2024년 랜섬웨어 환경은 상당한 변화를 겪었으며, ‘ 가상자산 ’는 여전히 갈취 행위의 중심적인 역할을 수행하고 있습니다. 그러나 법 집행 기관의 단속 강화, 국제적 협력 증진, 그리고 피해자들의 지불 거부 경향이 확산됨에 따라 랜섬 지불 총액은 전년 대비(YoY) 약 35% 감소했습니다.
이에 대응해 많은 공격자들은 전술을 전환했으며, 브랜드를 변경하거나 유출된 코드, 혹은 구매한 코드를 바탕으로 새로운 랜섬웨어 변종이 등장하면서 위협 환경이 더욱 적응력이 뛰어나고 민첩해졌음을 보여주고 있습니다. 또한 랜섬웨어 공격의 진행 속도도 빨라져, 데이터 유출 후 몇 시간 내에 협상이 시작되는 경우가 흔해졌습니다. 공격자의 범위는 국가 차원의 행위자부터 랜섬웨어-어-서비스(RaaS) 운영 조직, 단독 행위자, 그리고 클라우드 서비스 제공업체인 스노우플레이크( Snowflake)로부터 데이터를 갈취하고 훔친 집단과 같은 데이터 절도 및 갈취 그룹에 이르기까지 다양합니다.
이번 장에서는 이러한 발전 양상과 그 시사점을 살펴볼 것이며, 올해의 추세를 잘 보여주는 다양한 사례 연구—LockBit, 이란산 랜섬웨어 변종, Akira/Fog, INC/Lynx 등—도 함께 다룰 것입니다.
상반기 중반을 기점으로 랜섬웨어 활동이 변화하고 있다
2024년, 랜섬웨어 공격자들은 피해자들로부터 약 8억 1,355만 달러를 몸값으로 받았는데, 이는 12억 5천만 달러라는 사상 최고치를 기록했던 2023년에 비해 35% 감소한 수치이며, 2022년 이후 처음으로 랜섬웨어 수익이 감소했다.
연중 범죄 동향 보고서에서 언급한 바와 같이, 2024년 1월부터 6월까지 랜섬웨어 공격자들이 갈취한 금액은 4억 5,980만 달러에 달했으며, 이는 2023년 같은 기간에 갈취된 금액보다 약 2.38% 증가한 수치입니다. 또한 2024년 상반기에는 ‘다크 엔젤스(Dark Angels)’에 지급된 사상 최대 규모인 7,500만 달러와 같은 몇 건의 유난히 거액인 몸값 지불 사례도 있었습니다.
전반기 대비(HoH) 증가폭은 미미했지만, 우리는 2024년이 연말까지 2023년의 총액을 넘어설 것으로 예상했습니다. 다행히도 2024년 7월 이후 지불 활동은 약 34.9% 감소했습니다. 이러한 감소세는 2021년 이후 랜섬 지불액의 전분기 대비 감소세와, 자금 탈취와 같은 일부 유형의 ‘ 가상자산 ’ 관련 범죄에서 2024년 하반기에 나타난 전반적인 감소 추세와 유사합니다. 특히, 올해의 감소폭은 지난 3년 동안의 감소폭보다 더 뚜렷합니다.
상반기 매출 기준 상위 10개 랜섬웨어 변종을 면밀히 분석하면, 이러한 월별(HoH) 추세를 주도하는 그룹에 대한 귀중한 인사이트 정보를 얻을 수 있습니다. 아래 차트에서 볼 수 있듯이, 2023년 3월 이후 250개 이상의 기관을 표적으로 삼아온 ‘아키라( Akira)’는 2024년 하반기에도 활동을 확대한 유일한 상반기 상위 10개 랜섬웨어 변종입니다. 2024년 초 영국 국가범죄청(NCA)과 미국 연방수사국(FBI)에 의해 활동이 저지된 ‘LockBit’의 경우, 2024년 하반기 지불액이 약 79% 감소하여 국제 법 집행 기관 간 협력의 효과를 입증했습니다. 2023년 수익 상위권 랜섬웨어 변종 중 하나였던 ALPHV/BlackCat은 2024년 1월 ‘엑시트 스캠’을 감행하며 하반기에 공백을 남겼다.
