암호화폐와 랜섬웨어: 가장 일반적인 경향

화면에 랜섬노트가 떠 있고 당신은 이를 재앙으로 느끼고 있을 것입니다. 실제로 재앙이 맞으니 당연한 반응입니다. 하지만 동시에, 다른 어딘가에서는 누군가가 이를 고객 서비스 상담으로 처리하고 있습니다. 그들은 표준 안내문을 작성해 두었습니다. 심지어 당신의 문의를 받기 위해 대기 중인 팀도 있습니다. 여기에는 가격 책정, 협상 과정, 그리고 지불 기한을 놓쳤을 때의 결과까지 포함됩니다. 프리랜서가 프로젝트 관리 소프트웨어를 리뷰하듯, 어필리에이트들이 랜섬웨어 플랫폼을 리뷰하며 별점 5점을 매기는 곳도 몇 군데 있습니다.

당신의 관점에서 인지되는 사건과 그들의 관점에서 바라보는 시각 사이의 이 거대한 간극이야말로, 랜섬웨어를 흥미롭게 만드는 요소들이 실제로 존재하는 지점입니다. 기술적 세부 사항, 익스플로잇 명칭, 달러 수치 등은 그저 골격의 일부일 뿐입니다. 이 모든 움직임은 해당 거래의 양측에서 일어나는 심리에 의해 구동됩니다.

랜섬웨어는 가내수공업 수준의 산업이 아닙니다. 본격적으로 조직을 운영하는 이들은 스스로를 유통 문제를 해결한 기업가로 여깁니다. 제품, 즉 파일을 암호화하고 협상력을 창출하는 소프트웨어는 이미 갖춰져 있으며, 그들은 단지 검거되지 않으면서 이를 '그럴듯하게 부인할 수 있는 수익'으로 전환할 방법이 필요할 뿐입니다.

이는 2020년대 초반 업계에서 가장 널리 퍼진 구조가 된 '서비스형 랜섬웨어(RaaS)' 모델의 등장으로 명쾌하게 해결되었습니다. 핵심 팀은 악성코드와 인프라(암호화폐 결제 처리 포함)를 구축 및 유지 관리하며, 지불된 모든 몸값에서 일정 비율(보통 20%)을 수수료로 가져갑니다. 어필리에이트들은 침투를 담당합니다. 핵심 팀은 피해자 네트워크에 직접 접촉조차 하지 않습니다. 복호화 키 관리는 어필리에이트들에게 전혀 문제가 되지 않습니다.

이것이 바로 갈취 행위에서의 분업화입니다.

2022년 2월, 러시아의 침공이 시작된 직후이자 해당 그룹이 러시아에 대한 지지를 공개적으로 선언하기 전 유출된 콘티(Conti) 사이버 범죄 그룹의 내부 통신 기록은 이러한 조직들이 어떻게 운영되는지에 대해 이례적으로 명확한 시각을 제공했습니다. 대화 내용에는 인사 분쟁, 연봉 협상, 신입 사원을 위한 기술 지시, 처우 및 인력 유지에 관한 논의 등이 담겨 있었습니다. 또한 생산성 지표, 제휴사 모집 및 관리, 비즈니스 연속성 계획에 집중하느라 과부하가 걸린 경영진의 모습도 보였습니다. 콘티 운영자들은 소프트웨어 회사를 운영하고 있었던 셈입니다. 그 결과물은 병원과 지방 자치 단체들을 초토화했지만, 내부의 실제 경험은 여느 소프트웨어 회사와 매우 흡사하여 관리자 이메일이 마치 어느 스타트업의 슬랙(Slack) 메시지처럼 보일 정도였습니다. 이는 그동안 충분히 고려되지 않았던 세부 사항이며, 현재보다 더 많은 사람을 불안하게 만들어야 마땅한 사실입니다.

피해자의 결정

2021년 5월, 조셉 블런트(Joseph Blount)는 다크사이드(DarkSide) 랜섬웨어 갱단에 440만 달러 상당의 비트코인을 지불했습니다. 그는 이후 상원에서 이 결정에 대해 증언했습니다. 그는 시스템 침투가 얼마나 깊게 이루어졌는지, 독자적으로 복구하는 데 얼마나 걸릴지 명확히 알 수 없었기 때문에 지불을 승인했다고 진술하며, 이것이 자신의 경력에서 가장 힘든 결정 중 하나였다고 덧붙였습니다.

