“암호화 없이 데이터 갈취·AI로 몸값 산정”… 진화하는 랜섬웨어 생태계

[산업일보]
올해 랜섬웨어 생태계는 대형 ‘서비스형 랜섬웨어(RaaS)’ 중심에서 벗어나 개별 조직의 독립화와 인공지능(AI) 악용, ‘암호화 없는 갈취(Extortion-only)’ 확산 등으로 재편되는 모양새다.

사이버 보안 기업 그룹아이비(Group-IB)는 최근 ‘2026 랜섬웨어 생태계 보고서’를 발표하고 이같이 밝혔다.


보고서에 따르면 범죄 지하 생태계 내부의 제휴 자금 탈취 등 신뢰 붕괴가 제휴 공격자의 독립을 촉진했으며, 이들은 기존에 확보한 기업 네트워크 접근 권한을 바탕으로 독자적인 공격을 전개하고 있다.

기업 네트워크 접근권 거래 시장은 공개 거래에서 비공개 프리미엄 거래 중심으로 이동했다. 지난해 공개 광고된 접근권 판매가 27% 감소했지만 시장 위축이 아닌 고가치 인증 정보가 비공개 채널로 이동한 결과로 분석됐다. 아울러 시스템 암호화 없이 탈취한 데이터 자체를 무기화해 지속적으로 수익을 창출하는 ‘암호화 없는 갈취’ 모델이 확산하고 있다.

랜섬웨어 조직의 공격 대상은 개별 기업을 넘어 다수 고객에게 접근할 수 있는 ‘관리형 서비스 제공업체(MSP)’와 오픈소스 생태계로 확대됐다. 공격 전 과정에 AI를 도입하는 정황도 포착됐다. 보고서는 이들이 악성코드 빌더 개발에 AI 도구를 활용하고 있으며, 탈취 데이터 분류와 피해 기업의 보험 가입 정보에 기반한 몸값 산정 등 수익화 과정도 고도화하고 있다고 밝혔다.

실제 랜섬웨어 공격 규모는 꾸준히 증가하는 추세다. 올해 1분기 79개 활성 랜섬웨어 그룹이 유출 사이트에 게시한 공격은 총 2,393건으로 직전 분기 대비 4.5% 늘어난 것으로 조사됐다.

조직별로는 ‘킬린(Qilin)’이 지난해 1,062건, 올해 1분기 389건으로 가장 많은 공격을 감행했다. 4만8,000달러의 미지급 수수료 문제로 독립한 ‘더 젠틀맨(The Gentlemen)’은 AI 도구를 공격에 적극 활용했으며, 1만4,700개의 사전 침해된 장비 데이터베이스를 보유한 것으로 확인됐다.

몸값 협상을 기업 영업처럼 고도화한 ‘아키라(Akira)’와 대규모 공급망 공격에 집중하는 ‘클롭(Cl0p)’ 등도 주요 위협 조직으로 꼽혔다. 특히 ‘세이프페이(SafePay)’는 소수 핵심 개발자만으로 4만2,000명 이상이 영향을 받은 대규모 공격을 지휘한 것으로 나타났다.

그룹아이비는 랜섬웨어 공격의 83%가 데이터 유출을 수반하고 일부 공격 그룹은 파일 암호화 자체를 생략하고 있어 암호화된 파일을 탐지하는 시점에는 이미 상당한 피해가 발생했을 수 있다고 지적했다.

그러면서 관리형 서비스 제공업체 등 협력업체도 공격 표면 관리에 포함하도록 권고했다. 회사는 인터넷 연결 장비의 취약점을 긴급 패치하고 암호화 이전 단계에서 이상 행위를 탐지하는 등 선제적 방어 체계를 구축해야 한다고 조언했다.