유명 드라마 에피소드 10회 분량 공개돼
랜섬웨어와 비슷한 협박 범죄, 기업들 대부분 돈 내고 쉬쉬

[보안뉴스 문가용 기자] 최근 넷플릭스의 인기 드라마 시리즈인 ‘오렌지 이즈 더 뉴 블랙(Orange is the New Black)’의 시즌 5 에피소드 중 10개 분량이 유출되는 사건이 발생했다. 이는 넷플릭스를 상대로 한 협박범의 소행으로, 랜섬웨어만이 온라인 협박 범죄의 유형이 아니라는 것이 증명됐다.


랜섬웨어를 통해 나쁘지 않은 수입을 거둬들인 범죄자들은 ‘협박’의 메커니즘을 흡수, 응용해 다른 모양의 범죄 유형들을 만들어내기 시작했다. 기업이 보관하고 있는 고객 정보나 산업 기밀, 지적 재산 등을 유출시키겠다고 협박하고 돈을 받아내는 것이 최근에 나타나고 있는 범죄 유형 중 하나다. 랜섬웨어는 암호화를 하기라도 했지, 이 경우는 순수 신상털기에 협박을 더한 것이다.

“표적형 공격은 새로운 사이버 보안 위협이며 최근 점점 더 강세를 나타내고 있기도 합니다.” 사이버 보안 전문업체인 나이오트론(Nyotron)의 CEO 니르 가이스트(Nir Gaist)의 설명이다. “어떤 규모의 업체든, 어떤 산업에 속한 업체든 사이버 협박 범죄에 완전히 면역일 수는 없습니다.”

그렇다면 이러한 협박 범죄가 왜 ‘조용히’ 발생하는 것일까? 피해자들이 대부분 사건을 감추기 때문이다. “누군가에게 해킹을 당해 협박을 받은 것까지 모자라 그 범죄자에게 돈까지 쥐어줬다는 사실을 대중에게 알리고 싶은 기업은 없죠. 법이나 표준, 정책에 의해 반드시 보고해야 하는 경우가 아니라면 대부분 그냥 덮어둡니다.”

위에서 언급한 넷플릭스의 경우에도 해당 사건을 알린 사람은 넷플릭스가 아니라 공격자들이었다. 자신들을 더다크오버로드(TheDarkOverload)라고 밝힌 해커(혹은 해킹 그룹)가 이번 주 초 자신이 넷플릭스의 미공개 에피소드를 미리 퍼트린 장본인이라고 주장한 것이다. 더다크오버로드는 지난 12월 소규모 후반 제작 전문 스튜디오인 라슨 스튜디오(Larson Studio)에서 해당 콘텐츠를 훔친 것으로 밝혀졌다.

해커들은 먼저 라슨 스튜디오에 연락해 자신들이 영상을 몇 편 훔쳐냈으니 돈을 내라고 협박했다. 이어서 넷플릭스에도 연락해 같은 협박 내용을 전달했다. 하지만 넷플릭스는 이에 응하지 않았고, 해커는 결국 에피소드를 공개했다. 더다크오버로드는 “넷플릭스뿐 아니라 폭스(Fox), 내셔널지오그래픽(National Geographic)에서도 주요 콘텐츠를 훔쳤다”고 주장하기도 했다.

이러한 온라인 협박 및 사기 범죄에 걸린 조직들을 돕고자 만들어진 네스트 네고시에이션 스트래티지스(NEST Negotiation Strategies)의 CEO 모티 크리스탈(Moty Cristal)은 “넷플릭스 사례는 현재 사이버 협박 범죄가 늘어나고 있다는 걸 그대로 보여주는 사례”라고 설명한다.

이어 크리스탈은 “콘텐츠나 정보를 공개하겠다는 종류의 협박도 있지만 디도스 공격을 하겠다는 협박범도 있다”며 “대부분 돈을 벌기 위한 수단으로 협박을 사용하지만, 피해 조직을 최대한 박살내겠다는 마음으로 공격을 하는 이들이 대부분”이라고 분석한다.

돈을 내느냐 마느냐는 예상되는 피해가 얼만큼이냐에 따라 결정된다. 넷플릭스의 경우 금전적인 손해는 거의 발생하지 않았지만, 안정성 측면에서 기업 신뢰도를 잃었다. “견딜 자신이 있으면 범죄자들에게 돈을 내지 않고, 견딜 자신이 없으면 내는 겁니다. 간단해요.”

흔히 표적형 공격이라고 하면 기술적으로 매우 발달된 사람들만이 실행할 수 있는 것이라고 여기는데, 협박 범죄의 경우 반드시 그렇지만은 않다. 가이스트는 “표적형 공격을 하려면 먼저 작은 취약점이라도 하나 찾아내야 한다”고 설명하며 “하지만 취약점 없는 곳을 찾는 게 더 큰 일일 정도로 취약점은 도처에 널려 있다”고 덧붙였다. “보안에 대한 인식이 덜 여물었기 때문입니다.”

가이스트는 협박을 받더라도 돈을 내지 말아야 한다고 주장한다. “일단 랜섬웨어의 경우와 비슷합니다. 돈을 주면 줄수록 그들은 더 기고만장해지고 부유해집니다. 오히려 공격을 더 해야 하는 이유가 되는 것이죠. 게다가 한 번 돈을 낸 피해자는 공격자들이 높은 확률로 다시 한 번 공격하기도 합니다.”

또 돈을 내지 말아야 하는 이유가 있다. 협박 사기 중에서는 ‘공갈’, ‘허위사실’에 기반한 것들이 많기 때문이다. 작년 아르마다 콜렉티브(Armada Collective)라는 해킹 그룹은 100여개 기업들에 편지를 보내 돈을 내라고 요구했다. 응하지 않을 경우 강력한 공격을 가하겠다고 하며, 수억원 대의 돈을 갈취했다. 하지만 아르마다는 단 한 번도 실제로 공격을 해본 적이 없다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>