[보안 가이드] 랜섬웨어 유형

이중협박 랜섬웨어란?
랜섬웨어 유형과 피해 사례, 예방 방안

Double Extortion Ransomware · Maze · REvil · Egregor

랜섬웨어 유형

랜섬웨어는 다양한 유형의 공격 패턴을 가지고 있습니다. 대표적으로 암호화 랜섬웨어(Crypto Ransomware), 이중협박 랜섬웨어(Double Extortion Ransomware), 잠금 랜섬웨어(Locker Ransomware), 파일리스 랜섬웨어(Fileless Ransomware), 랜섬웨어 서비스(Ransomware as a Service, RaaS) 등이 있습니다. 이번에는 두 번째 유형인 이중협박 랜섬웨어를 소개해 드립니다.

랜섬웨어 유형(Ransomware Types): 암호화 · 이중협박 · 잠금 · 파일리스 · 랜섬웨어 서비스(RaaS)

빠르게 진화하는 랜섬웨어 공격

최근 랜섬웨어 공격은 전개 속도와 전파 방법, 공격 기법 면에서 급격하게 진화하고 있습니다. 초기의 단순한 암호화 랜섬웨어(Crypto Ransomware)는 이제 자동화된 프로세스와 다층적 전파 기법을 통해 단 몇 시간 만에 수많은 시스템을 감염시키며, 그 피해 파급력도 심각해지고 있습니다. 이러한 변화의 핵심에는 네트워크 내 자동 확산, 취약점 스캐닝, 그리고 사용자 실수를 이용한 공격이 자리 잡고 있습니다.

예전에는 공격자가 직접 랜섬웨어 감염을 진행하는 경우가 많았으나, 현재는 취약한 시스템을 자동으로 검색해 침입하는 알고리즘이 적용되어 감염 속도가 빨라졌습니다. 이 때문에 보안 담당자가 초기 침입을 탐지하고 대응하기가 점점 어려워지고 있으며, 피해 확산을 막기 위한 사전 예방과 신속한 대응의 중요성이 더욱 강조되고 있습니다.

또한 공격자들은 단일 경로를 넘어 여러 취약한 경로를 동시에 활용하는 멀티 경로 공격을 구사하고 있습니다. 피싱 이메일(Phishing Email), 악성 웹사이트(Malicious Website), 원격 데스크톱 프로토콜(RDP) 취약점, 소셜 미디어(SNS)를 통한 링크 유인 등을 복합적으로 활용하기 때문에, 한 경로를 막더라도 다른 경로로 쉽게 우회될 수 있습니다.

이중협박(Double Extortion) 랜섬웨어란?

전통적인 암호화 랜섬웨어는 파일을 암호화한 뒤 복호화 키 제공의 대가로 금전을 요구하는 형태에 머물렀습니다. 이중협박 전략은 여기서 한 단계 나아가, 공격자가 피해자의 데이터를 탈취해 보관한 후 금전 요구에 응하지 않으면 해당 데이터를 공개하겠다고 협박하는 방식입니다. 피해자는 파일 복구 문제를 넘어 기업 민감 정보나 개인정보 유출이라는 추가 피해까지 우려하게 되어, 훨씬 강한 심리적 압박을 받게 됩니다. Maze, REvil, Egregor 등 여러 랜섬웨어 그룹이 이 전략을 채택하면서, 금전 요구뿐 아니라 기업의 명예와 고객 신뢰도까지 위협하는 양상을 보이고 있습니다.

랜섬웨어 공격자들은 인공지능(AI)과 머신러닝(ML) 기술도 점차 활용하고 있습니다. ChatGPT 등 AI 기반 도구로 공격 대상의 네트워크 구조, 사용자 행동 패턴, 시스템 취약점을 신속하게 분석하고 맞춤형 공격 전략을 세워 기존 방어 체계를 효과적으로 우회합니다. 클라우드 환경과 IoT 기기 등 새로운 영역으로의 침입도 증가하고 있어, 기존 시그니처(Signature) 기반 보안 솔루션만으로는 대응이 어려운 위협이 계속 발생하고 있습니다.

결국 최신 랜섬웨어의 진화는 공격 속도의 가속화, 다중 경로를 통한 전파, 이중협박 전략의 도입으로 요약할 수 있습니다. 조직과 개인 모두 사전 예방, 실시간 모니터링, 신속한 대응 체계 구축, 정기적인 백업과 보안 패치 등 기본 수칙을 지키는 동시에 최신 위협 동향을 반영해 보안 전략을 재정비해야 합니다. 나아가 국가와 국제 사회 차원의 협력 강화와 정보 공유 체계를 통해 고도화된 사이버 공격에 대응할 필요가 있습니다.

이중협박 랜섬웨어 공격 피해 사례

① 메이즈 랜섬웨어 (Maze Ransomware)

데이터 탈취와 공개 협박을 본격화한 이중협박 랜섬웨어

Maze는 2019년 등장한 랜섬웨어 그룹으로, 데이터 탈취와 공개 협박 기법을 앞세워 전 세계 기업을 공격했습니다. 암호화뿐 아니라 탈취한 데이터를 온라인에 유출하겠다는 협박 메시지를 전달해, 피해 기업의 명예 실추와 고객 신뢰도 하락이라는 심각한 위협을 안겼습니다.

공격 기법: 주로 RDP 취약점과 피싱 이메일을 통해 침투했습니다. 공격자는 취약한 네트워크에 원격으로 접근해 내부로 진입한 뒤, 내부 네트워크를 자동으로 스캔해 추가 취약점을 탐색합니다. 이 과정에서 자동화된 스크립트와 취약점 스캐닝 도구로 다수의 시스템에 빠르게 침투하는 것이 특징입니다.

