SK쉴더스 "VPN·계정이 랜섬웨어 침투 통로"...2분기 피해 48% 증가

2분기 피해 전년比 48% 증가...VPN·SaaS 등 공통 인프라 공격 확산

외부 노출 자산 상시 점검 강조...ASM·MDR로 24시간 탐지·대응

올해 상반기 전 세계에서 확인된 랜섬웨어 피해가 4744건에 달한 것으로 나타났다. 2분기 피해 규모는 지난해 같은 기간보다 48% 늘었다. 공격자들은 악성코드 유포보다 기업의 보안 취약점과 탈취 계정을 이용해 내부 시스템으로 들어가는 방식을 확대하고 있다.

사진제공=SK쉴더스

SK쉴더스는 21일 이 같은 내용을 담은 카라(Korea Anti Ransomware Alliance·KARA) 랜섬웨어 동향 보고서를 발간했다. 보고서는 올해 상반기 발생한 글로벌 랜섬웨어 공격 사례와 주요 침투 경로를 분석했다.

VPN 하나 뚫리자 여러 기업으로...'공통 인프라' 노렸다

공격 대상은 VPN과 업무 플랫폼, 관리 시스템 등 기업들이 공통으로 사용하는 인프라로 넓어졌다. 인터넷과 연결된 시스템의 취약점을 이용하거나 기존에 탈취한 계정으로 접속 권한을 확보한 뒤 내부로 공격 범위를 넓히는 방식이다.

상반기에는 킬린(Qilin) 랜섬웨어 그룹이 VPN 취약점을 악용해 글로벌 자동차 제조사와 영국 의료검사 서비스 기업을 공격했다. 샤이니헌터스(ShinyHunters)와 클롭(Clop) 등도 여러 조직이 사용하는 업무 플랫폼과 관리 시스템을 공격 대상으로 삼았다.

SK쉴더스는 이 같은 공격을 '공통 인프라 공격(Common Infrastructure Attack)'으로 분류했다. VPN과 서비스형 소프트웨어(SaaS), 관리 시스템처럼 다수 기업이 사용하는 인프라의 취약점이나 계정이 노출될 경우 피해 대상도 동시에 늘어날 수 있다.

사진제공=SK쉴더스

국내에서도 관리형 서비스 제공업체(MSP)를 통해 여러 기업을 함께 노리는 공격이 확인됐다. 개별 기업의 내부 시스템뿐 아니라 외부에서 접속할 수 있는 자산과 협력사가 운영하는 인프라까지 관리 대상에 포함해야 하는 이유다.

SK쉴더스, 외부 노출 자산부터 24시간 탐지·대응

SK쉴더스는 대응 우선순위로 인터넷에 노출된 자산과 계정 관리를 꼽았다. VPN과 방화벽, 서버, 원격접속 시스템을 상시 점검하고 취약점이 발견되면 보안 패치를 적용해야 한다는 것이다. 계정 탈취를 막기 위한 다중인증(MFA) 적용도 제시했다.

SK쉴더스는 공격표면관리(ASM) 서비스를 통해 외부에 노출된 기업 자산과 취약점을 상시 점검하고 있다. MDR(Managed Detection & Response) 서비스에서는 보안 전문가가 24시간 위협을 모니터링하며 탐지와 분석, 대응을 지원한다.

랜섬웨어 침투 이후 발생하는 권한 상승과 자격증명 탈취, 데이터 유출 시도 등도 탐지 대상이다. 사고가 발생하면 포렌식 분석과 재발 방지 대책 수립까지 이어진다.

김병무 SK쉴더스 사이버사업부문장(부사장)은 "최근 랜섬웨어 공격은 개별 기업이 아닌 다수 조직이 공유하는 공통 인프라를 공략하는 형태로 나타나고 있다"며 "하나의 취약점이나 계정 침해가 연쇄적인 피해로 이어질 수 있는 만큼 기업은 외부 노출 자산과 계정 관리 체계를 선제적으로 점검하고 실시간 탐지·대응 역량을 강화해야 한다"고 말했다.