파일은 잠기지도 않았는데 100만 달러가 빠져나갔다 — Kairos의 '훔쳐서 협박' 방식과 유출 탐지 신호

이미지 출처: The Hacker News

이번 사건에서 눈에 띄는 건 '암호화'라는 단어가 아예 등장하지 않는다는 점이다. 미국의 한 정부 기관이 Kairos라는 협박 집단에 100만 달러를 지급했는데, 정작 서버의 파일이 잠긴 흔적은 없었음. 공격자는 데이터를 몰래 복사해 빼돌린 뒤 "공개하겠다"는 말 한마디로 돈을 받아냈음. 우리가 흔히 떠올리는 화면 가득한 랜섬 노트도, 확장자가 바뀐 파일도 없었던 거죠.

핵심 요약

• Kairos는 파일을 암호화하지 않고 데이터만 훔쳐 유출을 빌미로 협박하는 순수 갈취(exfiltration-only) 방식을 씀.
• 백업으로 복구되는 랜섬웨어와 달리, 이 모델은 이미 빠져나간 데이터가 문제라 사후 복구가 통하지 않음.
• 방어의 무게중심은 '복구'가 아니라 유출 시점의 탐지로 옮겨가야 함 — 나가는 트래픽과 비정상 접근이 열쇠.

왜 '암호화 없는 협박'이 늘고 있나

공격자 입장에서 파일 암호화는 사실 번거로운 작업임. 대상 시스템 전체에 암호화 도구를 배포해야 하고, 보안 솔루션에 걸릴 위험도 크고, 무엇보다 피해자가 백업만 잘 갖춰두면 몸값을 안 내도 그만이거든요. 그런데 데이터를 조용히 복사해 나가는 방식은 다르다. 백업이 아무리 튼튼해도 이미 밖으로 나간 정보는 되돌릴 수 없음. 정부 기관·의료·법률처럼 유출 자체가 치명적인 조직일수록 이 협박이 잘 먹힘.

탐지 관점에서도 까다롭다. 파일이 잠기면 사용자가 바로 알아채지만, 데이터가 조용히 복사돼 나가는 건 겉으로 아무 일도 없는 것처럼 보임. 그래서 '터진 뒤에 아는' 게 아니라 '나가는 순간을 잡는' 쪽으로 관점을 바꿔야 하는 거죠.

유출을 잡아내는 탐지 신호

순수 갈취형 공격은 결국 대량의 데이터를 내부에서 외부로 옮기는 행위를 반드시 동반함. 여기서 흔적이 남는다. 방어자가 눈여겨봐야 할 신호를 정리하면 이렇다.

• 비정상 이그레스(egress) 트래픽: 평소 데이터가 거의 나가지 않던 서버에서 갑자기 수 GB가 외부로 업로드되는 패턴. 특히 새벽 시간대나 업무와 무관한 대상지로 향하는 흐름.
• 클라우드 스토리지·파일 공유로의 대량 전송: 공격자는 자기 인프라 대신 정상 서비스(오브젝트 스토리지, 파일 호스팅)를 경유해 유출을 위장하는 경우가 많음. 정상 도메인이라고 무조건 신뢰하지 말 것.
• 계정의 비정상 데이터 접근: 한 계정이 평소보다 훨씬 많은 파일·레코드를 짧은 시간에 열람·복사하는 행위. DB 덤프, 파일 서버 전체 순회 같은 패턴이 대표적임.
• 압축·스테이징 흔적: 유출 직전 데이터를 한곳에 모아 압축하는 단계가 있음. 임시 디렉터리에 대용량 아카이브가 생겼다가 사라지는 흐름을 로그로 추적할 수 있음.

방어자가 밟아야 할 순서

이 모델에 대응하려면 '복구 계획'만으로는 부족하다. 개인적으로는 다음 순서로 점검하길 추천함.

• 나가는 트래픽부터 본다: DLP(데이터 유출 방지)와 이그레스 모니터링을 켜서 대량 전송에 경보를 걸어둠. 방화벽에서 나가는 방향의 규칙을 점검하는 것만으로도 많은 게 보임.
• 접근 권한을 좁힌다: 최소 권한 원칙과 망 분리로, 한 계정이 조직 전체 데이터를 훑을 수 없게 만듦. 훔쳐 갈 수 있는 범위 자체를 줄이는 게 근본 대책임.
• 민감 데이터를 암호화해 둔다: 저장 데이터를 암호화해 두면, 빼내 가더라도 협박 카드로서의 가치가 크게 떨어짐.
• 지불은 마지막의 마지막: 돈을 낸다고 데이터를 지운다는 보장은 없음. 오히려 '내는 조직'으로 찍혀 재협박 대상이 되기도 함. 지불 전에 반드시 법 집행기관·전문 대응팀과 상의할 것.

랜섬웨어라고 하면 잠긴 화면부터 떠올리지만, 요즘 협박의 무게중심은 '못 쓰게 만들기'에서 '까발리기'로 옮겨가고 있는 것 같다. 백업만 믿고 있던 조직일수록 이 변화에 허를 찔리기 쉬움. 우리 환경에서 지금 당장 '나가는 트래픽'을 얼마나 보고 있는지, 한 계정이 데이터를 어디까지 만질 수 있는지부터 같이 점검해보아요. 궁금한 지점이나 우리 조직 사례가 있으면 댓글로 나눠주세요.