랜섬웨어는 왜 '데이터 탈취·이중협박'으로 진화했나 — 접근통제·접속기록 관점의 방어 원칙

몇 년 사이 랜섬웨어의 '수법'이 아니라 '목적'이 달라졌습니다. 예전에는 데이터를 암호화해 못 쓰게 만든 뒤 복구 대가를 요구하는 것이 전형이었다면, 지금은 데이터를 먼저 빼돌린 다음 "돈을 내지 않으면 공개하겠다"고 위협하는 방식이 함께 쓰입니다. 이 글은 랜섬웨어가 왜 이런 '데이터 탈취·이중 협박'으로 진화했는지, 그리고 그에 맞선 방어의 기본이 왜 측면 이동 차단·최소 권한·접속기록으로 모이는지를 시장 배경 관점에서 담백하게 정리합니다.

이중 협박 랜섬웨어란 데이터를 암호화해 사용을 막는 데 그치지 않고, 공격 과정에서 내부 데이터를 미리 빼낸 뒤 "대가를 내지 않으면 데이터를 공개·판매하겠다"고 추가로 위협하는 방식입니다. 복구용 백업이 있어도 유출·공개 위협은 그대로 남기 때문에, 공격자가 협상력을 높이려고 택한 진화 형태입니다.

왜 랜섬웨어는 데이터를 '탈취'하기 시작했나

초기 랜섬웨어는 파일을 암호화해 업무를 마비시키고 복구 대가를 받는 데 초점이 있었습니다. 그러나 조직들이 백업과 복구 체계를 갖추면서, 암호화만으로는 대가를 받아내기 어려운 상황이 늘었습니다. 공격자 입장에서 협상력이 떨어진 것입니다.

그 대응으로 등장한 것이 데이터를 먼저 빼내는 방식입니다. 암호화 전에 내부 데이터를 반출해 두면, 피해 조직이 백업으로 복구하더라도 "공개·판매하겠다"는 별도의 압박 카드가 남습니다. 여기서 한 단계 더 나아가 암호화 없이 탈취와 공개 위협만으로 협박하는 사례도 거론됩니다. 다만 이런 유형별 비중이나 피해 규모의 구체적인 수치는 출처마다 다르고 변동이 크므로, 본문에서는 특정 통계를 단정하지 않습니다(확인 필요).

핵심은 방어의 무게 중심이 옮겨졌다는 점입니다. '복구할 수 있느냐'만이 아니라 '애초에 데이터가 밖으로 빠져나가지 못하게, 그리고 그 흔적이 남게 만들 수 있느냐'가 함께 중요해졌습니다.

공격은 대개 어떤 순서로 이어지나

이중 협박형 공격은 보통 갑자기 전체가 암호화되기보다, 여러 단계를 거쳐 진행되는 경우가 많습니다. 일반적으로 다음과 같은 흐름으로 설명됩니다.

• 초기 침투: 탈취된 계정, 노출된 원격 접속, 취약점 등을 통해 내부의 한 지점에 발판을 마련합니다.
• 측면 이동: 확보한 발판에서 다른 계정·시스템으로 옮겨 다니며 접근 범위와 권한을 넓힙니다.
• 데이터 수집·반출: 민감 데이터가 있는 곳에 접근해 정보를 모으고 외부로 내보냅니다.
• 암호화·협박: 마지막에 암호화를 실행하고, 앞서 빼낸 데이터를 근거로 이중으로 압박합니다.

여기서 방어의 요체가 드러납니다. 초기 침투를 100% 막기는 어렵더라도, 한 지점의 침투가 곧바로 전체 장악과 대량 반출로 이어지지 않게 중간 단계를 끊는 것이 현실적인 목표라는 점입니다.

방어의 기본 세 가지 원칙

제품이나 도구 이전에, 이중 협박형 랜섬웨어에 대비하는 방어의 기본은 오래된 원칙들로 수렴합니다.

