일본산업뉴스요약

계속 증가하는 랜섬웨어 피해
방어의 첫걸음은 '현상 유지'에서 탈피하는 것

“치졸한 공격을 허락하는 조직이야 말로 랜섬 갱단의 표적이 된다”. 2025년 2월에 공표된 오카야마현 정신과의료센터의 랜섬웨어 피해 조사보고서에 기재되어 있던 이 구절이 마음에 남아 있다.

필자는 2024년 5월에 오카야마현 정신과의료센터에서 발생한 랜섬웨어 사안을 취재했고, 그 과정에서 피해 경위와 공격 경로, 원인, 대책 등을 정리한 보고서를 읽었다. 보고서는 병원의 랜섬웨어 사안 조사 등에 종사하는 소프트웨어협회의 Software ISAC에 설치된 조사위원회가 발표한 것이다.

보고서를 읽으면서 늘어나는 랜섬웨어 피해를 조금이라도 줄이기 위해서는 앞서 발생한 사안의 보고서를 참고할 수밖에 없다고 생각했다. 좀처럼 들을 수 없는 경위나 원인을 속속들이 아는 것이야 말로 최대의 대책이 아닐까 생각한다.

-- ‘RaaS’ 보급으로 인해 공격도 피해도 확대 --
2024년은 랜섬웨어 피해가 두드러진 한 해였다. 피해 보고가 없는 달이 없을 정도다. 경찰청이 2025년 3월 13일에 발표한 '2024년의 사이버 공간을 둘러싼 위협 정세 등에 대하여'에 따르면, 2024년 경찰청에 보고된 랜섬웨어 피해 건수는 222건으로, 2023년의 197건에서 25건 늘었다.

랜섬웨어 피해 건수를 조직 규모별로 2023년과 비교했을 때, 대기업의 피해 건수는 감소했지만 중소기업의 피해 건수는 37% 증가했다. 경찰청은 이에 대해 “RaaS(Ransomware as a Service, 서비스형 랜섬웨어) 공격 실행자의 저변 확대가, 대책이 상대적으로 허술한 중소기업의 피해 증가로 이어진 것으로 보인다”고 분석했다.

RaaS는 랜섬웨어 개발과 운용, 인프라스트럭처 제공, 몸값 협상 등을 포괄적으로 제공하는 서비스다. RaaS를 사용하면 말웨어나 부정 액세스에 관한 지식이 없고, 기술이 미숙한 범죄자라도 랜섬웨어 공격을 할 수 있다. RaaS의 보급으로 인해 공격자의 저변이 넓어짐에 따라 공격 대상도 넓어지고, 또한 공격으로부터 조직을 지킬 수 없는 기업 때문에 피해 건수가 증가하고 있는 것 같다.

-- ‘운용이 허술’해서는 끝낼 수 없다 --
오카야마현 정신과의료센터의 피해에서는, IT 벤더가 병원정보시스템의 보수용으로 데이터센터에 설치했던 VPN(가상사설망) 장치를 경유해 공격자가 침입했다. 거기에서 Active Directory(AD) 서버나 다른 서버, 단말로 퍼져 나가, 정보를 절취하거나 공격용 툴을 설치하여 데이터 등을 파괴하고 있었다.

보고서에서는 침입 및 전개를 허용한 요인에 대해, 추측하기 쉽고 안이한 ID/패스워드를 사용하고 있었던 점이나 VPN 장치 펌웨어(기반 소프트웨어)가 갱신되지 않았던 점 등을 지적하고 있었다. 모두 정보 시스템의 운용 보수에서는 기본적인 보안 대책이 되어 있지 않았다.

보수를 담당하고 있던 IT 벤더는, 기본적인 보안 대책을 실시하지 않았던 이유를 “관습에 지고 말았다”라고 변명하고 있다. 지금까지 함께 일해 온 대형 IT 벤더가 아무렇지도 않게 패스워드를 돌려 사용하고 있는 것을 봐왔기 때문에 방심한 것 같다.

바로 취약한 시스템이나 네트워크, 조직이 없어지지 않는 이유가, 보수를 담당하던 IT 벤더의 이 한마디에 모두 담겨 있다고 느꼈다.

취재를 하고 있으면 공격자 측은 나날이 진화하고 있다는 것을 통감한다. 그러나 공격받는 측은 ‘옛날의 관습’이나 ‘편리성’을 우선으로 하며 운용을 아무것도 바꾸지 않고 있다. 그러면 공격에 악용될 수 있는 취약성이 생기는 것은 당연한 것이다.

서두에 필자의 마음에 남은 “치졸한 공격을 용서하는 조직”의 정체는 현상유지를 정의로 삼아 시류에 맞춘 변화를 이루지 못하는 조직일 수도 있다. 그렇다면 랜섬웨어 공격의 피해가 늘어날수록, 피해에서 아무것도 배우지 못하고 적절한 변화도 이루어 내지 못하는 조직이 만천하에 드러나게 되는 것은 아닐까? 편리성을 우선으로 하는 현상 유지의 폐해는 랜섬웨어 공격이라는 예상치 못한 형태로 밀려올지도 모른다.

 -- 끝 --
Copyright © 2025 [Nikkei XTECH] / Nikkei Business Publications, Inc. All rights reserved.