한국 등 아태지역 랜섬웨어 공격, 더 복합적이고 악랄해져…4중 갈취에 AI 활용 자동화 공격까지

아카마이 “데이터 암호화와 유출 위협에 더해 DDoS 공격과 제3자 압박까지 결합”

AI와 LLM 활용해 공격 자동화…기술력 낮은 해커도 위협

글로벌 사이버 보안 및 클라우드 기업 아카마이 테크놀로지스가 발표한 최신 ‘인터넷 현황 보고서(State of the Internet Report 2025)’에서 아시아·태평양(APAC) 지역을 겨냥한 랜섬웨어 공격이 점점 더 복잡하고 정교해지고 있으며, 그 중심에는 ‘4중 갈취(quadruple extortion)’ 전략이 있다고 밝혔다.

아카마이는 이번 보고서를 통해 랜섬웨어 위협이 단순한 암호화 수준을 넘어, 사회적·운영상 압박을 결합한 다층적 전략으로 진화하고 있다고 경고했다.

보고서에 따르면 전 세계에서 발생한 전체 데이터 유출 사건 중 절반 이상이 랜섬웨어에 기인한 것이며, 이 중 상당수가 아태 지역에서 집중적으로 발생했다. 특히 이중 갈취(double extortion) 방식이 여전히 흔한 공격 수단으로 남아 있는 가운데, 최근에는 데이터 암호화와 유출 위협에 더해 DDoS(분산서비스거부. 디도스) 공격과 제3자 압박까지 결합한 4중 갈취 방식이 주목받고 있다. 공격자는 피해 기업이 랜섬을 지불하지 않을 경우, 고객과 파트너, 미디어 등을 통해 외부 압박을 가하고, 서비스 자체를 마비시키는 방식으로 피해 기업의 대응 여력을 무력화하고 있다.

스티브 윈터펠드(Steve Winterfeld) 아카마이 자문 CISO는 “오늘날의 랜섬웨어는 단순한 기술적 공격을 넘어, 피해자를 다면적으로 압박하는 비즈니스 위협으로 확장됐다”며 “기업은 기존 보안 전략을 전면 재검토하고 새로운 형태의 갈취 시도에 대비해야 한다”고 강조했다.

보고서는 아태 지역에서 활동 중인 주요 랜섬웨어 그룹으로 LockBit, BlackCat(ALPHV), CL0P 등을 지목했으며, 여기에 더해 Abyss Locker와 Akira 같은 신흥 그룹도 빠르게 영향력을 확대하고 있다고 분석했다. 특히 이들 공격자는 의료 및 법률 서비스와 같은 민감 산업을 집중 타깃으로 삼고 있으며, 실제로 호주 노인 요양 재단에서는 Abyss Locker로 인해 약 1.5TB 분량의 민감 정보가 유출되었고, 싱가포르의 한 법률 사무소는 Akira 공격 이후 190만 달러의 몸값을 지불한 사례도 발생했다.

서비스형 랜섬웨어(RaaS)를 활용한 하이브리드형 공격자들도 활발히 활동 중이다. RansomHub, Play, Anubis 등은 APAC 지역의 중소기업과 의료기관, 교육기관 등을 주요 표적으로 삼고 있다. 특히 호주의 한 체외수정 클리닉이 이들에 의해 공격당한 사건은 중소 의료기관도 예외가 아님을 보여준다.

아태 지역의 컴플라이언스 환경은 또 다른 취약 요소로 작용하고 있다. 국가별로 개인정보보호 및 보안 규제의 수준과 일관성이 달라 공격자들이 이를 악용하고 있는 것이다. 예를 들어, 싱가포르는 개인정보보호법(PDPA) 위반 시 기업 매출의 최대 10%에 달하는 과징금을 부과할 수 있으며, 인도는 형사 처벌까지 가능하다. 반면, 일본은 현재 금전적 처벌 조항이 명확히 존재하지 않는다. 이처럼 국가별로 규제 수준이 상이한 상황은 기업들이 통합적인 대응 체계를 갖추기 어렵게 만들고, 공격자에게는 새로운 갈취 수단이 되고 있다.

아카마이는 이러한 위협에 대응하기 위해 제로 트러스트 아키텍처와 마이크로세그멘테이션 전략의 도입이 필수적이라고 강조했다. 보고서에 따르면, 아태 지역의 한 컨설팅 기업은 소프트웨어 정의 방식의 마이크로세그멘테이션을 도입해 내부 공격 표면을 최소화하고, 공격자의 수평 이동을 조기에 차단함으로써 효과적인 방어를 이끌어냈다.

루벤 코(Reuben Koh) 아카마이 아태지역 보안 전략 디렉터는 “아태 지역의 디지털 경제는 빠르게 성장 중이지만, 기업의 보안 역량은 그에 미치지 못하고 있다”며 “공격자는 이 같은 보안 격차를 노리고 있으며, 기업은 회복탄력성을 높이기 위해 보안 체계를 전면 재점검해야 한다”고 말했다. 그는 이어 “검증된 액세스 정책과 마이크로세그멘테이션에 기반한 제로 트러스트 구현, 정기적인 복구 훈련과 사고 대응 시뮬레이션은 랜섬웨어 위협을 최소화하는 핵심 전략”이라고 덧붙였다.

이번 보고서에는 이 외에도 글로벌 위협 동향이 상세히 수록돼 있다. 아카마이는 생성형 AI(GenAI)와 대규모 언어모델(LLM)의 발전이 랜섬웨어 공격자에게 코딩 능력 없이도 악성코드를 작성하거나 정교한 사회공학 기법을 사용하는 데 도움을 주고 있다고 지적했다. 이로 인해 향후 공격의 빈도와 정밀도는 더욱 높아질 것으로 예상된다.

또한 하이브리드 랜섬웨어 그룹들은 금전적 목적뿐만 아니라 정치적·이념적 동기를 함께 가진 공격도 증가하고 있으며, RaaS를 통해 영향력을 넓히고 있다. 아카마이의 연구에 따르면, 암호화폐 채굴형 공격의 약 절반이 비영리기관과 교육기관을 대상으로 한 것이었으며, 이는 보안 자원이 부족한 기관이 주요 표적이 되고 있음을 의미한다.

특히 Trickbot 계열의 악성코드 캠페인은 2016년 이후 전 세계적으로 약 7억2,400만 달러(한화 약 1조 53억 원)에 달하는 암호화폐를 갈취한 것으로 분석됐다. 이처럼 오랜 시간에 걸친 조직적인 사이버 범죄는 여전히 현재진행형이다.

아카마이는 이번 보고서를 통해 기업들이 랜섬웨어 공격에 대응하기 위해 필요한 전략을 명확히 제시하고 있다. 공격 전 파악할 수 있는 징후에 대한 감시, 접근 권한의 철저한 검증, 비즈니스 연속성을 위한 백업·복구 훈련, 복잡한 규제 환경에 대응할 수 있는 내부 정책 마련 등이 그 핵심이다. 기업들은 기존의 방어 중심 전략에서 나아가 회복을 고려한 사이버 보안 체계를 수립해야 할 시점이다.

이번 보고서 ‘Ransomware Report 2025: Building Resilience Amid a Volatile Threat Landscape’는 아카마이 웹사이트를 통해 전문 확인이 가능하다.

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★