서버는 켜져 있고, 업무 시스템도 돈다. 그런데 공격자가 "고객 데이터와 의료 기록을 훔쳤다"며 협상 채널을 열라고 요구한다. 이때 보안 책임자는 이 사건을 장애로 볼 것인가, 개인정보 유출로 볼 것인가, 아니면 랜섬웨어 위기로 볼 것인가.
Karakurt 사건이 중요한 이유는 바로 여기에 있다. 미국 법원은 Karakurt 연계 인물 Deniss Zolotarjovs에게 징역 8년 6개월을 선고했고, DOJ는 이 조직이 54개 이상 기업을 겨냥했으며 러시아 정부 데이터베이스와 법 집행기관 인맥까지 피해자 압박에 활용했다고 밝혔다1. 하지만 이 사건의 실무적 교훈은 "또 러시아계 랜섬웨어"가 아니다. 암호화 없이도 랜섬웨어급 위기가 발생한다는 점이다.
암호화가 없어도 협박은 충분히 강력하다
전통적 랜섬웨어 대응은 비교적 명확했다. 파일이 잠긴다. 백업을 확인한다. 복구 시간을 계산한다. 협상 여부를 결정한다. 핵심 지표는 RTO, RPO, 백업 무결성, 복호화 가능성이었다.
Karakurt식 데이터 갈취는 압박 지점이 다르다. 시스템을 멈추지 않아도, 공격자는 훔친 데이터의 민감도를 무기로 삼는다. DOJ 자료와 보안업계 보도에 따르면 Zolotarjovs는 기술 침투자라기보다 협상가에 가까웠고, 피해자가 응답을 멈춘 "콜드 케이스"를 다시 열어 압박하는 역할을 맡았다2. 특히 소아 의료정보를 협박 수단으로 활용한 사례도 언급됐다3.
여기서 기업이 받는 질문은 "복구 가능한가"가 아니라 "무엇이 나갔는가"다. 고객 개인정보, 아동 의료정보, 계약서, 소스코드, 임직원 신원정보 중 무엇이 유출됐는지에 따라 법적 신고, 고객 통지, 평판 손상, 집단소송 위험이 달라진다.
즉 백업은 여전히 중요하지만, 데이터 갈취형 공격에서는 백업만으로 위기를 끝낼 수 없다.
Karakurt가 찌른 약점: 복구 준비는 했지만 유출 증명은 못 한다
여러 분석을 종합하면 Karakurt는 VPN 자격증명으로 초기 접근한 뒤 Cobalt Strike, AnyDesk, Mimikatz, PowerShell 등을 활용하고, 7zip·WinZip으로 압축한 데이터를 Rclone·FileZilla로 Mega.io 같은 외부 저장소에 올리는 방식이 관찰됐다4.
이 공격 흐름이 말해주는 실무적 약점은 분명하다.
많은 조직은 랜섬웨어 대비책을 "백업과 복구" 중심으로 설계한다. 그러나 데이터 유출형 공격에서는 다음 능력이 더 중요해진다.
외부로 나가는 대용량 전송을 탐지했는가
어떤 계정이 어떤 파일 저장소에 접근했는가
민감 데이터가 어디에 흩어져 있는지 알고 있는가
로그가 협박 시점까지 남아 있는가
개인정보보호팀, 법무팀, 보험사, 경영진 의사결정 절차가 준비돼 있는가
공격자가 "2TB를 훔쳤다"고 주장할 때, 기업이 "그럴 리 없다"고 말하는 것은 대응이 아니다. 반대로 공격자의 샘플 파일 몇 개만 보고 전부 사실로 받아들이는 것도 위험하다. 필요한 것은 감정적 판단이 아니라 증거 기반의 유출 범위 산정이다.
돈을 낼지보다 먼저 물어야 할 질문들
Karakurt 사건에서 흥미로운 점은 협상가의 역할이 별도 직무처럼 운영됐다는 것이다. 이는 랜섬웨어 조직이 단순 해커 집단이 아니라 영업, 협상, 자금세탁, 데이터 분석 역할을 나눈 범죄 비즈니스에 가깝다는 뜻이다.
따라서 대응도 즉흥 협상이 아니라 의사결정 트리로 접근해야 한다.
첫째, 공격자의 주장을 검증해야 한다. 샘플 데이터의 진위, 생성 시점, 내부 시스템과의 연결성, 중복 여부를 확인한다. 둘째, 법무와 개인정보보호 책임자가 초기에 들어와야 한다. 이 사건은 보안 사고이면서 동시에 규제 사고다. 셋째, 보험사와 외부 포렌식 업체를 통해 협상 가능 범위와 제재 리스크를 확인해야 한다. 넷째, 수사기관 신고 여부를 늦추지 말아야 한다.
물론 "절대 지불하지 말라"는 원칙은 도덕적으로 명확하다. 하지만 현실에서는 의료, 공공, 민감 산업에서 피해자 보호와 공개 피해 최소화라는 반론도 나온다. 다만 지불에는 치명적 한계가 있다. 돈을 내도 데이터 삭제를 검증하기 어렵고, 재판매나 재협박을 막을 수 없으며, 범죄 생태계에 자금을 공급한다.
그래서 핵심 질문은 "낼까 말까" 이전에 "우리는 지금 무엇을 알고 있고, 무엇을 모르는가"여야 한다.
앞으로의 랜섬웨어 방어는 '잠긴 파일'보다 '나간 데이터'에 맞춰야 한다
Karakurt는 현재 활발한 브랜드로 보이지 않을 수 있다. 그러나 그런 사실이 위협의 종료를 뜻하지는 않는다. Conti 이후 여러 조직명이 갈라지고 재조합됐듯, 랜섬웨어 생태계는 이름을 바꾸며 운영 모델을 유지한다. DOJ와 보안업계 보도에서도 Karakurt가 Conti, Royal, Akira 등과 연결된 더 넓은 범죄 네트워크의 일부로 설명된다5.
기업이 지금 업데이트해야 할 기준은 세 가지다.
첫째, 데이터 분류와 보존 정책이다. 어디에 무엇이 있는지 모르면 유출 범위도 말할 수 없다. 둘째, egress 모니터링이다. 내부 침입 탐지만큼 외부 반출 탐지가 중요해졌다. 셋째, 공개 대응 리허설이다. 고객 통지문, 규제기관 보고, 임원 브리핑, 협상 메시지는 사고 당일 처음 써서는 안 된다.
Karakurt 사건은 랜섬웨어의 무게중심이 "암호화된 파일 복구"에서 "유출 사실의 입증과 피해 제한"으로 이동하고 있음을 보여준다. 보안팀뿐 아니라 법무, 개인정보보호, 리스크, 이사회가 함께 봐야 할 사건이다. 파일이 멀쩡하다는 이유로 안심하는 조직일수록, 다음 협박 메일 앞에서 더 오래 흔들릴 가능성이 크다.
참고
1DOJ says ransomware gang tapped into Russian government databases
2Karakurt extortion gang 'cold case' negotiator gets 8.5 years in prison
3Ransomware negotiator sentenced for role in major cyber crime group
4U.S. court sentences Karakurt ransomware negotiator to 8.5 years
5Karakurt Negotiator Gets 8.5 Years in First U.S. Conviction
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.