 악성코드에서, 개인 키를 사이버 범죄자의 서버에 보관하는 강력한 암호화 방식으로 진화했습니다. 이 때문에 사용자가 악성코드를 제거하더라도 감염된 파일은 복구할 수 없으며, 결국 몸값을 지불하는 것 외에는 선택지가 없게 됩니다.
문제는 지난 10년간 랜섬웨어 공격자들이 주로 비트코인을 통해 수백만 달러에 달하는 세금 신고되지 않은 불법 수익을 갈취했다는 점입니다. 더 안타까운 것은 희생자가 요구대로 몸값을 지불했더라도 데이터가 완전히 복원될 것이라는 보장이 없고, 이미 다크웹에서 다른 불법 목적으로 악용되고 있을 가능성도 있다는 사실입니다.
대표적인 예로 2017년 '워너크라이(WannaCry)' 랜섬웨어 공격이 있습니다. 이 공격은 전 세계 수천 대의 컴퓨터를 마비시켰고, 이후 배드래빗(Bad Rabbit), 크립토락커(CryptoLocker), 놋페티야(NotPetya), 샘샘(SamSam) 등 다양한 변종으로 확산되었습니다.
랜섬웨어는 어떤 경로로 컴퓨터에 침투할까?
현재 대부분의 랜섬웨어 변종은 감염된 시스템의 파일을 암호화하는 '크립토 랜섬웨어(crypto-ransomware)' 방식이지만, 파일을 삭제하거나 시스템 접근 자체를 차단하는 '로커 랜섬웨어(locker ransomware)'도 존재합니다. 시스템 접근이 차단되면 파일 잠금 해제를 위해 몸값이 요구되며, 금액은 보통 비트코인이나 상품권으로 200~3,000달러 수준에서 시작됩니다. 해커들은 연락처와 결제 방법이 적힌 랜섬 노트(ransom note)를 남기는 것이 일반적입니다.
랜섬웨어는 PC부터 스마트폰까지 다양한 기기를 기회주의적으로 공격합니다. 또한 외장 하드디스크, USB 메모리, 클라우드 폴더, 네트워크 드라이브처럼 사용자 기기에 연결(매핑)된 드라이브의 파일까지 접근을 차단할 수 있습니다.
랜섬웨어가 유입되는 가장 흔한 경로는 악성 첨부파일과 스크립트가 포함된 악성 이메일입니다. 수신자가 이메일을 열면 컴퓨터나 네트워크에 악성 코드가 자동으로 감염됩니다.
두 번째로 흔한 경로는 소셜 엔지니어링(social engineering)입니다. 감염된 웹사이트의 게시물이나 이메일을 읽던 사용자가 정상적으로 보이는 링크를 클릭하도록 유도하는 방식입니다.
그 외에도 해커들이 인터넷에 허위 광고를 만들어 악성 스크립트를 은밀하게 전송하는 '멀버타이징(malvertising)' 기법도 활용됩니다. 이 과정이 반복되면서 감염은 다른 깨끗한 네트워크와 PC로 확산됩니다.
랜섬웨어가 가져오는 위협은?
랜섬웨어 공격은 막대한 금전적 손실을 초래할 뿐만 아니라 하드웨어 고장, 인적 오류, 정전 등의 문제와도 얽혀 더욱 심각한 결과로 이어질 수 있습니다.
일반적으로 사이버 범죄자들은 0.3~1비트코인 수준의 금액을 요구하지만, 최대 10비트코인을 요구하며 CEO와 조직 전체를 무릎 꿇리는 경우도 있습니다. 더군다나 몸값을 지불하면 해커들은 오히려 더 탐욕스러워져 같은 기업을 반복적으로 공격할 수 있고, 받아들인 몸값으로 불법 활동을 확장하여 다른 피해자들을 만들어내는 악순환이 발생합니다.
최근에는 미국 내 200여 개 기업과 전 세계 수백 개 기업을 덮친 대규모 랜섬웨어 공격이 있었고, 책임을 주장한 러시아 그룹은 데이터 복구 조건으로 7,000만 달러 이상의 비트코인을 요구했습니다. 실제로 러시아 랜섬웨어 조직 REvil은 세계 최대 육류가공업체 JBS에서 1,100만 달러를 갈취한 것으로 알려졌으며, 이로 인해 미국 소고기 생산능력의 20%가 마비되었습니다.
클라우드 데스크톱으로 랜섬웨어 위험을 줄이는 방법
사이버 범죄자들은 대개 인터넷과 소셜미디어에 공개된 피해자 정보를 활용하고, 윈도우 드라이버의 알려진 취약점이나 보안이 취약한 원격 데스크톱 프로토콜(RDP)을 악용해 공격합니다.
몸값을 계속 지불할 경제력이 있다 하더라도 이는 근본적인 해결책이 되지 못합니다. 해커가 항상 파일을 완전히 복원해줄 것이라는 보장이 없기 때문입니다.
랜섬웨어 공격을 완전히 차단하기 어렵다면, 최소한 스스로를 지키기 위한 조치를 취해야 합니다. 예를 들어 정기적인 파일 백업, 최신 백신 프로그램 유지, 보안 패치를 통한 애플리케이션 업데이트 등이 대표적입니다.
그러나 이런 노력에도 불구하고 랜섬웨어에 감염될 가능성은 여전히 존재합니다. 설상가상으로 백업 파일마저 감염될 수 있어 최악의 상황에 빠질 수도 있습니다.
랜섬웨어 피해를 획기적으로 줄이는 매우 효과적인 해결책 중 하나가 바로 '가상 컴퓨터'라고도 불리는 클라우드 데스크톱입니다. DaaS(Desktop-as-a-Service) 방식으로 운영되는 클라우드 데스크톱은 랜섬웨어의 영향을 극적으로 줄여주는 다양한 기능을 제공합니다. 특히 매일 생성되는 스냅샷(snapshot)은 파일과 운영체제를 포함한 VDI(가상 데스크톱 인프라) 전체를 완전하게 백업합니다.
실무적으로 스냅샷은 기업 재해복구(DR) 계획의 '탈출 좌석' 역할을 합니다. 스냅샷은 기본 디스크 이미지와 분리된 완전한 시스템 백업이기 때문입니다. 만약 악성코드가 모든 시스템을 감염시켜 모든 것이 암호화되는 재난이 닥쳐도, 이전 시점의 스냅샷으로 간단히 되돌아가면 됩니다. 이 작업은 하이퍼바이저(hypervisor) 수준에서 수행되므로 랜섬웨어 공격으로부터 면역적이라는 점이 핵심입니다.
결론
지난 20년 동안 랜섬웨어는 사이버 범죄자들에게 유망한 수익원이었고, 개인과 기업에게 만성적인 위협으로 남아 있습니다. 따라서 기업은 랜섬웨어 공격에 대응하는 방어 체계 구축을 결코 가볍게 여겨서는 안 됩니다.
앞서 언급했듯이, 클라우드 데스크톱 도입은 랜섬웨어로부터 자산을 보호할 수 있는 현실적인 방법입니다. V2 Cloud와 같은 클라우드 데스크톱 서비스는 최첨단 스냅샷 기술을 통해 매일 백업을 생성하며, 랜섬웨어 공격을 당하더라도 클릭 몇 번만으로 파일을 완벽하게 복원할 수 있습니다.