그가 직접 말하거나 쓰지는 않았지만 증언의 행간에서 읽을 수 있는 한 가지는 그 결정의 순간에 실제로 어떤 기분이었는가 하는 점입니다. 콜로니얼 파이프라인(Colonial Pipeline)은 단순히 복호화 키를 위해 돈을 지불한 것이 아니었습니다. 그들은 특정한 감정을 끝내기 위해 비용을 지불했습니다. 즉, 미 동부 해안을 따라 이미 확산되고 있던 가스 부족 사태, 사재기 현상, 주유소 앞에 늘어선 줄, 그리고 지역적인 운영상의 어려움을 국가적인 정치적 재앙으로 재구성한 언론 보도에 대해 실시간으로 책임을 져야 한다는 그 압박감을 끝내려 했던 것입니다. 440만 달러라는 계산은 순수하게 이성적인 것만은 아니었습니다. 그것은 대가였습니다. 적어도 스스로에게 노력은 했다고 말하기 위한 대가 말입니다.

하지만 랜섬웨어 운영자들은 이것을 팔아야 합니다. 복호화 기능은 명목상의 상품일 뿐입니다. 그것은 감당하기 힘든 종류의 압박으로부터의 해방입니다. 즉, 진행 중인 재앙의 결과가 주주, 규제 기관, 기자들이 지켜보는 가운데 제한된 정보와 극도의 불확실성 속에서 지금 이 순간 내리는 결정에 달려 있다는 압박입니다. 이론적으로 백업에서 복구할 수 있는 조직이라 할지라도, 그 안도감의 대가는 놀라울 정도로 만만치 않음이 드러납니다. 재구축에는 수주가 걸리기 때문입니다. 압박은 지금 당장 가해지고 있습니다.

FBI는 DarkSide가 자금을 예치해 둔 지갑과 연결된 개인 키를 압수함으로써 Colonial Pipeline이 지불한 금액 중 약 230만 달러를 회수하는 데 성공했습니다. 이 회수 사례는 비트코인의 가명성이 비트코인의 익명성을 의미하지 않는다는 점을 실질적인 증거와 함께 다시 한번 강조했습니다. 또한 더욱 우려스러운 점도 보여주었습니다. 대금을 지불한 후 블런트(Blount)가 잠시나마 기분이 나아졌다는 사실입니다. 이는 상황에 대한 이성적인 반응은 아니었지만, 매우 인간적인 반응이었습니다. 근거가 없었을지라도 그 안도감만큼은 실재했습니다.

지불을 거부하는 피해자들 역시 동일한 심리의 또 다른 변주를 겪게 됩니다. 그들은 합리적인 결정을 내리지만, 이후 몇 주 동안 다음과 같은 상황을 지켜보게 됩니다. (1) 예상보다 훨씬 더 많은 비용이 발생하고, (2) 자신들의 백업 및 이중화 계획이 믿었던 것만큼 견고하지 않았으며, (3) 다양한 완화 노력을 기울이는 침해 사고 대응 업체의 추정치가 지나치게 낙관적이었다는 사실입니다. 그리고 마지막으로, 어느 시점에 이르면 고객과 직원, 규제 기관이 자신들을 평가하는 방식을 영원히 바꿔버릴 불편한 진실이 드러나게 됩니다. 원칙은 유지됩니다. 그 대가는 계획된 금액 그 이상입니다." 대부분은 지나고 나서도 똑같이 행동했을 것이라고 말합니다. 이는 스스로를 설득해야 할 때 사람들이 흔히 하는 말입니다.

