By LILY HAY NEWMAN, WIRED US

학교와 병원, 애틀란타, 가민, 에이서, 워싱턴DC, 그리고 경찰까지 현재, 랜섬웨어 세력으로부터 안전하지 않다. 지난 몇 년간 데이터값 요구가 증가하고 무차별적으로 겨냥한 공격이 더 심각해졌다. 그러나 랜섬웨어가 안정화될 기미는 보이지 않는다. 최근 들어 형성된 공공 부문과 민간 부문의 협력이 랜섬웨어 퇴치를 위한 협력 대응의 첫 번째 단계가 된다.

보안 및 기술 연구소(IST) 산하 랜섬웨어 전담팀이 감독하는 종합 프레임워크는 랜섬웨어에 대한 기존의 체계가 없는 접근방식 대신 공공 부문과 민간 부문의 더 강력한 대응을 제안한다. 2020년 12월에 출범한 전담팀에는 아마존 웹 서비스와 시스코, 마이크로소프트, 미국 연방수사국(FBI), 국토안보부 산하 사이버보안 및 기반시설 보안 기관(CISA), 영국 국립범죄청 등이 포함되었다. 사이버보안 기업과 사건 대응 기관과 비영리단체, 정부 기관, 학계 등의 권고에 따라 보고서는 공공 부문과 민간 부문 모두 방어 능력을 향상하고 대응 계획을 개발할 것, 국제 법률 집행 협력 강화 및 확대, 암호화폐 규제 등을 요구한다.

그러나 실제 변화에 영향을 미칠 수 있는 정부의 매수 수준도 중요할 것이다. 최근, 미국 법무부는 랜섬웨어 전담팀을 형성했으며, 국토안보부는 2021년 2월, 랜섬웨어 퇴치 노력 적용 범위를 확대하겠다고 발표했다. 그러나 모두 정책을 수립하지는 않았으며, 미국은 지난 수년간 진정한 랜섬웨어 협력 대응을 제공하는 데 큰 어려움을 겪었다.

전직 법무부 및 백악관 사이버보안 관료이자 사이버 전문 재단의 글로벌 포럼 회장으로 보고서에 이바지한 크리스 페인터(Chris Painter) 회장은 “랜섬웨어 관련 문제를 핵심 국가 안보 및 경제 안보 문제로 다루기 시작해야 한다. 그저 사소한 개인 기업의 문제로 치부해서는 안 된다. 개인적으로 현재, 이를 국가 및 경제 안보 문제로 다루기 시작하고 있다고 생각한다. 그러나 이는 항상 랜섬웨어와 같이 매우 중대한 사안에 대중의 이목을 집중시키려는 사이버 세계의 보안 전문가에게 매우 힘겨운 싸움이 됐다”라고 말했다.
 
4월 29일(현지 시각) 공개된 보고서는 랜섬웨어 공격 세력이 가하는 위협과 위협을 최소화할 수 있는 법을 넓은 범위에 걸쳐 자세히 기록했다. 법률 집행기관은 랜섬웨어 조직 추적을 두고 다양한 사법 문제에 직면했다. 랜섬웨어 프레임워크는 미국이 외교 관계 협상을 해, 더 많은 국가가 랜섬웨어 대응에 함께할 방안을 논의한다. 또, 과거, 랜섬웨어 조직의 은닉 공간과 같은 역할을 했던 세력과의 전쟁도 개시하고자 한다.

페인터 회장은 “단순히 랜섬웨어 범죄를 외면한 여러 국가의 대응 참여를 설득할 뿐만 아니라 이를 적극적으로 승인한다면, 랜섬웨어를 넘어 각종 사이버 범죄 문제를 다루는 데 이익이 될 것이다”라고 설명했다. 그러나 여러 국가의 적극적인 랜섬웨어 대응과 함께 여러 사이버 범죄를 다루기 쉽지 않다는 사실도 인정했다. 페인터 회장은 “항상 러시아가 힘겨운 상대이다”라고 언급했다.

