엘렉손, 5월 중순 사이버 공격에 당해...분석해 보니 소디노키비라는 랜섬웨어
범인들의 요구에 응하지 않았던 듯...랜섬웨어 운영자들, 정보 노출시키기 시작해

[보안뉴스 문가용 기자] 영국 전기 업체인 엘렉손(Elexon)의 데이터가 공격자에 의해 공개되기 시작했다. 이 정보는 얼마 전 해커가 훔친 것이라고 한다. 엘렉손은 5월 중순, “IT 시스템이 사이버 공격에 당하고 있다”고 발표한 바 있지만, 당시 더 상세한 내용은 공개하지 않았었다.


하지만 정보가 유출되기 시작한 지금 상황에서 보니 엘렉손은 소디노키비(Sodinokibi) 혹은 레빌(REvil)이라고 불리는 랜섬웨어에 당한 것이었다. 또한 공격자들은 파일들을 암호화 하기 전에 먼저 외부로 빼내고, 이를 통해 추가 협박을 꾀한 것으로 보인다고 보안 업체 사이블(Cyble)이 발표했다.

사이블은 이번에 유출된 파일들을 분석했고, 그 결과 굉장히 민감한 기밀 정보들이 다수 포함되어 있는 것을 발견했다고 한다. 사이블의 보고서에 의하면 “여권 사본, 기업 분석 데이터, 각종 기업들의 서비스 신청서 등”이 이번에 유출됐다고 한다.

레빌 랜섬웨어는 시스템에 침투한 후 파일을 외부로 빼돌리고 나서 암호화 시키는 방식으로 피해자를 옥죈다. 피해자가 파일을 복구하고 싶다면 정해진 곳으로 돈을 보내야 하는데, 최근 랜섬웨어 공격자들에게 돈을 내지 말라는 분위기가 정착되면서 돈을 보내지 않는 경우가 왕왕 생긴다. 그럴 때 레빌 공격자들은 미리 빼낸 정보를 공개하겠다고 2차 협박을 가한다.

엘렉손은 피해 사실을 발표하며 사이버 공격으로 인한 피해를 복구 중에 있다고 설명했었는데, 범죄자들과의 협상 없이 시스템을 복원시키고 있었던 것으로 보인다. 이 때문에 레빌 측이 파일을 공개한 것이 맞아 보인다. 아마 추가로 공개할 파일이 더 있고, 엘렉손 측에 다시 한 번 협박을 가했을 가능성이 높다.

전기 및 전자 분야 등 주요 산업을 겨냥한 랜섬웨어 공격이 최근 기승을 부리고 있다. 랜섬웨어 공격자들이 일반 개개인이 아니라 조직을 집중적으로 노리기 시작했기 때문이다. 올해만 해도 유럽전기전송시스템운영자네트워크(European Network of Transmission System Operators for Electricity)에서 해킹 사고가 발생했고, 미국 매사추세츠의 한 전기 공급 조직도 랜섬웨어에 당한 바 있다.

또한 랜섬웨어 공격자들의 ‘이중 협박’ 전술도 흔한 것이 되어 버렸다. 메이즈(Maze)라는 랜섬웨어를 운영하는 자들이 가장 먼저 시도한 것으로 보이는 이 전술은, 파일을 암호화 하기 전에 공격자가 제어하는 서버로 빼돌리는 것으로 공격을 시작한다. 그리고 피해자가 협상에 응하지 않을 경우 정보를 공개하면서 추가로 협박을 이어간다.

메이즈의 경우 정보 공개를 위한 웹사이트를 다크웹에 따로 만들어, 돈을 지불하지 않은 기업들의 파일을 조금씩 노출하고 있다. 이런 전술과 전략을 다른 랜섬웨어 공격자들도 계속해서 따라하고 있으며, 레빌 역시 그 중 하나다.

3줄 요약
1. 영국의 한 전기 업체, 소디노키비 랜섬웨어에 당함.
2. 시스템 복구 위해 범인과 협상하지 않은 것으로 보임.
3. 이에 범인들은 이 업체의 민감한 정보를 유출시키기 시작함.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>