[딜라이트닷넷] 랜섬웨어 위협은 계속된다…감염피해 예방 방법은?

[IT전문 미디어 블로그=딜라이트닷넷]

최근 국내외적으로 랜섬웨어 위협이 지속되고 있다. 최근 국내에서만 예스24, SGI서울보증, 드래곤플라이 등 복수 산업군에서 랜섬웨어 공격을 당했다. 랜섬웨어는 주요 시스템과 데이터를 암호화해 몸값을 받아내는 공격 수법이다.

한국인터넷진흥원(KISA)은 지난 14일 보안공지를 통해 랜섬웨어 위협 증가에 다른 보안 담당자들의 사전 점검과 대비가 필요하다고 밝혔다.

KISA에 따르면 사내 그룹웨어와 네트워크 연결 저장 장치(NAS)를 겨냥한 공격이 늘고 있어 주의가 요구된다. 최근 피해 사례는 ▲보안 설정이 미흡한 서버 ▲악성 이메일에 속아 실행된 PC ▲기본 비밀번호를 그대로 사용한 NAS 등 다양한 영역에서 나타났다.

한 기업은 중앙관리 솔루션 환경에서 사용자 계정·권한 관리 부실로 감염 피해를 입었고, 다른 기업은 웹 취약점과 운영체제(OS) 보안 결함이 악용돼 자료가 유출됐다. 제조사에서 설정한 기본 계정과 패스워드를 변경 없이 그대로 사용하거나, 접근제어 정책 없이 외부에서 원격포트로 접속해 감염되기도 했다.

PC 감염 경로는 공문이나 이력서로 위장한 악성 이메일 내 첨부파일, P2P 프로그램으로 내려받은 최신 영화 파일(랜섬웨어), 취약한 브라우저를 이용해 악성코드가 은닉된 웹사이트 접속 등이 꼽혔다. NAS 장비 역시 출하 당시 설정된 기본 관리자 비밀번호를 변경하지 않거나 보안 업데이트를 하지 않으면서 피해가 발생했다.

KISA는 랜섬웨어 예방을 위해 ▲외부 접속 관리 ▲계정 관리 강화 ▲데이터 백업 ▲이메일 보안 ▲시스템 보안 고도화 등 다층적인 대응이 필요하다고 진단했다.

우선, 기업 자산 중 외부에 오픈된 시스템 현황을 파악하고 불필요한 시스템에 대해선 연결을 차단해야 한다. 테스트 서버·유휴 서버 등 방치된 시스템을 점검하고 중요 시스템 접속자의 경우 개인 단말에 임의로 원격 제어 프로그램을 설치해서 사용하는지 여부도 확인해야 한다. 유지보수를 이유로 외부 업체가 시스템에 상시 접속할 수 있도록 허용하는 것도 보안 리스크다.

랜섬웨어 감염의 고전적 원인은 여전히 계정 관리 부실이다. 출하 당시 설정된 기본 관리자 비밀번호를 반드시 변경해 사용하고, 2차 인증수단을 적용하고, 정기적으로 비밀번호를 변경해야 한다. 사용하지 않는 기본 관리자 계정을 비활성화하거나 권한을 제외하는 것도 중요하다.

중요 자료는 네트워크와 분리된 별도 저장소에 정기적으로 백업해야 한다. 많은 피해기업이 백업을 수행했으나, 동일 저장소에 보관하다 랜섬웨어 감염 후 암호화돼 복구에 어려움을 겪은 사례가 나타나고 있다. 외부 클라우드 등에 중요 자료를 저장할 경우에도, 정기적인 백업을 해야 한다.

이메일 사용자 보안도 강화해야 한다. 사용자는 발신자를 확인하고, 출처가 불분명한 첨부파일과 열람을 자제해야 한다. 문서 아이콘으로 위장한 실행 파일(.exe 등) 클릭에 각별한 주의가 필요하다.

KISA는 윈도 파일 탐색기에서 ‘파일 확장명 표시’를 활성화하고, 알려진 파일 형식 확장명 숨기기 옵션을 해제하는 것을 권장했다. 기업 차원에서는 이메일 보안 솔루션을 도입해 악성 메일을 차단하고, 가상화 기반 격리 환경에서 첨부파일을 확인하는 체계를 마련하는 것도 방법이다.

공격자들은 단일 PC나 서버가 아니라, 시스템 관리 권한이 집중된 액티브디렉토리(AD) 환경을 노리고 있다. 이에 따라 특권 관리자 계정을 구분하고, 인증 정보를 주기적으로 관리해야 한다. 접근통제 보안도 강화하고, 중앙화된 로그 수집·모니터링을 통해 특권 계정의 비정상 행위 또는 서비스 설치 등을 탐지할 수 있어야 한다.

NAS 장비 역시 공격자들의 표적이다. 반드시 비밀번호를 변경하고, 자동 업데이트를 통해 최신 펌웨어를 유지해야 한다. KISA는 인터넷 직접 연결을 차단하고, 사내망에서만 운영하는 것을 권했다. 이 외에도 랜섬웨어 감염에 대비한 복구 계획 수립과 모의 훈련 수행, 소프트웨어 최신 보안패치 적용, 바이러스 백신 최신 업데이트 상태 유지 등을 수행해야 한다.

한편, 침해사고가 발생할 경우 KISA 인터넷보호나라&KrCERT 홈페이지를 통해 신고할 수 있다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -