미국 정부 기관이 Kairos 그룹에 데이터 유출 협박금을 지불한 사례가 공개되며, 공공부문 랜섬웨어 몸값 지불 금지 정책 논쟁이 재점화됨
- 이번 사건에서 미국의 한 공공 정부기관은 사이버 범죄 조직 Kairos 그룹으로부터 대규모 데이터 탈취와 유출 위협을 받았고, 내부 조사와 외부 대응 협의를 거친 뒤 약 100만 달러의 몸값을 지불한 사실이 드러났으며, The Hacker News와 포렌식 보고서에 따르면 해당 그룹은 암호화 없이 데이터만 빼내고 공개를 미끼로 협박하는 데이터-절취형 랜섬웨어 전술을 사용하여 기존 시스템 복구 중심 대응을 무력화하는 전략을 구사하였다.
- Kairos 그룹은 Dark Web 유출 사이트를 운영하며 공공기관·헬스케어·교육기관을 집중적으로 노리는 것으로 알려졌고, 이번 미국 정부기관 사례에서도 Active Directory 계정 탈취와 VPN 자격증명 남용을 통해 내부 네트워크에 진입한 후, 백업 시스템에는 손을 대지 않고 민감한 개인정보와 조달 관련 문서를 대량 수집해 압박 수단으로 활용하였으며, 이는 CISA가 반복적으로 경고해온 백업 중심 복구 전략의 한계를 실증한 공격 패턴으로 평가된다.
- 보도에 따르면 협상 과정에서 범죄 조직은 최소 150만 달러 이상의 금액을 처음 요구했으나, 피해 기관 측이 사이버 보험사와 자문사의 개입하에 금액을 약 100만 달러 수준으로 낮추는 데 합의하였고, 협상 대가로 데이터 삭제와 추가 유출 중단을 약속하는 서면 합의서까지 작성했으나, 이후 다른 피해 사례에서 유사 그룹이 동일 데이터를 재활용한 정황이 보고되면서 몸값 지불이 실질적인 위험 제거 수단이 되지 못한다는 점이 다시 부각되었다.
- 이 사건은 미국 연방·주정부 차원에서 논의 중인 랜섬웨어 몸값 지불 전면 금지 또는 신고 의무화 입법 논의에 실질적 사례를 제공하며, 특히 공공기관이 단기적인 평판 보호를 위해 예산을 사용해 범죄 조직에 자금을 제공하는 구조가 미국 재무부의 제재 명단(OFAC)과 충돌할 수 있다는 우려와 함께, 사이버 보험이 결과적으로 공격자의 수익 모델을 안정적으로 만들어 준다는 비판을 재점화하고 있다.
- 한국 정부와 지자체, 공공기관 입장에서는 Kairos 그룹 유형의 데이터-절취형 랜섬웨어가 지방 교육청, 의료원, 공기업으로 확산될 경우 유사한 협상 압박에 노출될 수 있으며, 현 시점에서 랜섬 몸값 지불 금지 여부, 사이버 보험의 역할, 데이터 유출 시 대국민 통지 기준을 명확히 하는 정책 프레임이 부재하다는 점에서, 미국·유럽의 입법 논의를 모니터링하며 한국형 공공기관 몸값 지불 가이드라인과 민관 공조 대응 절차를 조속히 마련할 필요가 있다.
공공기관의 몸값 지불은 단기 리스크를 줄이는 대신 공격 생태계를 키우는 구조이므로, 한국은 선제적으로 ‘신고 의무+사전 금지 원칙’을 검토하고, 예산 편성과 보험 상품 설계까지 포함한 종합 랜섬웨어 정책 패키지를 구성할 필요가 있다.
주요 용어: 데이터-절취형 랜섬웨어(시스템 암호화 대신 데이터 유출과 공개 위협으로 몸값을 요구하는 공격 방식), Kairos 그룹(공공기관과 헬스케어를 노리는 데이터 탈취 전문 사이버 범죄 조직), OFAC(미 재무부 해외자산통제국으로 제재 대상과 거래 금지 규정을 관리하는 기관)
출처: The Hacker News