메뉴 보기
한·미 수사당국이 랜섬웨어 조직 ‘건라(GUNRA)’에 대한 보안 주의보를 발령했다. 이 조직이 공격대상으로 삼은 피해 대상만 전세계 수백 곳으로 국내에서도 SGI서울보증, 인하대 등의 피해 사실이 공개됐다. 기업 내부 데이터를 인질로 삼아 금품을 뜯어내고 있는 것이다.
경찰청 국가수사본부는 11일 미국 연방수사국(FBI), 사이버보안·인프라보안국(CISA), 국가안보국(NSA), 국방부 사이버범죄센터(DC3), 비밀경고국(USSS)과 함께 랜섬웨어 조직 건라에 대한 사이버보안 권고문을 배포했다고 밝혔다. 경찰이 랜섬웨어에 대한 보안 권고문을 배포한 것은 이번이 처음이다.
랜섬웨어 범죄는 기업 내부망에 침투해 파일을 암호화하고 이를 인질로 금품을 요구한다.
지난해 4월 첫 범죄사실이 보고된 ‘건라’는 단순히 금품을 요구하는 것과 달리 다크웹 사이트를 운영하면서 피해기업의 명단과 탈취자료 일부를 게시하는 일명 ‘이중탈취’ 방식으로 기업을 협박하고 있는 것으로 조사됐다. 돈을 지급하지 않으면 탈취한 자료를 판매하거나 공개하겠다고 위협한다.
국내에서는 지난해 7월 SGI서울보증, 같은해 9월 화천기계, 삼화콘덴서 등 기업들의 피해 정황이 드러났다. 건라는 당시 다크웹을 통해 “13.2테라바이트(TB) 규모의 SGI서울보증의 데이터를 보유하고 있으나 이를 분석할 인력이 부족하다”고 외부 인력 모집에 나서기도 했다.
지난해 12월에는 인하대가 건라의 공격을 받아 시스템이 다운되는 사건이 발생했다. 인하대는 경찰에 건라를 고소했다. 대학은 건라가 대학 내부 구성원 1만명의 이름, 연락처, 이메일 등 개인정보를 탈취한 것으로 보고 있다. 건라도 다크웹을 통해 650기가바이트(GB) 규모의 인하대 자료를 확보했다고 주장했다.
경찰은 지난해 7월부터 건라에 대한 수사에 착수한 상태다. 경찰은 현재 국내 90여곳 업체가 건라의 피해대상이 됐다고 보고 있다. 국내 기업들이 대거 랜섬웨어 공격대상에 오르면서 한국이 글로벌 범죄집단의 집중 타깃이 됐다는 분석이 나온다. 보안이 취약하고 돈이 되는 시장으로 인식되고 있는 것이다.
올해부터 건라는 ‘서비스형 랜섬웨어’(RaaS) 형태로도 운영되며 주요 기반시설, 금융, 의료, 제조업 등 다양한 분야에 대한 공격을 확대하고 있는 것으로 전해졌다. 서비스형 랜섬웨어는 공격 도구를 다른 범죄자에게 제공하고 공격이 성공했을 때 대가를 나누는 범죄 서비스 모델이다.
랜섬웨어는 초기 침투를 차단하는 것이 가장 효과적인 대응책으로 알려졌다. FBI 분석 결과, 건라는 주로 방화벽이나 가상사설망(VPN) 등 인터넷에 노출된 서버 취약점을 악용해 침투하고 있는 것으로 분석됐다.
경찰은 각 기업에 VPN·원격접속 등 외부 접근을 통제하고 최신 보안패치를 적용하라고 권고했다. 다중인증 적용을 통한 계정관리 강화, 안전한 백업체계 활성화 등 기본적인 보안수칙도 준수해야 한다고 강조했다.
경찰청 관계자는 “건라 랜섬웨어와 관련된 공격을 수사하고 있으며 추가 위협정보를 관계기관 및 기업에 신속하게 공유할 계획”이라며 “향후 유사한 랜섬웨어 공격에 대비해 국제사회와 협력과 더불어 민·관 협력체계를 강화하고 대응 역량을 지속해서 높여 나갈 방침”이라고 말했다.
