랜섬웨어 공격, 당할 수밖에 없나

한 달 새 또 찾아와… 웹호스팅 업체 피해 급속 확산

일단 공격을 받으면 달리 손 쓸 도리가 없는 ‘랜섬웨어’의 공격이 국내에서도 빈발하고 있다. 지난달 전 세계를 강타한 랜섬웨어 ‘워너크라이’의 경우 다른 나라와의 시차로 인해 국내 피해가 제한됐다면, 이달 10일 이뤄진 랜섬웨어 ‘에레버스’의 공격은 국내 웹호스팅 업체가 타깃이 되면서 해커에게 거액을 안겨주게 됐다. 개별 기관·기업의 보안 강화를 요구하는 목소리와 함께 정부의 적극적인 대응을 주문하는 목소리가 나온다.

랜섬웨어 에레버스의 공격이 국내에 감지된 것은 지난 10일 새벽 1시쯤. 국내 웹호스팅 업체 인터넷나야나의 인터넷데이터센터(IDC)가 공격 대상이 됐다. 다른 기업이나 단체의 웹사이트를 관리하는 웹호스팅 업체가 랜섬웨어에 감염되자, 피해는 급속도로 확산됐다. 나야나가 관리하는 300대의 서버 중 153대가 감염됐으며, 이로 인해 고객 사이트 3400여곳이 마비됐다.

한국인터넷진흥원 인터넷침해대응센터 종합상황실에서 5월 14일 감시요원들이 랜섬웨어 공격에 대비해 전산망을 감시하고 있다./김영민 기자

예방책은 중요 파일 백업해 두는 것

보안업계에서는 랜섬웨어를 ‘온라인 인질극’이라 부른다. 랜섬웨어는 보안 취약점을 파고들어 사용자의 컴퓨터에 침투한 후 중요 파일이나 시스템에 암호를 건다. 이 암호를 풀기 전까지는 사실상 업무가 마비되는 셈이다. 해커들을 암호를 풀어주는 조건으로 돈을 요구한다. 랜섬웨어라는 명칭도 인질의 몸값을 의미하는 ‘랜섬(Ransom)’과 ‘소프트웨어’의 합성어다.

워너크라이가 마이크로소프트의 운영체제 ‘윈도’의 보안 취약점을 이용해 전 세계적으로 대규모 공격을 성공시켰다면, 에레버스는 공개 운영체제인 ‘리눅스’의 취약점을 악용했다. 공격이 이뤄지는 방식에서 에레버스는 보다 정교한 모습을 보였다. 랜섬웨어 공격에 피해를 입지 않는 최선의 방법은 미리 중요 파일을 백업해두는 ‘예방’인데, 에레버스는 나야나가 원본 자료를 복사해 둔 백업 서버를 먼저 공격했다. 나야나 측이 원본 자료와 백업 자료를 같은 망에 관리한 탓에, 나야나는 두 자료 모두를 동시에 잃었다.

또 다른 차이점은 공격의 범위와 요구 금액이다. 워너크라이는 대규모 공격을 성공시키고 암호를 풀어주는 대가로 각각의 공격대상에게 300~600달러를 요구했다. 하지만 큰 돈을 벌었다고 보긴 어렵다. 이달 16일 기준으로 워너크라이 공격자들이 범죄수익을 챙기는 데 사용한 3개 비트코인 계좌에 입금된 금액은 11만1313 유로(한화 약 1억4000만원)에 불과하다. 감염대상이 광범위했음을 상기하면 입금 횟수 역시 345번으로 많지 않다. 글로벌 보안업체 포티넷의 글로벌 보안전략가 데릭 멘키는 “몸값을 얻어낸다는 작전으로서는 실패한 셈”이라고 진단했다.

