"관문 하나만 뚫으면…" 갈수록 영악해지는 랜섬웨어

/램섬웨어 공격을 받은 웹호스팅업체 서버를 이용하는 업체의 홈페이지 첫 화면

컴퓨터 주요 파일들을 암호화시킨 뒤 이를 풀어주는 조건으로 금전을 요구하는 이른바 ‘랜섬웨어’ 공격수법이 갈수록 악랄해지고 있다. 과거 불특정 다수 혹은 특정 기업 사용자의 PC를 노렸다면 최근에는 수많은 홈페이지 운영을 대행해주는 웹호스팅 기업을 노리기 시작했다. 지난 주말 발생한 국내 웹호스팅 기업 ‘인터넷나야나’ 랜섬웨어 감염 피해 사례가 대표적이다. 아직도 이곳에 홈페이지를 위탁한 3400여개 사이트가 사흘째 닫혀있다.

◇국내 첫 웹호스팅 랜섬웨어 감염 사례…어쩌다 백업서버까지=12일 한국인터넷진흥원(KISA)과 보안업계에 따르면 인터넷나야나는 지난 10일 랜섬웨어 공격을 받아 이곳으로부터 서버를 임대하거나 홈페이지 운영을 대행해주는 중소 쇼핑몰, 미디어 등 수많은 고객사들이 홈페이지 중단이나 데이터 유실 등의 피해를 입었다.


국내에서 웹호스팅 기업 서버가 랜섬웨어에 감염돼 고객사들이 줄줄이 홈페이지 운영이 중단되는 사고는 이번이 처음이다. 원인 조사를 위해 현장에 파견된 KISA에 따르면 해커들은 지난달 유행했던 ‘워나크라이’ 랜섬웨어 유포방식처럼 불특정 다수를 노렸다기 보다, 처음부터 이 업체를 대상으로 집중적인 악성코드 공격을 감행했던 것으로 추정된다. 특히 공격자는 원본 파일은 물론 내외부 백업 서버까지 모두 감염시켜 자신들의 요구를 들어주지 않으면 아예 데이터를 복구하지 못하도록 하는 치밀함까지 보였다.

공격자는 이 기업이 관리하는 300여대의 서버 중 153대의 리눅스 서버를 암호화한 뒤 이를 복구하는 대가로 서버당 10비트코인(3271만원)을 요구했다. 이후 협상이 지체되자 공격자는 요구가격을 5.4비트코인(1755만원)까지 낮춘 상황이다.

/웹호스팅 업체 게시판에는 피해를 입은 고객들의 원성이 담긴 글이 속속 올라오고 있다.

◇‘웹호스팅 기업’ 해커들의 먹잇감, 왜?…클라우드는 안전할까=해커들이 웹호스팅 기업을 집중적으로 노리는 것은 무엇보다 비용 대비 효과가 커서다. 웹호스팅은 자신들의 웹서버를 임대주거나 홈페이지를 대신 운영해주는 사업을 말한다. 서버 한곳만 뚫린다면 수천~수백만곳의 웹호스팅 고객사를 대상으로 돈(비트코인)을 요구할 수 있다. 또 고객사들의 불만을 미끼로 웹호스팅 기업에 빠른 협상을 재촉할 수 있다. 웹호스팅 고객사들은 주로 자체 서버를 운영할 여력이 없는 중소 인터넷쇼핑몰 업체, 산하 단체, 개인 사업자들이다. 실제 인터넷나야냐 홈피에지 게시판에는 홈페이지 마비로 인한 업무 중단과 데이터 유실에 따른 손실 등으로 피해를 봤다는 불만의 글이 쇄도하고 있다. 이용고객들이 집단 소송에 나설 움직임도 보이고 있다.


랜섬웨어 공격 유형은 아니지만 해외에서도 웹호스팅 기업이 해커들의 주된 표적이 되고 있다. 지난해 10월 미국에서는 트위터, 스포티파이, 넷플릭스 등을 관리하는 웹호스팅 기업이 디도스 공격을 당해 서비스가 먹통이 되는 일이 발생하기도 했다.

웹호스팅과 같이 고객사들의 데이터를 대신 보유하고 있는 클라우드 서비스 업체들 역시 해커들의 사정권에 있다. 아직까지 클라우드 서버를 겨냥한 랜섬웨어 공격 사례는 없었지만 결코 실현 불가능한 시나리오는 아니라는 게 보안 전문가들의 진단이다. 이형택 한국랜섬웨어침해대응센터 대표는 “그동안 랜섬웨어 공격이 주로 개인 PC를 통한 공격 위주였다면 대규모 홈페이지를 관리하는 웹서버를 공격해 오는 경우가 늘어날 것”이라며 “클라우드 서버도 예외가 아닐 것”이라고 경고했다.

보안 전문가들은 웹호스팅 혹은 클라우드 서비스 이용자들이 행여 발생할 수 있는 사이버 공격에 대응하기 위해서는 웹사이트 DB(데이터베이스)를 주기적으로 백업해두는 습관이 중요하다고 입을 모은다. 한 관계자는 “개인 이용자는 클라우드 서비스에 저장한 각종 데이터를 정기적으로 외장하드 등 인터넷과 단절된 외부 저장매체에 2중으로 백업해 두거나 실시간 백업 솔루션을 사용하는 것이 좋다”고 말했다.