랜섬웨어 사고 대응 전문 기업인 코브웨어( Coveware)의 사고 대응 담당 수석 이사 리지 쿡슨(Lizzie Cookson)은 다음과 같이 말했습니다. “LockBit과 BlackCat/ALPHV가 무너진 이후 시장은 결코 이전의 상태로 돌아가지 않았습니다. 단독 행위자들의 활동은 증가했지만, 과거 주목할 만한 조직들이 적발되거나 해체된 후 보였던 것처럼 어떤 그룹도 이들의 시장 점유율을 신속하게 흡수하는 모습은 보이지 않았습니다. 현재 랜섬웨어 생태계에는 중소 규모 시장에 주력하는 신생 세력들이 대거 유입되어 있으며, 이로 인해 랜섬 요구액도 상대적으로 낮은 편입니다.”
H2 기간 동안 랜섬웨어 지불 활동이 감소한 원인을 더 깊이 파악하기 위해, 우선 랜섬웨어 사건을 간접적으로 나타낼 수 있는 데이터 유출 사이트를 살펴보았습니다. 아래 차트에서 볼 수 있듯이, 랜섬웨어 사건 수는 H2에 접어들면서 증가했으나 온체인 지불 건수는 감소했는데, 이는 표적이 된 피해자는 늘었으나 실제로 지불한 피해자는 줄었음을 시사합니다.
출처: ecrime.ch
2024년에는 데이터 유출 사이트들이 그 어느 해보다 많은 피해자를 공개했습니다. 추정 피해자 수가 늘어난 것뿐만 아니라, 레코디드 퓨처(Recorded Future)의 위협 인텔리전스 분석가 앨런 리스카(Allan Liska)에 따르면, 2024년에는 56개의 새로운 데이터 유출 사이트가 등장했는데, 이는 레코디드 퓨처가 2023년에 확인한 수치의 두 배 이상입니다. 그러나 데이터 유출 사이트 정보와 이것이 랜섬웨어 생태계에 대해 시사하는 바를 해석할 때는 몇 가지 주의할 점이 있습니다.
eCrime의 위협 연구원인 코르신 카미첼(Corsin Camichel)은 데이터 유출 사건의 신빙성에 대해 더 자세한 정보를 공유했습니다. “우리는 특정 조직을 표적으로 삼았다고 주장하는 유출 사이트 게시물을 확인했으나, 심층 분석 결과 이는 사실이 아닌 것으로 드러났습니다. 예를 들어, 다국적 기업을 대상으로 했다는 주장이 있었지만, 실제로는 소규모 자회사만 피해를 입은 사례도 있었습니다. 2024년에는 100개 이상의 조직이 두 곳 이상의 데이터 유출 사이트에 등재되었습니다. ‘MEOW’ 유출 사이트가 이 과정에서 큰 역할을 하고 있는데, 이 사이트는 웹사이트를 해킹해 웹 서버나 데이터베이스에서 빼낸 데이터를 게시하는 것으로 보입니다.” 앞서 언급된 랜섬웨어 지불액과 데이터 유출 사이트 피해자 수 간의 역상관 관계가 나타나는 또 다른 이유는, 위협 행위자들이 피해자 수를 과장하거나 거짓말을 하거나, 과거 피해자들의 주장을 재게시하다가 적발되었기 때문일 수 있습니다. “LockBit 운영자들은 ‘Operation Cronos’라는 법 집행 기관의 단속 이후에도 여전히 영향력이 있고 활동 중이라는 인상을 주기 위해 속임수를 썼는데, 이전에 게시된 주장을 다시 올리거나 오래전, 심지어 1년 이상 전에 발생한 공격 사례를 추가하기도 했습니다,”라고 카미첼은 덧붙였습니다.
리스카는 또한 데이터 유출 사이트에 게시된 허위 피해자 정보에 대해 다음과 같이 설명했습니다. “특히 락비트(LockBit)의 경우, 법 집행 기관의 단속 이후 지하 커뮤니티 대다수로부터 배척당하자 여전히 영향력을 유지하기 위해 데이터 유출 사이트에 최대 68%에 달하는 중복되거나 아예 조작된 피해자 정보를 게시했습니다.”
LockBit의 활동 중단과 BlackCat의 엑시트 사기 사태 이후, 또 다른 흥미로운 현상은 LockBit과 BlackCat에서 밀려난 운영자 다수를 흡수한 RansomHub RaaS의 부상이었다. Camichel에 따르면, RansomHub는 2024년에 가장 많은 피해자를 기록했으며, 온체인 데이터에 따르면 2024년 2월에야 등장했음에도 불구하고 2024년 상위 10대 랜섬웨어 변종에 이름을 올렸다.
