한국형 랜섬웨어 상륙 2년…면역력 높아졌지만 방심은 금물

워너크라이(WannaCry) 랜섬웨어가 한 주간 세계를 떠들썩하게 했다. 한국은 다행히 워너크라이 랜섬웨어가 유포되기 시작한 시점이 금요일 저녁이었던 관계로 시간을 벌 수 있었다. 정부와 보안 업계, 인터넷 서비스 업계가 주말 내내 워너크라이 랜섬웨어 대비에 나선 덕분에 대다수 기업과 기관이 업무를 시작하는 월요일 우려했던 대란 수준의 피해는 발생하지 않았다.

◆ 한국형 랜섬웨어 상륙 2년…외모도 수법도 '천태만상'

보안 업계는 랜섬웨어가 한국에 본격적으로 상륙한 시점을 2015년 4월로 보고 있다. 당시 국내 대형 IT 커뮤니티 사이트에서 악성코드가 대량으로 유포되는 사건이 발생했다. 이 악성코드는 감염된 컴퓨터의 데이터를 파괴하거나 개인정보를 빼내기 위한 기존의 악성코드와는 달랐다. 컴퓨터에 저장된 데이터를 암호화해 읽지 못하게 만들고, 이를 풀어주는 조건으로 가상화폐 비트코인(BitCoin)을 요구했다.

한국에서 랜섬웨어 감염 사례는 이전에도 있었다. 하지만 '크립토락커(CryptoLocker)'라는 이름의 이 랜섬웨어는 친절하게도 한글로 암호화 사실을 알리고, 비트코인 입금 방법을 안내한 첫 번째 랜섬웨어였다. 크립토락커는 한국도 더 이상 랜섬웨어 안전 지대가 아니라는 경각심을 심어줬다.

크립토락커 이후 한글을 지원하는 랜섬웨어의 종류가 많아졌다. 초기 랜섬웨어는 대다수가 외국에서 제작된 탓에 구글 번역기에 의존한 어색한 문장이 많았다. 하지만 랜섬웨어 변종이 다양해질수록 한글 안내 페이지의 완성도도 높아졌다. 좀 더 깔끔한 폰트를 써 가독성을 높이는가 하면, 어색한 문장도 차츰 다듬어지는 등 랜섬웨어의 기능뿐만 아니라 외관도 진화를 거듭했다.

피해자로 하여금 입금을 유도하는 방식도 시간이 흐를수록 진화했다. 단순히 안내문을 띄워 랜섬웨어 감염 사실을 알리고, 가상 계좌로 비트코인 송금을 유도하는 전통적인 방식을 벗어나 라이브챗으로 헬프데스크를 운영하면서 입금 방법을 친절하게 상담해주는 랜섬웨어도 등장했다. 심지어 자신들이 마치 랜섬웨어에 감염된 컴퓨터를 치료해주는 것인 양 보안 서비스로 위장한 주객전도형 랜섬웨어가 발견되기도 했다.

◆ 수수료만 받고 'OK'…서비스로 진화한 비즈니스형 랜섬웨어까지

금전을 목적으로 하는 사이버 공격은 불과 몇 년 전까지만 해도 전문적인 IT 지식을 가진 해커의 전유물로 여겨졌다. 하지만 최근에는 사이버 암시장뿐 아니라 일반 인터넷상에서도 랜섬웨어 제작 대행 서비스를 이용할 수 있어 전문 지식이 없더라도 누구나 사이버 공격을 시도할 수 있게 됐다. 실제로 랜섬웨어 공격을 위한 키트나 공격 대행 서비스 상품은 인터넷 암시장을 통해 마치 쇼핑몰에서 물건 사고 팔듯 쉽게 거래된다. 무료로 랜섬웨어 제작에서 유포, 사후관리까지 해주는 서비스도 등장했다. 서비스 공급자는 무료로 랜섬웨어 서비스를 제공하되 수익이 발생하면 일정 비율로 수수료를 떼 간다.

제작자와 유포자의 분업화가 이뤄진 점도 최근 랜섬웨어 공격의 특징 중 하나다. 제작자는 유포자에게 랜섬웨어 감염에 필요한 툴킷을 저렴한 가격에 제공하고, 유포자는 이를 이용해 피해자를 양산한다. 피해자가 유포자에게 돈을 지불하면 자동으로 제작자에게 일정 수수료가 분배되고, 제작자는 피해자에게 복호화 키를 건네주는 방식이다.

분업화가 필요한 이유는 각 지역별로 공격 성공률을 높이기 위해서다. 기존에는 언어의 장벽 때문에 해외에서 제작된 악성코드가 한국에는 별다른 파급력을 미치지 못하는 경우가 많았다. 하지만 최근에는 유창한 한국어는 물론, 국내 사용자라면 관심을 가질 만한 이슈로 이메일을 열어보도록 유도하는 사회공학적 수법이 고도화되고 있다. 랜섬웨어를 첨부한 파일도 국산 압축 프로그램의 전용 포맷을 쓰는 등 한국에서 보낸 메일이라는 인상을 준다.

워너크라이 랜섬웨어 대란에서 한국은 어느 정도 비껴갔지만, 방심은 금물이다. 워너크라이 랜섬웨어는 이메일 첨부파일을 실행하거나 수상한 웹 사이트를 방문하지 않더라도 인터넷에 연결만 돼 있으면 감염될 수 있는 기존과는 차별화된 기능을 갖췄다.

앞으로도 예상치 못한 기상천외한 침투 기술로 무장한 랜섬웨어가 등장하지 말란 법도 없다. 이번 기회로 보안 업데이트의 중요성이 널리 알려진 만큼 기본적인 보안 수칙을 생활화하고, 주기적인 백업으로 랜섬웨어 공격자가 수익을 올리지 못하도록 할 필요가 있다.

IT조선 노동균 기자 saferoh@chosunbiz.com