2020년대 초반 표준으로 자리 잡은 이중 협박 모델(암호화 전 데이터 탈취, 그리고 접근 권한 상실을 공개적 노출로 맞바꾸는 압박 전술)은 기술적 진보가 아니었습니다. 그것은 심리적 진보였습니다. 이는 백업으로 대응할 수 있는 공격 벡터입니다. 하지만 환자 기록, 직원 급여 데이터, 협력업체와의 계약서 또는 경영진의 이메일이 노출될 위험은 그 어떤 기술적 통제로도 완화할 수 없습니다. 이 모델은 운영의 연속성이 아닌 평판, 프라이버시, 그리고 이 두 가지에 기반한 신뢰라는 전혀 다른 지점을 공략합니다. 이는 공격자들이 자신들의 '상품'을 피해자들보다 더 잘 이해하고 있었음을 보여줍니다.

처벌받지 않는 지리적 환경

LockBit은 수사 기관에 이미 잘 알려진 운영자들에 의해 운영되었습니다. 2024년 2월, 영국 국가범죄수사국(NCA)이 주도한 LockBit 인프라 무력화를 위한 대규모 국제 공조 수사의 마지막 달에 관리자의 실명이 공개되었습니다. 바로 31세의 러시아 시민 드미트리 호로셰프(Dmitry Khoroshev)였습니다. 수사 기관은 그의 사진을 공개하고 자산을 목록화했습니다. 미국 법무부는 기소장을 공개했고, 미 재무부 해외자산통제국(OFAC)은 제재를 가했습니다. 이는 사실상 완벽한 국제 지명 수배 전단이었습니다.

호로셰프는 여전히 검거되지 않은 상태입니다. 그는 러시아에 거주하고 있는데, 러시아는 러시아 이외의 시스템이 피해를 입은 사이버 범죄에 대해서는 자국민을 인도하지 않습니다. 이것이 바로 전체 랜섬웨어 경제가 의도적으로 작동하는 방식입니다.

전통적으로 랜섬웨어에 대한 러시아 수사 기관의 단순한 규칙은 하나였습니다. 러시아 내부나 그 정치적 영향권에 있는 대상은 건드리지 말 것, 그 외 지구상의 다른 곳은 우선순위가 아니라는 것입니다. 콘티(Conti) 그룹이 사용한 초기 코드 버전에는 키릴 자판 감지 기능이 포함되어 있었습니다. 피해자의 키보드 레이아웃이 러시아어인 경우, 코드가 실행되지 않도록 설정된 것입니다.

이것은 애국심 때문이 아니었습니다. 일종의 규제 준수 체계였습니다. 해당 그룹은 정부가 허용하는 지리적 범위 내에서 활동을 유지한다는 조건 하에 운영을 지속할 수 있도록 정부와의 관계를 관리하고 있었습니다.

이것이 시사하는 바는 명확합니다. 워싱턴, 브뤼셀, 런던에서 랜섬웨어 정책 대응을 설계하는 이들은 주동자들의 신변을 확보하는 것이 거의 불가능한 산업에 대응하고 있다는 사실입니다. 이 모든 상황은 너무나도 자명한 결론으로 이어집니다. 실제로 발생하는 체포 사례들—폴란드의 일부 독자적 하부 조직원들, 2022년 초 이례적인 우호 관계가 형성되었던 시기에 러시아에서 체포된 일부 REvil 멤버들, 혹은 자신의 노출 정도를 잘못 판단한 간헐적인 미국이나 유럽의 운영자들—은 거대한 생태계의 외곽에 있는 예외적인 사례일 뿐입니다. 핵심이 존재하는(그리고 항상 존재해 왔던) 곳과는 거리가 멉니다.

이러한 책임 소재의 지리적 특성은 정책 담론의 모든 것을 결정짓습니다. 가용한 대응 수단으로 책임자들에게 도달할 수 없다면, 무엇을 '대응'으로 간주할지 그 정의를 다시 내려야 합니다. 워싱턴은 '규제적 암호화폐'라는 도구로 이에 대응하고 있습니다. 국가 중요 시설에 대한 의무 보안 표준도 존재하지만, 도입 속도가 더디고 더 큰 정치적 반발을 불러일으키며, 일정 부분 정부의 잘못이라는 현실을 직시해야 합니다. 즉, 연방 기관들이 수년 동안 알려진 취약점이 있는 네트워크를 운영해 왔고, 중요 시설 보안을 위한 규제 체계가 미흡했으며, 현재 벌어지고 있는 상황이 부분적으로는 문제를 해결하겠다고 나선 바로 그 기관들이 내린 선택의 결과라는 사실 말입니다.