사고 대응 데이터에 따르면, 요구된 금액과 실제로 지불된 금액 간의 격차가 계속 확대되고 있는 것으로 나타났으며, 2024년 하반기에는 두 금액 간의 차이가 53%에 달했습니다. 사고 대응 업체들의 보고에 따르면, 대다수의 고객이 아예 지불하지 않기로 선택하고 있는 것으로 보이며, 이는 실제 격차가 아래 수치에서 나타나는 것보다 더 크다는 것을 의미합니다.
우리는 이러한 피해자의 회복탄력성에 대해 더 자세히 알아보기 위해 사이버 보안 사고 대응 전문 기업인 키부 컨설팅( Kivu Consulting)의 EMEA 지역 사고 대응 담당 이사인 댄 손더스(Dan Saunders)와 이야기를 나눴다. “저희 데이터에 따르면, 협상의 약 30%가 실제로 대금 지급으로 이어지거나 피해자가 몸값을 지불하기로 결정합니다. 일반적으로 이러한 결정은 구체적으로 유출된 데이터의 가치에 대한 인식에 기반해 내려집니다,”라고 그는 말했습니다. 마찬가지로 쿡슨은 사이버 위생 관행의 개선과 전반적인 회복탄력성 덕분에 피해자들이 점점 더 요구를 거부하고 공격으로부터 복구하기 위한 다양한 대안을 모색할 수 있게 되었다고 지적했습니다. “피해자들은 궁극적으로 복호화 도구가 최선의 선택이라고 판단하고 최종 지불액을 낮추기 위해 협상할 수도 있지만, 더 자주 최근 백업본을 통해 복구하는 것이 더 빠르고 비용 효율적인 방법이라는 것을 깨닫게 됩니다,”라고 그녀는 덧붙였다. 최종 지불액은 초기 요구액과 관계없이 대개 15만 달러에서 25만 달러 사이였다.
아래 그림을 살펴보면 2024년까지 랜섬웨어 몸값 지불액 분포의 변화를 확인할 수 있습니다. 2020년에는 랜섬웨어 몸값 지불액 분포에 긴 꼬리가 있었지만 단일 피크만 나타났던 반면, 2024년에는 세 가지 유형의 랜섬웨어 공격자가 나타났습니다. ‘포보스( Phobos)’와 같은 일부 공격자의 경우 평균 몸값이 500~1,000달러 미만으로 집중되어 있습니다. 또 다른 그룹은 10,000달러 전후에, 세 번째 그룹은 100,000달러 이상의 몸값을 요구하며, 이 중 일부는 100만 달러에 달하기도 했습니다. 또한 분포의 상위권에서 발생하는 사건이 더 많아졌는데, 이는 100만 달러를 초과하는 공격의 비율이 상대적으로 증가했음을 의미합니다.
이러한 분류는 쿡슨이 관찰한 랜섬웨어 공격자 구도의 변화를 반영한 것으로, 소규모 그룹들이 저액 및 중액 몸값 지불을 주도하는 반면, 7~8자리 수에 달하는 이례적인 몸값 사례들은 분포를 오른쪽의 세 번째 지불 등급 쪽으로 밀어내고 있다.
아래 차트에서는 총 갈취 금액(거품 크기), 지불액 중앙값(X축), 갈취 사건 지수(Y축) 측면에서 어떤 변종이 가장 심각한지 확인할 수 있습니다.
랜섬웨어 자금 세탁: 자금은 어디로 흘러가는가?
랜섬웨어 자금 세탁 수단을 파악하면, 공격 성공 후 위협 행위자의 행동 양상에 대한 중요한 인사이트 을 얻을 수 있으며, 이를 통해 법 집행 기관은 보다 효율적으로 대응할 수 있고, 경우에 따라서는 확립된 패턴을 바탕으로 향후 행동을 예측할 수도 있습니다.
아래 차트에서 볼 수 있듯이, 랜섬웨어 자금은 주로 중앙화 거래소(CEX, 자금 인출 용도), 개인 지갑(자금 보관 용도), 브리지(자금 이동 경로를 은폐하기 위한 용도)를 통해 유입되었습니다. 2024년에는 믹서 사용이 상당히 감소한 것으로 나타났습니다. 과거에는 믹싱 서비스가 랜섬웨어의 분기별 자금 세탁 흐름 중 10%에서 15%를 꾸준히 차지했습니다. 수년에 걸쳐 랜섬웨어 공격자들의 믹싱 사용이 감소한 점은 매우 흥미로운 현상이며, Chipmixer, Tornado Cash, Sinbad에 대한 제재 및 법 집행 조치의 파급력을 입증하는 사례입니다. 믹서 대신, 랜섬웨어 공격자들이 자금 인출을 용이하게 하기 위해 크로스체인 브리지에 점점 더 의존하고 있는 것으로 나타났습니다. 반면, 중앙화 거래소(CEX)는 여전히 랜섬웨어 자금 인출 전략의 주축을 이루고 있으며, 2024년에는 이러한 유형의 서비스에 대한 의존도가 평균보다 약간 높은 수준(39%, 2020년부터 2024년까지 기간의 37% 대비)을 보였습니다.
개인 지갑에 보관된 막대한 규모의 자금을 주목할 필요가 있습니다. 흥미롭게도, 주로 금전적 동기를 가진 랜섬웨어 운영자들은 그 어느 때보다 자금 인출을 자제하고 있습니다. 우리는 이러한 현상을 주로, 랜섬웨어 자금 세탁에 가담하거나 이를 조장하는 개인 및 서비스를 대상으로 한 법 집행 기관의 예측 불가능하고 단호한 조치로 인해 경계심이 높아지고 불확실성이 커진 데 기인한다고 봅니다. 이로 인해 위협 행위자들은 자금을 어디에 안전하게 보관해야 할지 확신을 갖지 못하고 있습니다.
위 차트에서 확인되는 각 추세 뒤에는 수많은 요인이 작용했을 가능성이 높지만, 2024년 10월 이후 KYC 미적용 거래소 이용이 감소한 것은 2024년 9월에 발생한 두 가지 사건, 즉 러시아 기반 거래소 ‘크립텍스(Cryptex) ’의 지정과 독일 연방범죄수사국(BKA)이 러시아어권 KYC 미적용 거래소 47곳 가상자산 을 압수한 조치 때문인 것으로 보입니다. 이러한 단속 조치의 시기가, KYC 미적용 거래소로 유입되는 랜섬웨어 자금이 감소하기 시작한 시기와 겹친 점은 눈에 띕니다.
랜섬웨어 사례 연구
파네프의 체포와 이것이 록비트(LockBit)의 운영에 미친 영향
2019년부터 2024년 사이, 이스라엘-러시아 이중 국적자인 로스티슬라프 파네프는 락비트(LockBit)를 지원하는 데 핵심적인 역할을 한 것으로 알려졌다. 그는 공격자들이 해킹당한 시스템에 연결된 임의의 프린터에서 몸값 요구서를 출력할 수 있게 해주는 도구를 포함해 이 단체를 위해 여러 도구를 개발한 혐의를 받고 있으며, 이에 대한 대가로 약 23만 달러 상당의 비트코인(BTC)을 받은 것으로 전해졌다. 록비트의 관리자 드미트리 유리예비치 호로셰프를 비롯한 러시아 국적자들은 이러한 공격에 가담한 혐의로 이미 제재를 받은 바 있지만, 랜섬웨어가 전 세계의 행위자들이 연루된 진정한 글로벌 위협이라는 점을 인식하는 것이 중요하다. 파네프는 현재 이스라엘에 체류 중이며, 사기 공모, 사이버 범죄, 전신 사기 및 기타 범죄 혐의로 수배 중인 미국으로의 인도 절차를 기다리고 있다.
Reactor 그래프에서 볼 수 있듯이, 기소장에 따르면 2022년부터 2주마다 코로셰프에게 약 5,000달러 상당의 BTC가 이체된 것으로 나타납니다. 그 후 2023년 7월부터 2024년 초까지 매월 약 10,000달러 상당의 BTC가 코로셰프에게 이체되었습니다.
파네프의 체포는 록비트(LockBit)가 재편성할 수 있는 능력에 상당한 타격을 입혔을 가능성이 있으며, 범죄가 발생한 지 수년이 지난 후에도 블록체인의 투명하고 변경 불가능한 특성 덕분에 법 집행 기관이 불법 활동을 추적하고 초국적 사이버 범죄 조직을 무력화할 수 있음을 다시 한번 부각시켰다. 록비트의 해체와 파네프의 체포는 2024년의 주요 성과였으며, 이로 인해 생태계가 더욱 분산되고 조직적 연계가 약화되는 방향으로의 전환을 촉발했다.