• 측면 이동 차단: 계정·시스템 사이의 이동 경로를 통제해, 한 곳이 뚫려도 옆으로 번지기 어렵게 만듭니다. 접근 경로를 필요한 대상으로 제한하고, 관리 접근을 일반 업무 접근과 분리하는 것이 여기에 해당합니다.
• 최소 권한: 각 계정에 업무에 필요한 범위·기간만큼만 권한을 부여하고, 공용·과다 권한 계정을 줄입니다. 권한이 최소화될수록 침투 후 확대할 수 있는 범위도 좁아집니다.
• 접속기록: 누가 언제 어떤 시스템·데이터에 접근·조회했는지 위·변조 없이 기록하고, 짧은 시간의 대량 조회처럼 평소와 다른 패턴을 탐지할 수 있게 합니다. 기록은 반출 정황을 조기에 알아채고, 사고 발생 시 범위를 규명하는 근거가 됩니다.

이 세 가지는 서로 맞물려 작동합니다. 최소 권한은 측면 이동의 여지를 줄이고, 접속기록은 그 통제가 실제로 지켜지는지와 이상 징후를 확인하게 해 줍니다.

도입·점검 시 확인할 점

• 공용·관리자 계정을 개인 식별 기반으로 통제하고, 불필요하게 넓은 권한이 방치돼 있지 않은가
• 외부·원격 접근 경로가 상시 운영 접근과 분리되어 통제·기록되는가
• 민감 데이터에 대한 접근·조회 이력이 남고, 대량 조회 등 이상 패턴을 탐지·조회할 수 있는가
• 데이터베이스·서버·계정 등 인접 영역의 접근통제가 일관된 기준으로 운영되는가

PNPSECURE는 데이터베이스·시스템 접근통제(DBSAFER)와 접속기록·감사(INFOSAFER) 관점에서 이러한 원칙을 점검하는 데 도움을 줄 수 있습니다. 다만 지원 범위와 세부 기능은 환경에 따라 다르므로 도입 전 확인이 필요합니다(확인 필요). 접근통제와 접속기록은 랜섬웨어 하나만을 위한 것이 아니라, 내부 위협·규제 대응을 아우르는 기본기라는 점에서 장기적으로 함께 볼 영역입니다.

자주 묻는 질문

랜섬웨어의 '이중 협박'은 무엇을 말하나요?

데이터를 암호화해 사용을 막는 것에 더해, 공격 과정에서 미리 빼낸 데이터를 근거로 "대가를 내지 않으면 공개·판매하겠다"고 추가로 위협하는 방식을 말합니다. 복구용 백업이 있어도 유출·공개 위협은 남는다는 점이 단순 암호화형과 다릅니다.

왜 랜섬웨어 방어에 접근통제와 접속기록이 중요한가요?

이중 협박형 공격은 초기 침투 뒤 측면 이동으로 권한을 넓히고 데이터를 반출하는 단계를 거칩니다. 최소 권한과 접근 경로 통제는 그 확산을 어렵게 만들고, 접속기록은 대량 조회 같은 이상 정황을 조기에 탐지하고 사고 범위를 규명하는 근거가 됩니다.

백업만 잘 해두면 랜섬웨어에 대비되는 것 아닌가요?

백업은 여전히 필수지만, 이중 협박형에서는 복구가 가능해도 데이터 유출·공개 위협이 남습니다. 그래서 백업에 더해, 데이터가 밖으로 빠져나가는 것을 막고 그 흔적을 남기는 접근통제·접속기록이 함께 필요합니다.

다음 단계

먼저 관리자·외부 계정의 권한 현황과, 민감 데이터에 대한 접근·조회 이력이 실제로 남고 있는지부터 점검해 보시길 권합니다. 랜섬웨어를 포함한 위협에 대비해 접근통제·접속기록 체계를 점검하고 싶다면 도움을 드릴 수 있습니다. 접근통제·접속기록 점검 상담으로 문의해 주세요.