결제망을 탓하는 것이 훨씬 깔끔한 해결책처럼 보입니다.

입법자의 시간

주요 국가 시설에 대한 대규모 랜섬웨어 공격이 발생한 후에는 어김없이 의회 청문회가 열립니다. 피해 기업의 CEO가 증언대에 섭니다. 의원들은 왜 몸값을 지불했는지 집요하게 묻습니다. CEO는 그렇게 하라는 권고를 받았다고 답합니다. 이어 왜 더 나은 백업 시스템을 갖추지 않았느냐는 질문이 이어집니다. CEO는 백업 시스템이 일부 손상되었거나, 주어진 시간 내에 복구하는 것이 현실적으로 불가능했다고 설명합니다. 그러고 나면 가상자산에 대한 심문이 시작됩니다. CEO는 법적 문제를 피하기 위해 의도적으로 모호한 답변을 내놓습니다.

이러한 질문을 던지는 의원들이 무지하다고 생각하는 것은 착각입니다. 그들은 광범위한 브리핑을 받습니다. 그들의 행위는 사실 조사와는 성격이 다릅니다. 그들은 유권자들이 이해할 수 있도록 문제의 원인이 식별 가능하고 설명 가능하다는 서사를 만들고 있는 것입니다. 그리고 이러한 원인에 대응하기 위해 자신들이 제안하는 입법 조치가 랜섬웨어에 대한 실질적인 대응책으로 인정받기를 원합니다.

입법의 관점에서 가상자산은 해결 가능한 문제입니다. 가상자산은 그들의 관할권 내에 있는 산업이며, 논쟁을 벌일 로비스트가 존재하고, 확대 적용할 수 있는 규제 요건이 있으며, 뉴스레터에 실을 수 있는 규제 활동의 가시적인 지표를 제공하기 때문입니다.

전쟁이나 사이버 전쟁을 통해 해커를 직접 공격함으로써 얻을 수 있는 가시적인 성과는 외교 정책, 정보 협력 및 역외 법적 압박을 통해 실제 운영자를 추적할 때는 나타나지 않습니다.

수년 동안 가상자산 업계는 암호화폐를 단속한다고 해서 랜섬웨어가 중단되지는 않을 것이라고 주장해 왔습니다. 비트코인 이전에도 랜섬웨어는 존재했으며, 운영자들은 다른 결제 채널을 이용하면 그만이고, 실제 범죄자들은 미국의 금융 규제를 존중하지 않는 국가에 거주하기 때문입니다. 이 논리는 옳습니다. 하지만 옳다는 것이 정치적 맥락에서 효과적이라는 것과 같지는 않기에(정치적 맥락이야말로 효과가 가장 필요한 곳임에도 불구하고), 이 주장은 계속해서 무용지물로 남아 있었습니다. 이는 의사결정권자들이 실제로 활용할 수 있는 무언가를 제공해야 한다는 점과 관련이 있습니다.

2024년 2월 체인지 헬스케어(Change Healthcare) 사건 당시 블랙캣(BlackCat)의 행태는 규제 체계가 전혀 해결할 수 없는 완전히 다른 문제의 단면을 보여주었습니다. 블랙캣은 체인지 헬스케어의 모회사로부터 약 2,200만 달러를 받았습니다. 결국 블랙캣은 '엑싯 스캠(exit-scam)'을 저질렀습니다. 운영자는 돈을 챙겨 인프라를 폐쇄했고, 그를 위해 일하던 어필리에이트(affiliate)에게는 아무런 대가도 남기지 않았습니다. 이에 분노한 어필리에이트는 훔친 데이터를 유포하겠다고 협박하기 시작했습니다. 랜섬웨어 운영자들이 자신들의 범죄 조직원들을 상대로 사기를 친 것입니다. 따라서 문제의 이러한 특정 측면에 대해서는 정책 담론 자체 내에 적절한 대응 체계가 마련되어 있지 않습니다.