일부 연구원은 권고사항을 시행한다면, 실제로 공공 기관과 민간 기관 간 협력 증가로 이어지게 된다고 조심스레 낙관한다. 보안 기업 아가리(Agari) 소속 위협 연구 수석 총괄인 크레인 해솔드(Crane Hassold)는 이메일을 통해 “더 범위가 큰 전담팀이 효과를 얻을 수 있다. 민간 부문의 랜섬웨어 퇴치 전담팀 합류는 문제의 규모를 더 자세히 이해할 수 있다는 장점이 있다. 매일 랜섬웨어 발생 사례를 무수히 많이 보기 때문이다. 반면, 공공 기관은 파괴 목적으로 겨냥한 방식으로 사이버 공격망의 사소한 부분까지 퇴치하는 능력이 더 나아질 것이다”라고 설명했다.

다만, IST 랜섬웨어 전담팀과 미 연방 정부의 새로운 조직이 새로운 프레임워크를 행동으로 옮길 수 있는가가 문제가 된다. 보고서는 국가안전보장회의(NSC)와 미국 정부 내부 합동 랜섬웨어 전담팀, 그리고 업계 주도 랜섬웨어 위협 중심 기관이 이끄는 여러 기관이 함께 하는 협력팀을 모두 백악관의 감독과 협력을 통해 설립할 것을 권고한다.

바이러스 방지 기업 엠시소프트(Emsisoft)의 위협 애널리스트인 브렛 칼로우(Brett Callow)는 “여러 단계에서 신속하며 빠른 결정이 필요하다. 반면, 프레임워크는 모두 매우 훌륭하고 좋지만, 이를 구축할 기관을 확보하는 것은 완전히 다른 차원의 문제이다. 개선이 이루어질 영역이 매우 많지만, 하루아침에 달라지지는 않는다. 매우 오랜 시간에 걸친 어려운 쇄신이 될 것이다”라고 말했다.

칼로우는 랜섬웨어 조직이 요구하는 금전 지급을 엄격히 금지하는 방안이 해결책에 가장 가까울 수 있다고 주장한다. 랜섬웨어 조직이 범죄 행위로 금전적 이익을 취하지 못한다면, 범죄를 계속 저지른다고 해서 얻는 이득은 없을 것이다.

그러나 칼로우가 이야기한 해결책은 여러 해에 걸친 경험과 함께 이루어진다. 특히, 랜섬웨어 문제가 오래 이어질수록 기본 서비스 파괴나 혹은 사람의 생명을 위험에 처하게 하는 등의 문제까지 발생할 수 있다는 점을 고려하면, 병원과 지방정부와 같은 기관은 데이터값을 건네기를 원할 수 있다. 랜섬웨어 프레임워크는 랜섬웨어 피해 대상이 데이터값을 지불해야 하는지 의견을 밝히는 정도에 그치지만, 랜섬웨어 대처 자원 적용 범위를 확대해 피해자가 다른 대안을 찾도록 지지한다.

프레임워크가 잠재적으로 나아갈 길을 제공하지만, 오늘날 랜섬웨어 피해 기관이 느끼는 시급함에는 그리 도움이 되지 않는다. 최근, 랜섬웨어 조직인 바북(Babuk)이 워싱턴 경찰국으로부터 탈취한 250GB 상당의 데이터 유출 위협을 가했다. 권고사항이 없어, 랜섬웨어 공격 발생 상황이나 세계 각지에 무수히 많은 다른 기관의 공격 개시 등 위험성을 줄이지 못할 것이다.

지금도 야심 차면서 성공 가능성이 매우 낮은 랜섬웨어 퇴치 제안이 있는 것이 아무것도 없는 것보다는 낫다. 또, 랜섬웨어 공격 대처의 이익은 각각의 새로운 공격과 함께 더 커질 것이다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
An Ambitious Plan to Tackle Ransomware Faces Long Odds