랜섬웨어는 신경 쓰지 않습니다. 그게 당신 아이의 아기 사진이어도

2017년 5월 12일 금요일 오후, 잉글랜드 곳곳의 병원 접수 창구에서 컴퓨터 화면이 빨갛게 물드는 광경이 목격됐습니다. 창 하나가 떴습니다. "당신의 파일은 암호화됐습니다. 비트코인으로 300달러를 보내십시오. 사흘이 지나면 값은 두 배가 됩니다." 수술은 취소됐고, 구급차는 다른 병원으로 돌려졌습니다.

그 공격은 WannaCry라 불렸습니다. 하루 만에 150개국, 약 20만 대의 컴퓨터에 닿았습니다. 그리고 그날 이후 보안 업계가 거듭 되풀이하는 교훈을 가르쳤습니다. 아무도 듣고 싶어 하지 않는 교훈—랜섬웨어에게 여러분의 데이터는 귀중품이 아니라 재고라는 것입니다.

암호화에게, 모든 것은 바이트일 뿐입니다

이것이 가장 먼저 이해해야 할 점이고, 랜섬웨어가 그 이전의 모든 컴퓨터 범죄와 다른 점입니다. 도둑은 값어치 있는 것을 훔치고 나머지는 남깁니다. 랜섬웨어는 무차별적으로 암호화합니다—아기 사진, 세금 신고서, 결혼식 영상, 회사의 출하 명세서—암호화는 그게 무엇인지 알 필요가 없기 때문입니다. 파일 시스템을 돌아다니며 확장자로 파일을 주워 담고, 아무도 풀 수 없는 군용급 암호로 뒤섞어 버립니다.

잔인함은 구조적이지, 개인적이지 않습니다. 누군가 병원을 노린 게 아닙니다. 여러분이 암호화된 것은 닿는 범위에 있었기 때문입니다—네트워크 위의, 패치가 안 된 기계. SMB 파일 공유 프로토콜의 취약한 버전을 돌리던 기계. WannaCry가 퍼진 것은 EternalBlue라는 공격 코드를 썼기 때문입니다. NSA가 개발하고, 한 달 전에 Shadow Brokers라는 그룹이 유출한 코드입니다. 여러분의 추억은 남의 무기 개발 계획에 휘말린 부수적 피해였습니다.

여섯 주 뒤에는 NotPetya가 왔습니다—랜섬웨어로 위장하고 와이퍼로 설계된 것. 우크라이나 세무 회계 프로그램 M.E.Doc의 침해된 업데이트를 통해 들어와, 역시 훔친 공격 코드로 기업 네트워크 안을 옆으로 옆으로 퍼지며, 마스터 부트 레코드를 암호화해 기계가 부팅조차 못 하게 만들었습니다. 파일이 무엇인지는 중요하지 않았습니다. 거기 있다는 것 자체가 문제였습니다.

3억 달러짜리 "아기 사진"

NotPetya의 가장 교훈적인 피해자는 덴마크 해운 대기업 Maersk였습니다. 세계 해상 화물의 대략 5분의 1을 나르는 회사입니다. 2017년 6월 27일 아침, Maersk 직원들은 전 세계 사무실에서 화면이 하나씩 새까맣게 꺼지는 것을 봤습니다. 전화는 끊겼고, 컨테이너선을 예약하는 시스템이 무너졌습니다. 열흘 동안 회사는 전 세계 사업의 상당 부분을 종이와 WhatsApp, 그리고 고함으로 굴렸습니다.

복구는 포화 속에서 시도된 최대급 IT 재구축 중 하나였습니다. 서버 약 4,000대, PC 45,000대, 애플리케이션 2,500개를 처음부터 다시 설치하는 작업. 최종 피해액은 2억에서 3억 달러로 추산됐습니다. FedEx의 유럽 부문 TNT Express는 같은 공격으로 약 3억 달러를 잃었고, 제약사 Merck는 대략 6억 7,000만 달러를 잃었습니다.

이 이야기에서 중요한 디테일은 여기 있습니다. Maersk를 살린 것의 일부는 운과 "단절"이었습니다. 가나에 있던 도메인 컨트롤러 한 대가 현지 정전 때문에 결정적인 순간에 오프라인 상태였습니다—연결된 모든 기계가 암호화되는 동안 그 한 대만 살아남은 것입니다. 닿을 수 없었던 그 서버가 회사 네트워크 전체의 신원을 다시 세우는 씨앗이 됐습니다. 살아남은 복사본은 공격자가 만질 수 없었던 복사본이었습니다. 가장 비싼 백업 시스템이 아니라, 우연히 플러그가 뽑혀 있던 것이었습니다.