공격 피해: 암호화와 동시에 내부 민감 데이터를 대량으로 탈취해 공격자의 원격 서버에 저장합니다. 이후 복호화 키 제공과 함께 탈취 데이터의 공개를 막는 대가로 금전을 요구하는 이중협박을 전개했습니다. 고도로 자동화된 암호화로 단 몇 시간 만에 광범위한 파일 암호화를 완료하며, 피해 기업은 데이터 복구뿐 아니라 정보 유출에 따른 평판 손실과 법적 책임 등 다방면의 리스크에 직면했습니다.

Maze 랜섬웨어 공격: 이중 협박 전략 · 공격 기법(RDP 취약점, 피싱 이메일) · 공격 피해(암호화 + 데이터 탈취)

② 레빌 랜섬웨어 (REvil / Sodinokibi)

공급망과 중견 기업을 노린 체계적인 이중협박

Sodinokibi로도 알려진 REvil은 전 세계적으로 가장 악명 높은 랜섬웨어 그룹 중 하나로, 데이터 탈취와 이중협박 방식을 체계적으로 도입했습니다. 특히 2020~2021년 대형 공급망과 다수의 중견 기업을 대상으로 한 공격으로 치명적인 피해를 일으켰습니다.

공격 기법: 주로 제로데이 취약점과 원격 접근 도구(RAT)를 이용해 취약한 시스템에 침입한 뒤 내부 네트워크로 확산되는 다단계 공격입니다. 초기에는 피싱 이메일과 악성 첨부파일로 사용자의 클릭을 유도하고, 실행되면 내부 데이터를 신속하게 암호화하는 동시에 중요 문서와 기밀 정보를 탈취합니다. 이후 탈취한 민감 정보를 온라인에 공개하겠다는 데이터 인질 협박으로 금전을 강요했으며, 실제로 일부 기업은 대규모 금전 요구와 함께 심각한 평판 훼손을 겪었습니다.

공격 피해: 고도로 자동화된 스크립트와 다중 전파 기법으로 단 몇 시간 내에 수십, 수백 대의 컴퓨터를 감염시키며 피해 규모를 급격히 키웠습니다. 특히 글로벌 공급망을 노린 공격으로 다수 산업 분야에 경제적 손실을 입혔고, 국제 공조 수사의 필요성을 부각시키는 계기가 되었습니다.

③ 이그레거 랜섬웨어 (Egregor Ransomware)

네트워크 침입과 자동 확산으로 이중협박을 체계화

Egregor는 2020년 말 등장한 랜섬웨어 그룹으로, 기존 암호화 방식에 데이터 탈취와 공개 협박을 결합한 이중협박을 체계화했습니다. 다양한 산업 분야의 기업을 대상으로 공격했으며, 공격자들이 네트워크 침입과 자동 확산 기술을 어떻게 활용하는지 보여주는 대표적인 사례입니다.

공격 기법: 초기 단계는 주로 RDP 취약점과 비인가 접근으로 시작됩니다. 공격자는 취약한 원격 접속 포인트로 내부에 진입한 뒤, 자동화된 스크립트로 추가 취약점을 탐색하며 감염 범위를 넓혔습니다. 이후 중요 데이터를 신속하게 암호화하는 동시에 민감 정보를 대량으로 탈취했습니다.

탈취한 정보는 공격자의 서버에 저장되며, 피해자가 요구를 거부하면 온라인 커뮤니티나 다크웹에 공개하겠다는 협박이 이어졌습니다. 피해 기업은 파일 복구 비용뿐 아니라 정보 유출에 따른 법적·평판 손실 위험에도 직면했습니다.

공격 피해: 자동화된 취약점 스캐닝과 네트워크 내 확산 기능을 결합해 단 몇 시간 만에 광범위한 시스템을 감염시켰습니다. 이 과정에서 기존 서명 기반 보안 솔루션과 백신이 효과적으로 대응하지 못한 사례가 다수 보고되었고, 행위 기반 탐지와 실시간 모니터링의 필요성이 대두되었습니다. Egregor는 보안 체계 재정비와 다층 방어 체계의 필요성을 보여주며, 취약점 점검, 정기적인 패치 적용, 내부 침입 탐지 강화로 유사 공격에 대비해야 한다는 교훈을 남겼습니다.

Egregor 랜섬웨어 공격: RDP 취약점 → 네트워크 침입 → 암호화·탈취 → 데이터 유출 협박 → 다크웹 유출

이중협박 랜섬웨어 예방 및 대응 전략

Maze, REvil, Egregor 등 이중협박 랜섬웨어의 공격 기술은 계속 진화하고 있습니다. 데이터 암호화와 탈취를 결합한 이중협박은 기업과 기관에 재무적 손실은 물론 평판과 고객 신뢰도에도 치명적인 영향을 미칩니다. 대응 전략을 구축하는 일은 쉽지 않지만, 안전한 보안 상태를 유지하려면 반드시 준비해야 합니다. 다양한 대응 전략 중 다섯 가지를 간략히 정리했습니다.

이중협박 랜섬웨어에 효과적으로 대응하려면 이를 기업과 기관의 전반적인 보안 수준을 높이는 기회로 삼아야 합니다. 행위 기반 탐지 솔루션, 다층 보안 체계, 정기적인 업데이트와 백업, 취약점 관리, 사용자 보안 의식 제고, 국내외 정보 공유 협력을 통합한 보안 전략을 수립해 나가야 할 것입니다.