사용자가 짊어진 것

스테이블코인 송금, 디파이(DeFi) 포지션, 해외 송금 및 일상적인 비즈니스와 같은 활용 사례를 위해 암호화폐를 보유하고 있는 일반인들은 랜섬웨어 논의에서 아직 널리 탐구되지 않은 특별한 측면을 지니고 있습니다. 그들은 자신이 저지르지도 않았고 아무런 이득도 얻지 못한 범죄에 대한 규제적 대응 비용을 실제로 지불하는 당사자들입니다.

이는 랜섬웨어가 뉴스에 오르내릴 때마다 암호화폐 커뮤니티 내에서 명확하게 드러나는 일종의 기저에 깔린 방어적 태도를 형성합니다. 합법적인 상거래를 위해 USDT를 송금하는 개인은 이제 자신과 아무런 관련이 없는 범죄 조직과 나란히 놓이게 됩니다. 프로토콜을 발행하는 팀은 스마트 컨트랙트가 랜섬웨어 거래에 어떻게 사용되는지에 대해 왜 책임이 없는지를 다시 한번 세상에 설명합니다. 다른 국가에서 다른 사람들이 완전히 다른 트랜잭션 흐름을 통해 저지른 일 때문에, 합법적인 목적으로 암호화폐를 사용하는 전 과정(end-to-end)의 경험은 더 많은 감시를 받게 되고 비용 부담은 감당하기 힘든 수준이 됩니다.

이러한 방어적인 태도는 종종 자멸적입니다. 진실하기보다는 머뭇거리는 것처럼 보이며, 방어하는 입장에 선 이들은 때때로 자신의 주장을 과장하여 오히려 묵살당하기 쉬운 상황을 자초하기도 합니다. 하지만 그 밑바닥에 깔린 분노는 매우 실질적입니다. 타인의 범죄 행위에 대한 대응으로 발생한 비용을 지불해야 하는 상황에서 좌절감을 느끼게 되며, 당연하게도 이러한 비용을 발생시킨 이들은 자신들의 계산법에서 이를 정당화할 필요가 없습니다. 비용을 부담하는 사람들이 그들이 고려하는 정책 대상이 아니기 때문입니다.

이에 대한 더 개인적인 관점도 존재하는데, 이는 암호화폐를 보유한 사람들이 다른 사람들에게 자신의 존재를 어떻게 합리화하는지와 관련이 있습니다. 그들은 자신들에게는 명백하지만 대화 상대방에게는 불투명해 보이는 것들을 구분합니다. 퍼블릭 블록체인상에서 비즈니스 송금을 진행하는 것이 병원에 랜섬웨어를 보내는 것과는 왜 다른지를 비교하며 설명합니다. 그 설명들은 옳습니다. 이를 계속 반복하는 것은 매우 피곤한 일이지만, 이는 무관심하거나 이해하지 못하는 사람들만이 인정할 법한 차이일 뿐입니다.

워너크라이(WannaCry) 사건 자체가 우리에게 이에 대한 시사점을 줍니다. 이 공격은 NHS, Telefónica, FedEx, Deutsche Bahn 등 수많은 기업과 기관에 걸쳐 수억 달러에 달하는 실질적인 피해를 입혔습니다. 하지만 실제 몸값으로 거둬들인 수익은 수만 달러에 불과했는데, 이는 운영자들이 현실적으로 처리 가능한 복호화 요청 건수에 대한 통제권을 포기했기 때문입니다. 데번의 자신의 침실에서 작업하던 마커스 허친스(Marcus Hutchins)라는 22세 청년은, 악성코드 내의 코드가 확인하던 미등록 도메인을 등록함으로써 제작자가 설계해 둔 '킬 스위치'를 작동시켜 악성코드를 무력화했습니다. 지정학적 관점에서의 이야기는 무기화된 NSA 익스플로잇이 비트코인과는 전혀 무관한 갈등의 일환으로 전 세계 인프라를 겨냥했다는 것이었습니다. 대중의 기억 속에 남은 것은 단 하나였습니다. 바로 해커들이 비트코인을 요구했다는 사실입니다.

