보안 시스템과 인식 날로 강화, ‘디지털’ 아닌 ‘물리적’ 공격
특히 기업 아닌 ‘개인’ 대상, ‘가족, 사랑하는 사람 등 미끼로 협박’
기존 보이스피싱 ‘가짜 납치’ 수법 유사, “피해자들 더 쉽게 당해”
[애플경제 이윤순 기자] 흔히 자녀나 사랑하는 사람의 목소리나 딥페이크를 이용한 보이스 피싱이 기승을 떨고 있다. 이런 ‘인륜’을 파괴하는 ‘반인륜적’ 행위가 최근엔 랜섬웨어 공격에도 적극 자행되고 있다. 이들 랜섬웨어 공격은 해커가 ‘심리적 압박’의 일환으로 이런 반인륜적 공격을 가하고 있다.
최근 보안업계와 전문가들에 의하면 해커들은 심지어 “자녀가 다니는 학교를 알고 있다”며 협박을 하고 있다.
이처럼 공격 대상을 기업에서 개인으로 옮기는게 최근 랜섬웨어 공격자들이 추세다. 그렇다보니 개인에 대해선 단순한 디지털 공간의 약탈행위에 앞서 이같은 현실적, 물리적 위협으로 일종의 ‘심리적 협박’을 가하고 있다.
현실적, 물리적 위협으로 ‘심리적 협박’
이는 국내외 보안 전문가들이 최근 가장 걱정하는 대목이기도 하다. 지난 주 ‘2025 세계보안엑스포’에 참가한 보안업체 이스트시큐리티의 한 관계자도 “기업의 경우도 특정 임원의 휴대전화를 통해 회사 내부 시스템에서 추출한 민감한 세부 정보를 언급하며 협박했다는 얘기를 들은 적이 있다”고 했다.
그는 또 “통화 중에 또 ‘개인 정보’를 언급하면서 회사측이 갖고 있는 직원의 신상정보를 모두 갖고 있다는 식으로 협박하기도 한다”면서 “이는 기존 암호화된 파일에 대한 공격과는 차원이 다른 인격적 공격 내지 반인륜적 행위”라는 주장이다.
이런 우려는 비단 이스트시큐리티 관계자에만 그치지 않는다. 이미 국내 보안업계 일각, 그리고 특히 해외에선 날로 사이버공격 방어기술과 장치가 발달하면서, 공격 대상을 디지털 아키텍처나 기업 대신 개인의 일상 공간으로 바꾸고 있는 것이다. 특히 한 개인으로선 가장 취약한 가족이나 은밀한 사생활을 협박 수단으로 삼고 있다. 흔히 데이터를 탈취하거나, 암호화하는 등 기업을 대상으로 한 협박과는 그 성격과 차원이 다른 셈이다.
글로벌 보안업체 시그니아(Sygnia)도 이와 비슷한 현상을 실증적 자료를 통해 밝힌 바 있다. 보안에 대한 인식, 특히 ‘몸값’을 요구하는 해커들에게 대한 체계적 대응이 날로 강화되면서, 이들은 이같은 ‘반인륜적’ 수단을 동원해 협상과 협박에 나서고 있다.
최근 해외에선 흔히 기업의 중간간부급 이상을 점찍어, 그의 사생활을 미끼로 정보와 돈을 뜯어내는 사례가 발견되고 있다. 앞서 시그니아가 소개한 사례에 따르면 해당 간부의 개인 정보를 탈취한 후, 그 안에 들어있는 사생활 정보로 협박하기도 한다. 심지어 그 중엔 자녀가 사는 곳이나 집주소, 학교, 또는 사랑하는 사람의 사진에 대한 정보가 포함된 경우도 많다. 그런 다음 데이터 속 가족이나 지인에 대한 ‘신체적 공격’을 암시하는 등의 악랄한 수법을 구사하기도 한다.
“분별력 강한 사람도 가족 협박엔 무력해지기 쉬워”
문제는 아무리 객관적 분별능력을 지닌 사람이라도, 가족이나 사랑하는 사람을 대상으로 위해를 가한다는 협박 앞에서 무력해지기 쉽다. 마치 보이스피싱 범죄자들이 자녀나 가족을 납치하고 있는 양 속이는 것과도 같다. “현재 많은 사이버 공격의 경우 정작 ‘몸값’을 지불하는 경우는 점차 줄어들고 있지만, 이런 ‘반인륜’적 공격은 예외”라는게 시그니아의 분석이다.
공격자가 자신의 민감한 사생활 정보를 공개하거나, 가족에 해를 끼칠 듯한 뉘앙스로 협박을 가하면, 이에 굴복하기 쉽다. 해커들 중엔 또 피해자가 그래도 순순히 응하지 않을 경우, 은밀한 사생활 정보가 담긴 데이터를 암시장에 내다파는 경우도 있다. 이는 또 다른 해커에게 범죄수단을 팔아넘김으로써 범죄를 릴레이하는 셈이다.
이런 경험이 있는 전문가들에 의하면 이들 공격자들은 처음에는 매우 정중하고 친절하게 다가오기도 한다. 그러나 원하는 것을 빨리 얻지 못하면 더 “공격적이고 무자비”해진다. 돈을 받을 가능성이 적어질 경우는 더욱 잔인하다.
그런 경우 공격자들은 맬웨어에 백도어를 남겨, 추가 암호화로 보복하거나 모든 데이터를 삭제하는 경우도 적지 않다. 특히 피해자로 인해 자존심이 구겨졌다고 느끼거나, 혹은 속고 있다고 느낄 때 더욱 그렇다는 얘기다.
“감정적 대응보단 협상 전문가 도움 필요”
이에 랜섬웨어 협상 전문가들은 “시종 도전적이거나 방어적으로 행동하는 건 더 적대적인 분위기를 조성한다”고 공격을 받은 피해자들에게 조언했다. 즉, “애써 침착을 유지하면서, 범죄자로부터 더 많은 정보를 추출하기 위해 대화를 이끌어 가야 한다”면서 “예를 들어, 공격자가 보유한 데이터나, 시스템을 침해한 방법, 데이터를 반환하거나 공개할 가능성 등을 타진해야 한다”는 것이다.
가족이나 개인 사생활을 미끼로 협박을 당할수록 냉정하고 차분한 감정선을 유지할 필요가 있다는 충고다.
앞서 시그니아는 “사실 알고보면 모든 범죄자들도 우리와 비슷한 삶의 경험과 동기가 있다. 그러므로 대화를 통해 상황에 어떻게 접근할 것인지를 이해하는 게 중요하다”고 했다. 즉, 회사에 피해를 줄 만큼 해커가 과연 충분한 데이터를 가지고 있는지, 그리고 중요한 고객에게 실제 피해를 입힐 수 있을지를 냉철하게 파악해야 한다. 특히 개인의 경우 자신의 삶에 얼마만큼 영향을 미칠 수 있을까, 혹은 범죄자에게 어떻게 하면 최소한의 몸값으로 사태를 해결할 수 있을지를 냉정하게 분석해야 한다는 얘기다.
“그러나 이는 말처럼 쉽지 않은 만큼, 이런 공격을 당하면 즉시 보안이나 사법당국에 알리는 한편, 협상 전문가의 도움을 받아야 한다”고 권했다.