랜섬웨어 피해 기업이 전담기관에 신속히 신고하고 기술지원을 받아 100% 복구에 성공한 사례가 나왔다. 과학기술정보통신부 및 한국인터넷진흥원(KISA)이 변종 랜섬웨어의 복구도구 개발에 성공하면서 기업은 해커에게 복호화 대가를 지급하지 않고도 업무를 정상화했다.
5일 KISA에 따르면 변종 랜섬웨어에 감염된 중소기업 2곳이 KISA 지원을 받아 암호화 파일을 전량 복구했다.
랜섬웨어 피해기업은 건강기능식품 제조사 A사와 자동차부품 제조사 B사다.
A사는 웹·데이터베이스(DB) 서버 등 4대가 감염돼 파일 6만9191개(118.7GB)가 암호화됐고, B사는 업무·이메일 서버 등 2대가 감염돼 파일 45만4320개(20.5TB)가 피해를 입었다.
해커집단들은 피해기업에 각각 4억원과 3억7000만원을 복호화 대가로 요구했다.
KISA는 지난 3월 경찰청과의 공조하에 변종 랜섬웨어 샘플 알고리즘을 분석했으며, 4월 랜섬웨어전주기대응추진단과 복호화키를 개발하는데 성공했다. 피해 데이터가 손상되지 않도록 격리된 환경에서 반복 시험을 거친 뒤 적용했고, 재발 방지를 위해 시스템 점검과 보안 강화 가이드도 지원했다.
김기문 KISA 랜섬웨어대응팀장은 “이번 성과는 해커가 사용한 공개키 암호기술의 암호학적 결함을 발견해 복구키를 제작할 수 있었던 사례”라며 “전문 기술이 부족한 해커들이 공개된 소스코드를 많이 활용함에 따라 암호학적 취약성이 발견되는 경우가 많다”고 설명했다.
랜섬웨어 공격은 일부 해커 집단만이 감행할 수 있었지만 최근에는 다크웹을 통해 '서비스형 랜섬웨어(RaaS)'를 구매해 실행하는 공격이 늘고 있다. KISA는 이처럼 랜섬웨어 공격은 폭증하고 있지만 암호화 결함을 토대로 데이터를 복구할 가능성이 크다고 조언했다.
특히 최초 감염 이후 복구까지의 소요기간이 피해액을 결정함에 따라 전문기관에 즉시 신고하는 것이 중요하다고 강조했다. 이번에 A사는 40여일, B사는 20여일만에 랜섬웨어 복구에 성공했는데 시스템 재구축, 보안강화, 법무비용, 매출감소 등 44억원 규모의 피해가 발생한 것으로 추산됐다.
피해 기업은 “만약 복구가 지연되었거나 불가능했다면 기업은 경영상 큰 위기가 왔었을 것이고 피해 규모는 단순한 금액으로 환산하기 어려운 수준이었다”며 “오랜 기간 축적해 온 경험과 기록 그리고 미래의 성장 기반을 지켜 낸 일”이라고 소회를 밝혔다.
KISA는 피해 기업이 악성코드와 감염 시스템 등 분석에 필요한 자료를 보존해야 한다고도 당부했다. 랜섬웨어 종류와 암호화 방식, 악성코드 샘플 확보 여부에 따라 복구 가능성이 달라지기 때문이다.
KISA는 폭증하는 랜섬웨어 위협에 대응해 AI기반 대응 체계도 구축할 방침이다. AI가 신·변종 랜섬웨어의 코드 특성을 분석해 기존 데이터와의 유사성을 빠르게 확인하고, 암호화 코드의 논리적 결함을 찾아 응급 복구키까지 만드는 시스템을 구축하겠다는 구상이다.
김 팀장은 “기업은 사전 예방을 위해 내부 보안 체계를 점검해야 하고, 사고 시 KISA에 즉시 신고해야 피해 규모를 줄일 수 있다”며 “공격자와의 거래는 데이터 복구를 담보하지 못한다”고 강조했다.