윈도우에 기본 제공되는 디스크 암호화 기능 ‘비트로커(BitLocker)’를 악용해 기업 데이터를 잠그고, 사내 프린터로 몸값 요구서까지 출력하는 랜섬웨어 공격이 확인됐다. 별도의 정교한 악성코드를 사용하는 대신 인터넷에 노출된 서비스와 시스템 설정 오류, 정상 관리 기능을 공격 수단으로 활용한 것이 특징이다.

카스퍼스키는 카스퍼스키 시큐리티 서비스 전문가들이 2026년 5월부터 6월까지 콜롬비아와 멕시코 기업을 대상으로 발생한 랜섬웨어 공격을 조사한 결과 이 같은 수법을 확인했다고 밝혔다.

이번에 조사된 공격에서는 시스템 설정 오류를 이용한 침투와 비트로커를 통한 디스크 암호화, 기업 프린터를 이용한 몸값 요구서 전달이 공통적으로 나타났다. 피해자는 윈도우 탐색기에서 드라이브 옆에 자물쇠 아이콘이 표시되고 파일 접근이 차단되면서 시스템이 암호화됐다는 사실을 인지했다.

8TB 스토리지 암호화…기업 프린터로 몸값 요구

콜롬비아에서 발생한 사례에서는 인터넷에 노출된 원격 접속 서비스가 공격의 시작점이 됐다. 해당 서비스는 기업 핵심 데이터가 담긴 8TB 스토리지 장치와 연결된 서버에 구성돼 있었다.

공격자는 시스템 제어권을 확보한 뒤 사용자 계정 정보를 변경하고, 재무 데이터가 주로 저장된 드라이브를 비트로커로 암호화했다. 데이터 접근을 차단한 이후에는 기업 내부 프린터를 이용해 몸값 요구서를 출력·배포했다.

공격 중 위협 행위자가 유포한 랜섬웨어 메시지

멕시코에서는 자신들을 ‘XEntry Team’이라고 밝힌 공격자들이 공개된 소스 코드에 노출된 로그인 계정 정보를 확보한 뒤 잘못 설정된 마이크로소프트 SQL 서버를 통해 침투한 것으로 조사됐다.

이후 공격 범위를 데이터베이스에서 웹 서버로 넓혀 보안 설정을 약화시키고, 수개월 동안 기업 인프라에 대한 접근 권한을 유지했다. 침해 사실은 직원 PC에 ‘Hacked by XEntry Team’이라는 문구가 표시된 블루스크린이 나타나고 기존 계정으로 시스템에 로그인할 수 없게 되면서 드러났다.

카스퍼스키는 몸값 요구서만으로 두 사례를 동일 공격 조직의 소행이라고 단정할 수는 없다고 설명했다. 다만 요구서 문구와 전달 방식, 피해자와 소통하는 방법 등에서 여러 공통점이 발견돼 동일 조직이나 서로 연관된 공격 그룹일 가능성을 제기했다.

“정교한 악성코드 없어도 공격 가능”…정상 도구 악용 주의

에두아르도 차바로 오발레 카스퍼스키 디지털 포렌식 및 사고 대응 그룹 매니저는 “이번 사례는 최근 랜섬웨어 공격이 반드시 정교한 악성코드에만 의존하지 않는다는 점을 보여준다”며 “공격자들은 인터넷에 노출된 서비스, 잘못된 시스템 설정, 기업 환경에 이미 존재하는 합법적인 관리 도구를 악용해 데이터를 암호화하고 몸값 지불을 압박하고 있다”고 말했다.

특히 프린터로 몸값 요구서를 직접 출력하는 방식은 피해 기업에 심리적 압박을 가하고 요구의 긴급성을 강조하기 위한 수단으로 분석했다. 이에 중앙화된 로그 관리와 지속적인 보안 경고 모니터링, 비인가 접근 징후에 대한 신속한 조사가 필요하다고 강조했다.

이효은 카스퍼스키 한국지사장은 “최근 공격자들은 기존 기업 시스템과 설정상의 취약점을 악용하는 데 그치지 않고 심리적 압박 기법까지 결합해 공격의 성공 가능성을 높이고 있다”며 “기업은 사고 이후의 대응보다 예방 중심의 보안 전략으로 전환해야 한다”고 말했다.

카스퍼스키는 랜섬웨어 대응을 위해 EDR(엔드포인트 탐지 및 대응)과 XDR(확장형 탐지 및 대응)을 포함한 통합 보안 체계를 구축하고, 시스템 취약점과 설정 오류를 정기적으로 점검할 것을 권고했다.

특히 RDP(원격 데스크톱 프로토콜)를 안전하게 구성하고 애플리케이션 제어 정책과 네트워크 트래픽 모니터링을 강화해야 한다고 강조했다. 카스퍼스키 자료에 따르면 전체 사고의 13% 이상은 보안 정책 위반과 시스템 설정 오류에서 비롯됐으며, 20% 이상에서는 RMM(원격 모니터링 및 관리) 도구가 악성코드 실행과 C2(Command and Control) 통신 등에 악용됐다.

또 하나의 침해 사고에서 공격자가 평균 세 가지 이상의 서로 다른 도구를 사용하는 것으로 나타난 만큼, 개별 보안 솔루션에 의존하기보다 여러 단계에서 침입과 내부 활동을 탐지·차단할 수 있는 다계층 보안 통제 체계가 필요하다고 카스퍼스키는 강조했다.

이준문 기자/jun@newstap.co.kr

ⓒ 뉴스탭(https://www.newstap.co.kr) 무단전재 및 재배포금지