'작전 일지' 쓰는 해커들…SKT·예스24 뚫은 랜섬웨어의 진화

랜섬웨어 피해 전년 동기 대비 122% 증가

"사업자, 취약점 점검 및 보안 업데이트 해야"

[사진=게티이미지뱅크]

SK텔레콤과 예스24의 대규모 해킹 사태는 한국 사회 전반에 큰 충격을 안겼다. 은밀하고 치밀하며 집요하다. 보안이 뚫린 것이 아닌 진화한 사이버공격으로 해석된다. 랜섬웨어(문서 암호화를 통해 돈을 요구하는 악성 프로그램) 방식이 더 교묘해지고 있다는 것을 주목할 만하다. 

16일 SK쉴더스가 발간한 '카라 랜섬웨어 동향 보고서'에 따르면 올해 1분기 전 세계 랜섬웨어 피해 건수는 총 2575건에 달한다. 지난해 같은 기간보다 122% 증가했다. 공격 빈도와 강도 모두 강화됐다.

랜섬웨어 조직도 늘었다. 4월에만 5개의 신규 랜섬웨어 그룹이 확인됐고 그 중 4개는 5월까지 정상적으로 활동 중이다. 

'드래곤포스'라는 신규 그룹은 자신들의 조직명을 '카르텔'로 규정한다. 기존 랜섬웨어 조직을 흡수한 뒤 제휴사들에게 자신의 브랜드를 사용하게 해 덩치를 키운다. 다크웹에 통합 유출 플랫폼을 운영한다.

다크웹에 활동 내역을 작전 일지처럼 정리해 올리며 세를 과시하기도 한다. 초창기에는 다른 조직의 랜섬웨어를 차용했지만 최근에는 자체 제작에 나섰다. 이달 독자 공격 플랫폼을 출시에 나설 계획이다.

지난 9일, 예스24가 랜섬웨어에 감염되며 전면 서비스 중단 사태를 겪었다. 공격자는 서버 설정 파일, 스크립트 실행 파일 등 핵심 시스템 파일을 겨냥했다. 예스24가 운영하는 도서·음반·티켓·전자책 등 모든 서비스가 중단됐다. 

사측은 회원 개인정보 외부 유출은 확인되지 않았다고 공지했다. 개인정보보호위원회(개보위)가 11일 조사에 착수해 유출 여부를 조사중이다.

지난 4월 발생했던 SKT 해킹도 이와 유사하다. 당시 유출된 정보에는 이용자의 전화번호, 이동통신가입자식별번호(IMSI), 가입자 인증키(CKI)등 민감성 정보가 포함됐다.

약 2696만 건의 가입자 정보가 유출됐다. 29만여 명은 기기 정보까지 유출됐을 가능성이 있다. SKT의 서버 23대가 'BPF도어'라는 악성코드에 감염됐으며, 이를 통해 내부 시스템이 장기간 노출된 정황도 드러났다.

개보위와 한국인터넷진흥원(KISA)은 랜섬웨어를 통한 정보 유출 사고가 급증하고 있다는 점에 주목하며, 각 사업자에게 주기적인 취약점 점검과 보안 업데이트를 실시할 것을 권고한다. 중요 파일은 별도로 백업해 보관할 것을 당부하고 있다.