세계 최대 정보협박범, 검거 5일 만에 돌아왔다

이 시간 주요기사

뉴스 > IT·인터넷

세계 최대 규모 랜섬웨어 조직 ‘록빗’ 활동 재개… 기업 피해 주의보
활동 당시 국내 기업도 피해… 문서 파일로 위장해 해킹 공격 시도
록빗 “국제 공조로 압수당한 데이터 극히 일부… 공격 인프라 강화”

김기찬 기자 기자페이지 + 입력 2024-03-20 16:40:19

▲ 세계 최대 규모 랜섬웨어 공격 집단 '록빗'이 검거 5일 만에 활동을 재개했다. 게티이미지뱅크

록빗(Rockbit)은 세계 최대 규모 랜섬웨어 공격 그룹이다. 컴퓨터를 마비시킨 뒤 돈을 뜯어내는 사이버협박범 록빗이 검거되었다는 소식은 기업 보안팀에 가뭄의 단비처럼 기쁜 소식이었다. 그러나 록빗이 검거 5일 만에 활동을 재개하겠다고 선언하자 기업과 컴퓨터 사용자 사이에서 긴장감이 높아지고 있다.

한화솔루션 큐셀부문(한화큐셀)은 20일 록빗의 랜섬웨어 공격에 대비하고 있다고 밝혔다. 록빗이 2월말 활동 재개를 선언하자 록빗으로부터 랜섬웨어 공격을 받았던 한화큐셀 등은 긴장할 수밖에 없다. 한화큐셀 관계자는 “록빗의 공격 시도가 있었던 이후 내부적으로 보안강화 등 조치를 취했다”고 설명했다.

록빗은 지난해 9월 한화큐셀 중국법인의 기밀 데이터 등을 탈취했다고 주장했다. 스스로 정한 날짜까지 협상에 나서지 않으면 800GB가 넘는 자료를 공개하겠다는 협박도 덧붙였다. 당시 한화큐셀은 대응하지 않았고 록빗은 한화큐셀이 포스코그룹과 맺은 기밀유지 협약 등 자료 8개를 공개했다. 록빗이 공개한 자료는 100GB 수준이었다고 알려졌다.

미국과 영국 기업도 록빗의 먹잇감이었다. 미국 등 10여 국가는 국제 공조로 록빗의 해킹을 적발해서 지난달 중순 록빗의 장비를 압수했다. 록빗은 지난달 25일 다크웹 접속 사이트를 만들어서 활동을 재개했다고 알려졌다.

SK쉴더스에 따르면 SK쉴더스 중심 화이트 해커 그룹(EQST)은 최근 ‘다시 돌아온 록빗, 끝나지 않은 랜섬웨어’ 보고서를 발표했다. 백업 서버를 통해 복귀한 록빗은 인프라를 압수당해도 문제를 최소화할 수 있도록 인프라를 분산시킬 예정이다. 록빗은 압수당한 자료가 일부에 불과하다고 주장하면서 적발을 계기로 공격 인프라를 더욱 강화하겠다고 경고했다.

▲ 크게 보기=이미지 클릭 / 록빗이 국내에 유포한 메일과 악성 파일. SK쉴더스

록빗은 악성 스크립트가 포함된 파일이나 입사지원서·저작권 관련 안내 등 문서 아이콘으로 위장한 실행 파일을 공격 대상 기업에 메일을 보내 랜섬웨어 공격을 시도했다. 미국 법무부에 따르면 록빗은 전 세계에서 기업 등 2000여 컴퓨터 사용자들을 공격해 약 1억2000만 달러를 뜯어낸 바 있다.

따라서 기업들의 각별한 주의가 필요하다고 EQST는 강조했다. EQST는 보고서에서 “출처가 불분명한 이메일의 첨부파일이나 링크를 실행하지 않도록 주의하고 소프트웨어나 운영체제를 취약하지 않은 버전으로 주기적인 업데이트를 진행해야 한다”고 밝혔다.

또한 “파일 복구를 위해 정기적으로 백업을 생성해 관리해야 하며, 별도의 네트워크나 저장소에 데이터를 백업해 관리하는 방법을 권장한다”고 설명했다.

익명을 요구한 보안 교육 전문가는 “록빗은 2021년경 다크웹에서 랜섬웨어 소스코드를 연구·개발할 사람까지 공개적으로 채용하기도 하는 등 활발히 공격하는 위험한 조직”이라며 “최근에는 피싱 메일뿐 아니라 시스템 관련 공격 사례도 많아지고 있어 개인뿐 아니라 기업들도 피해가 없도록 주의해야 한다”고 당부했다.