이란의 랜섬웨어 연루
러시아어를 사용하는 사이버 범죄자들 외에도, 지난 몇 년 동안 이란 국적자들도 랜섬웨어 공격을 조장하고 실행한 혐의로 미국 재무부 산하 해외자산통제국(OFAC)으로부터 제재를 받았습니다. 또한 저희는 이전에 LockBit 계열 조직이 이란산 랜섬웨어 변종과 연계하여 활동하고, 이란의 한 거래소에 자금을 입금한 사실을 보여주는 온체인 증거를 확인한 바 있습니다.
다행히도, 온체인 분석을 통해 이란의 공격 주체들이 브랜드를 변경하거나 다른 RaaS로 전환하는 과정을 파악할 수 있습니다. 아래 체이널리시스 Reactor 그래프에서 볼 수 있듯이, 우리는 네 가지 서로 다른 랜섬웨어 변종을 동일한 이란계 위협 행위자와 연결지었습니다. 이 행위자는 인기 있는 RaaS 변종도 배포했을 가능성이 높습니다. 또한 전 세계 여러 거래소에서 입금 주소가 재사용되는 것을 확인했는데, 이는 겉보기에는 서로 무관해 보이는 이 변종들을 서로 연결해 줄 뿐만 아니라, 운영자의 이란과의 연관성도 입증해 줍니다.
주요 브랜드의 리브랜딩 및 자회사 출범
아키라(Akira)가 등장한 이후, 이 랜섬웨어는 특히 기업 환경에서 취약점을 악용하는 데 성공을 거두었으며, 여러 차례의 주목할 만한 공격을 통해 세력을 확장해 왔습니다. 앞서 언급했듯이, 아키라는 2024년 하반기 활동 강도를 높인 유일한 상위 10대 랜섬웨어 변종입니다.
2024년 9월, 새로운 랜섬웨어 변종인 ‘Fog’가 등장했으며, 이후 ‘Akira’와 마찬가지로 중대한 취약점을 노리는 능력을 보여왔다. 두 그룹 모두 주로 VPN 취약점을 악용하는 데 주력해 왔는데, 이를 통해 네트워크에 무단으로 접근한 뒤 랜섬웨어를 배포하고 있다.
아키라와 포그는 모두 다른 랜섬웨어 변종들과는 다른 동일한 자금 세탁 방식을 사용해 왔으며, 이는 두 랜섬웨어 간의 연관성을 더욱 뒷받침해 줍니다. 예를 들어, 다음 체이널리시스 Reactor 그래프에서 볼 수 있듯이, 아키라와 포그가 운영하는 여러 지갑이 동일한 비신원확인(no-KYC) 거래소로 자금을 이체한 것으로 나타납니다.
아키라(Akira)와 포그(Fog) 간의 연관성 외에도, 우리는 유사한 온체인 행동 양상을 분석함으로써 INC와 링스(Lynx) 랜섬웨어 변종 간의 연관성( links )을 파악했습니다. 또한 사이버 보안 연구원들은 이 두 변종이 소스 코드를 공유하고 있다는 점도 지적했습니다.
이러한 상호 연관된 관계들은 랜섬웨어 생태계 내에서 나타나는 더 광범위한 추세를 보여줍니다. 바로 법 집행 기관의 감시가 강화됨에 따라 사이버 범죄자들의 전략이 지속적으로 진화하고 있다는 점입니다.
끊임없이 변화하는 위협 환경에 대처하기
2024년의 랜섬웨어 동향은 법 집행 기관의 조치, 피해자의 회복력 강화, 그리고 새롭게 대두된 공격 트렌드에 따른 변화를 반영했습니다. 단속 활동과 사고 대응 업체 및 블록체인 전문가들과의 협력이 많은 랜섬웨어 조직의 활동을 저지하는 데 기여했으며, 이로 인해 이들 조직의 수익성이 감소했습니다. 또한 피해자들은 몸값 요구에 대해 더 강한 저항을 보였으며, 이로 인해 요구 금액과 실제 지불 금액 간의 격차가 확대되었습니다.
악의적인 행위자들이 피해자로부터 받은 자금을 세탁하는 데 점점 더 많은 어려움을 겪고 있음에도 불구하고, 금융 전략은 법 집행 당국의 압박 속에서 계속해서 변화하고 있습니다. 2024년에 이룬 진전을 바탕으로 한 발전을 이어가기 위해서는 지속적인 협력과 혁신적인 방어책이 여전히 핵심이 될 것입니다.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