왜 계속되는가

2023년 체이널리시스(Chainalysis)가 추적한 랜섬웨어 지불액은 10억 달러를 넘어섰으며, 이는 기록상 해당 임계치를 처음으로 돌파한 해였습니다. 2024년에는 지불액이 약 35% 감소했는데, 이는 부분적으로는 대형 범죄 조직에 대한 수사 당국의 조치 덕분이었고, 또 다른 부분으로는 피해자들이 거절하는 법을 터득하며 더 현명해졌기 때문입니다. 그러나 이러한 진전 중 어느 것도 근본적인 문제가 해결되고 있음을 의미하지는 않았습니다.

락비트(LockBit)는 와해되고 인프라는 압수되었으며 운영자의 신원이 공개되고 제재를 받았지만, 불과 며칠 만에 부분적으로 운영을 재개했습니다. 2022년 중반부터 6개월 넘게 FBI는 하이브(Hive)에 잠입하여, 올해 1월 당국이 인프라 일부를 압수할 때까지 운영이 지속되는 동안 피해자들에게 몰래 무료 복호화 키를 전달했습니다. 2023년 MOVEit Transfer 대규모 익스플로잇이 발생할 무렵, 클롭(Cl0p)은 비암호화 데이터 유출 방식으로 완전히 전환했습니다. 이는 암호화 과정이 없는 랜섬웨어로, 복호화할 파일은 없지만 타인의 네트워크를 침해하여 데이터를 탈취하고 이를 빌미로 범죄 행위를 이어가는 방식이었습니다.

실제 산업은 정책적 대응보다 더 빠르게 적응합니다. 보안 기업들은 적응해야 할 직접적인 동기가 있는 반면, 평가 정책은 그와는 다른 동기를 가지고 있기 때문입니다.

오프라인에서 테스트된 백업, 다요소 인증(MFA), 패치된 시스템, 네트워크 분할, 엔드포인트 탐지 등은 모두 번거롭지만, 공격 발생률을 실질적으로 낮출 수 있는 보안 인프라의 매우 잘 알려진 요소들입니다. 비록 화려해 보이지는 않지만 말입니다. 그렇다고 해서 랜섬웨어 운영자들이 사라지는 것은 아닙니다. 이러한 조치들은 모든 공격의 비용을 높여 많은 피해자가 대가를 지불하지 않고도 버틸 수 있게 합니다. 하지만 이를 위해서는 지속적인 조직적 규율과 기한 없는 자금 투입이 필요하며, 이는 카메라 앞에서 생색내기 좋으면서도 실행 중에는 측정 가능한 결과물을 내놓지 않는 규제 조치보다 설득하기가 더 어렵습니다.

암호화폐를 금지한다고 해서 패치되지 않은 소프트웨어를 평면 네트워크(flat network)에서 운영하는 병원들이 안전해지는 것은 아닙니다. 결제 메커니즘은 여러 구조적 결함이 결합되어 결과를 만들어내는 시스템의 한 조각일 뿐입니다. 이러한 다른 결함들을 해결하기가 쉬울수록, 그 부분에 더 많은 관심이 쏠리게 됩니다.

이와는 무관한 이유로 Tron 네트워크에서 스테이블코인을 사용하는 분들을 위해, Netts.io는 JustLend, Trongas, Catfee, Sohu, APITRX와 같은 중간 규모 공급업체 및 평균화된 프라이빗 풀 공급업체의 실시간 에너지 가격을 통합하여 제공합니다. 이를 통해 필요한 트랜잭션 금액을 실시간 최저가 Tron 에너지 가격으로 찾아 전송할 수 있습니다. 현재 에너지 단위당 최저 25 sun으로, 이는 TRX를 스테이킹하거나 동결(freeze)할 필요 없이 즉각적인 트랜잭션 위임을 통해 기본 TRX 소모(burn)율보다 약 75% 저렴합니다. 웹 인터페이스 없이 간단한 텔레그램 봇을 통해 이용할 수 있습니다.

특정 트랜잭션의 사용 맥락이 랜섬웨어와 관련이 있는지 여부는 에너지 시장이 답변할 수 있는 문제가 아닙니다. 적어도 이는 트랜잭션 비용을 직접적으로 다룹니다.