해커에게 돈 지불해도 복구 실패 많아

반면 에레버스는 소규모 공격임에도 그 효과는 극대화했다. 에레버스 공격자들은 다수의 서버를 관리하는 웹호스팅 업체에 대한 공격이 성공했음을 포착하자 서버당 10비트코인(한화 약 3270만원)을 요구했다. 나야나의 서버 153개가 감염된 만큼 요구금액은 50억원에 달했다. 지난해 매출 30억원, 영업이익 3억원을 기록한 나야나가 감당할 수 있는 금액이 아니었다. 나야나는 해커와 수차례 협상을 거쳐 지난 14일 13억원을 해커에게 지급하기로 최종 합의했다.

전문가들은 일반적으로 랜섬웨어 공격자들과의 협상은 지양해야 한다고 지적한다. 먼저 돈을 지불해도 복구가 안되는 경우가 상당하다. 당장 지난달 워너크라이 공격자들만 해도 돈만 챙기고 파일 복구는 해주지 않은 것으로 알려줬다. 글로벌 네트워크 보안업체 체크포인트에 따르면, 대부분의 랜섬웨어는 피해자가 돈을 지불하면 피해자의 고유 ID와 비트코인 지갑이 생성돼 누구에게 복호화키(암호를 풀어주는 키)를 보내야 할지 알 수 있다. 하지만 워너크라이는 이런 연결고리가 결여된 것으로 알려졌다. 호주 국영 통신사 텔스트라의 ‘사이버 보안 보고서 2017’을 보면, 지난해 랜섬웨어 공격을 받은 아시아의 업체 중 48%는 해커에게 돈을 지불했다. 그리고 돈을 지출한 이들 중 40%는 파일 복구에 실패했다.

해커 입장에서도 향후 수익 증대를 위해서는 대가를 받고 약속을 이행하는 쪽이 보다 유리하다. 약속이 지켜지지 않으면 누구도 돈을 지불하지 않을 가능성이 높기 때문이다. 하지만 ‘서비스형 랜섬웨어’가 늘면서 피해가 복구되지 않는 경우 역시 늘고 있다. 서비스형 랜섬웨어는 기업형 범죄집단이 의뢰인의 주문을 받아 제작을 대행해주는 랜섬웨어로, 해커 등 전문지식이 없는 사람도 범죄에 이용할 수 있다.

또 국내 기업이 거액을 지불함으로써 여타의 국내 기업들이 해커들의 손쉬운 먹잇감으로 전락할 수 있다는 우려도 나온다. 한 보안업계 관계자는 “고객을 살리기 위한 선택을 할 수밖에 없었던 나야나의 입장도 이해가 되지만, 한 번 협상을 통해 해커에게 굴복하면 (추가 공격으로 국내 업계 모두가) 다 무너질 수 있다”며 “만시지탄이지만 보안에 투자했다면 수천만원, 많아도 1억원이면 막을 수 있는 일에 13억원이나 쓰게 된 점이 안타깝다”고 말했다.

이번 공격은 나야나 측이 망을 분리해 백업 파일을 관리했더라면 예방이 가능했다. 하지만 망 분리에는 통상 많은 비용이 들어가 대부분의 업체가 이를 꺼리고 있다. 그렇다고 대안이 없는 것은 아니다. 투명화 플랫폼을 활용해 하드디스크에 저장된 파일을 감추는 ‘데이터 스텔스 기술’ 등을 활용하면 보다 적은 비용으로 보안을 강화할 수 있다. 국내에선 CI디스크 등의 업체가 이를 개발하고 있다.

정부가 보다 적극적인 대응에 나서야 한다는 지적도 나온다. 13억원이라는 거액이 해커에게 분할 지급됐지만, 우리 정부가 ‘화폐’로 인정하지 않는 비트코인으로 지불된 까닭에 아무런 제재도 가할 수 없었다. 일본에서는 비트코인을 ‘유사 화폐’로 지정해 관리하고 있다. 임종인 고려대 정보보호대학원 교수는 “국가의 사이버 재난 관리가 제대로 이뤄지고 있는지 의문”이라며 “자료 백업에 한계가 있는 영세업자들에게 백업 시스템을 갖출 수 있도록 지원하는 방안을 정부가 내놓아야 한다”고 말했다.

<이효상 경향신문 산업부 기자 hslee@kyunghyang.com>