경찰, 美 FBI와 ‘건라’ 랜섬웨어 추적…침해지표 국내외 공유

2025년부터 활동 확인…금융·의료·제조·기반시설로 공격 확대
공동수사 과정서 확보한 최신 공격기법·침해지표 국내외에 배포

경찰청./박성일 기자

경찰이 미국 연방수사국(FBI) 등 미국 주요 수사·정보기관과 함께 국제 랜섬웨어 조직 '건라(GUNRA)'의 최신 공격 수법을 공개하고 국내외 기관과 기업에 보안 강화를 당부했다. 기업 내부 자료를 먼저 빼낸 뒤 파일을 암호화하고, 돈을 지급하지 않으면 탈취 자료를 공개하거나 판매하겠다고 협박하는 '이중 탈취형' 공격이 주로 활용되는 것으로 나타났다.

경찰청 국가수사본부는 FBI와 미국 사이버보안·인프라보안국(CISA), 국가안보국(NSA), 국방부 사이버범죄센터(DC3), 비밀경호국(USSS)과 함께 '건라 랜섬웨어'에 대한 한·미 합동 사이버보안 권고문을 배포했다고 11일 밝혔다.

이번 권고문에는 한미 수사기관이 공동수사 과정에서 확보한 건라 조직의 최신 공격기법과 침해지표가 담겼다. 이를 국내외 기관과 기업에 공유해 추가 피해를 예방하고 랜섬웨어 공격에 대한 대응력을 높이겠다는 취지다.

건라는 2025년부터 활동이 확인된 국제 랜섬웨어 조직이다. 최근에는 랜섬웨어 개발자가 공격 도구를 다른 범죄자에게 제공하고 공격 성공에 따른 수익을 나눠 갖는 '서비스형 랜섬웨어(RaaS)' 형태로도 운영되고 있다. 주요 기반시설을 비롯해 금융·의료·제조업 등으로 공격 대상을 넓히고 있는 것으로 파악됐다.

경찰청과 FBI 분석 결과 건라 공격자들은 보안장비와 시스템의 취약점을 악용해 네트워크 접근 권한을 확보한 뒤 기업과 기관 내부에 침투해 랜섬웨어를 유포했다.

특히 파일을 암호화하는 데 그치지 않고 내부 데이터를 사전에 탈취한 뒤 금전을 요구하는 '이중 탈취' 수법을 사용했다. 자체 다크웹 사이트에 피해 기업 명단과 탈취 자료 일부를 게시한 뒤 몸값을 지급하지 않으면 자료를 판매하거나 외부에 공개하겠다고 협박하는 방식이다.

한미 기관들은 랜섬웨어 피해를 막기 위해 가상사설망(VPN)과 원격접속 등 외부 접근 통제를 강화하고 최신 보안패치를 적용할 것을 권고했다. 계정 탈취를 막기 위한 다중인증 도입과 안전한 백업체계 구축도 주요 예방책으로 제시됐다.

기업과 기관에는 이번 권고문에 포함된 침해지표를 활용해 시스템 기록과 이상 행위를 점검하고, 랜섬웨어 감염이나 침해 정황이 의심될 경우 공격자와 직접 접촉하지 말고 경찰에 신속하게 신고할 것을 당부했다.

경찰청 국가수사본부는 현재 건라 랜섬웨어 관련 공격을 수사하고 있다. 경찰은 "추가 위협정보를 관계기관과 기업에 신속하게 공유하고 국제사회 및 민·관 협력을 강화해 랜섬웨어 대응 역량을 지속적으로 높여 나가겠다"고 밝혔다.