세인트루이스 공공 도서관, 택사스 경찰서만이 협상 하지 않은 최근 사례
범인들 요구에 응하는 건, 랜섬웨어 범죄 산업을 키우는 꼴

[보안뉴스 홍나경 기자] 세인트루이스 공공 도서관과 텍사스 경찰서 랜섬웨어 공격 사건이 해커에게 돈을 내어주지 않은 가장 최근 사례가 되었다. 그러나 모든 조직들이 그런 건 아니다. 오히려 대부분 기업들이 랜섬웨어 공격에 당했을 때 해커들의 금전적 요구를 순순히 들어 주고 있다는 새로운 조사가 나와 충격을 주고 있다.

세인트루이스 공공 도서관은 지난 20일 랜섬웨어 공격을 당해 총 17개 지점에서 도서 대여 및 예약 시스템이 마비되고, 총 700개 시스템이 작동불능 상태가 되는 사태를 겪었다. 하지만 도서관 측은 해커가 요구한 3천 5백만 원을 지불하는 대신 공격을 당한 후 즉시 FBI에 신고했다. 그리고 FBI와 함께 백업 시스템을 사용하여 서비스를 정상 복구하는 작업을 시작했다.

세인트루이스 공공 도서관의 홍보 담당자인 젠 해튼(Jen Hatton)은 지난 주 목요일 오전에 도서관 모든 지점의 대여 및 예약 시스템이 다시 원상복구 됐고 도서관 내 컴퓨터와 프린터 예약 및 사용도 다시 가능하다고 말했다. 아직 문제가 100% 해결된 건 아니지만 도서관 내부의 다양한 데이터베이스에 접근이 가능하기 때문에 모든 도서관들이 문을 연 상태인 것으로 밝혀졌다. 해튼은 FBI의 조사가 진행 중이라는 사실 외에 공격에 대한 자세한 사항은 언급하지 않았다.

이번 주 초 세인트루이스 공공 도서관의 선임 관리자인 월러 맥과이어(Waller McGuire)는 도서관에 발생한 랜섬웨어 공격으로 인해 상당히 힘든 시간을 보냈다고 말했다. 그는 도서관의 디지털 자료들이 계속해서 사람들에게 열람 가능하도록 하기 위해 취했던 도서관의 노력을 강조하며 “정보를 인질로 돈을 뜯어내기 위한 행위는 매우 끔찍한 것입니다. 어떤 공용 도서관이라도 이런 랜섬웨어 공격을 당했다면 힘들었을 것입니다”라고 덧붙였다.

그러나 이런 대응을 하는 조직이 생각보다 많지 않다. 아직까지는 데이터를 복구하기 위해서 해커에게 돈을 주겠다고 응답한 기업들의 수가 해커의 요구를 거절하겠다고 말한 기업들보다 증가하고 있는 추세이기 때문이다.

이에 대한 예로 보안 기업인 카보나이트(Carbonite)에서 진행한 연구에 응답한 중소기업 중 53%의 기업들이 랜섬웨어에 당했다고 가정했을 때 데이터 복구를 위해서 해커에게 돈을 지불하겠다고 대답했다. 반면 이보다 6%p가량 낮은 수치인 47%는 데이터 손실 피해를 겪는 다고 하더라도 절대 해커에게 돈을 주지 않겠다고 답했다. 또한, 48%의 기업이 현재까지 평균 2백 5십만 원 가량의 금액을 복호화 키를 얻는 대가로 이미 해커에게 지불했다고 밝혔다.

컴퓨터 전문업체인 IBM에서 작년에 실시한 비슷한 조사에 따르면 소기업부터 대기업에서 근무하고 있는 1000명의 보안 전문가들 중 60% 이상이 랜섬웨어 공격을 당했을 때 돈을 내어주고 피해를 수습하겠다고 답했다. 또한, 70% 이상이 이미 천만 원에서 사천만 원 사이에 해당하는 금액을 해커에게 지불한 적이 있다고 말했다.

최근 몇 달 동안 랜섬웨어 공격들이 상당히 증가했음에도 불구하고 카보나이트의 조사에 따르면 57%나 되는 중소기업들이 ‘자신들의 기업이 규모가 크지 않기 때문에 사이버 공격위협으로부터 상대적으로 안전하다’는 잘못된 믿음을 갖고 있어 지속적으로 피해를 입고 있는 것으로 밝혀졌다. 또한, 카보나이트는 이번 조사를 통해 랜섬웨어 공격을 심각하게 여기고 있는 중소기업들은 66%이지만 13%의 기업들만이 자사의 랜섬웨어 방어력이 매우 높은 것으로 생각하고 있다는 사실을 알아냈다고 했다.

세인트루이스 공공 도서관 랜섬웨어 사건은 최근 랜섬웨어의 희생양이 된 유명 기관들이 올바른 행보를 택한 좋은 사례 중 하나이다. 세인트루이스 도서관 사건과 비슷한 예로는 작년 11월에 발생한 샌프란시스코 경전철 티켓팅 시스템 랜섬웨어 공격이 있다. 당시 샌프란시스코 교통국은 7천 300만 원을 해커에게 지불하는 대신 주말 동안 무료로 승객들에게 전철을 개방했었다.

또한, 올해 초 랜섬웨어 공격을 당한 게임 사이트 ESEA도 사용자 150만 명의 이메일, 핸드폰 정보를 빌미로 1억을 요구한 해커에게 돈을 건네지 않아 모범 사례를 남겼다. 당시 ESEA 측은 “랜섬웨어 공격을 감행한 해커에게 돈을 주지 않기로 결정했으며 ESEA는 고객 데이터 보안을 중요하게 생각합니다. 또한, 정부 당국에 사건을 보고하고 조사 중이며 사이트의 취약점들을 보완하는 작업을 수행중입니다”라고 공식 입장을 밝혔었다.
[국제부 홍나경 기자(hnk726@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>