당신의 백업도 명단에 올라 있습니다

대부분 사람의 백업 전략은, 있어 봐야 이런 모습입니다. 컴퓨터에 꽂아 둔 외장 드라이브. 아니면 클라우드에 동기화되는 폴더. 둘 다 "닿습니다". 그리고 랜섬웨어가 사냥하는 것은 바로 "닿는 것"입니다.

현대의 랜섬웨어는 문서를 암호화하는 데서 그치지 않습니다. 네트워크 공유를 열거합니다. 책상 위의 USB 드라이브를 암호화합니다. 쓰이기 전에 Windows 섀도 복사본—시스템 자체의 복원 지점—을 지워 버립니다. 몇 주간 조용히 숨어 클라우드 동기화 폴더를 천천히 암호화해, 손상된 버전을 모든 기기로 퍼뜨리고 버전 기록까지 오염시키는 변종도 있습니다. 여러분의 백업도, 동기화도, "괜찮아, 클라우드에 있으니까"도, 전부 같은 네트워크 위, 같은 자격 증명 안에 있고, 측면 이동 한 번이면 닿는 거리에 있습니다.

그래서 보안 전문가들은 백업과 에어갭 백업 사이에 굵은 선을 긋습니다. 백업은 복사본입니다. 에어갭 백업은 닿을 수 없는 복사본입니다—편리한 순간에 여러분이 닿을 수 없기에, 기회 좋은 순간에 공격자도 닿을 수 없습니다. 그 불편함 자체가 방어입니다. 백업에 닿기 쉽게 만드는 모든 지름길은, 그것을 부수기 쉽게도 만듭니다.

"여기서는 닿을 수 없다"는 물리학

랜섬웨어 복구에서 업계 표준이 30년 가까이 거의 바뀌지 않은 데는 이유가 있습니다. 오프라인 복사본, 떨어진 장소, 복원으로 테스트 완료. 테이프 라이브러리. 분리된 하드 드라이브. 한 번만 쓸 수 있는 매체. 기술은 의도적으로 소박합니다. 화려함은 곧 공격 표면이기 때문입니다.

제대로 에어갭된 복사본을 부수려면 공격자가 무엇을 해야 하는지 생각해 보십시오. 네트워크로는 닿을 수 없습니다. 거기에 없으니까요. 훔친 자격 증명으로도 암호화할 수 없습니다. 봉인된 가방에 담겨 선반에 놓인 드라이브를 여는 자격 증명이란 존재하지 않으니까요. 그들은 물리적으로 건물을 찾아내고, 문을 통과하고, 매체에 손을 대야 합니다. 그것은 확장 가능한 소프트웨어 공격—공격 코드 하나로 피해자 20만 명—을 빈집털이로 바꾸어 버립니다. 빈집털이는 규모가 커지지 않습니다. 그게 게임의 전부입니다. 랜섬웨어는 규모의 경제이고, 에어갭은 그 경제를 깹니다.

에피쿠로스에게는 이 상태를 가리키는 말이 있었습니다. '아타락시아'—보통 평온이라 번역됩니다. 나쁜 일이 일어나지 않을 거라고 믿는 데서 오는 고요함이 아니라, 나쁜 일이 일어나도 소중한 것에는 닿지 않도록 정돈해 둔 데서 오는 고요함입니다. 대부분의 보안 제품이 파는 것은 전자입니다. "믿으세요, 우리가 지켜보고 있습니다." 오프라인 복사본이 파는 것은 후자입니다. 누가 지켜보든 상관없습니다. 볼 것이 거기에 없으니까요.

화려하지 않은 규율

이것은 전혀 새로운 이야기가 아닙니다. 3-2-1 규칙—복사본 3개, 매체 2종, 1개는 오프사이트이자 오프라인—은 WannaCry보다 수십 년 전부터 있었습니다. 랜섬웨어 시대가 바꾼 것은 마지막 한 걸음을 생략하는 대가입니다. 2010년에 오프라인 복사본을 생략하는 것은 화재나 드라이브 고장의 위험이었습니다. 2017년 이후에는 여러분의 복사본을 적극적으로 사냥하는 적대자의 위험을 뜻합니다.

그리고 마지막 한 걸음은 여전히 아무도 하지 않는 걸음입니다. 자동화에 저항하는 유일한 부분이기 때문입니다. 체크박스만으로 에어갭은 안 됩니다. 누군가 드라이브를 뽑고, 어딘가로 가져가고, 연 2회 전원을 켜 데이터를 검증하고, 다시 제자리에 두어야 합니다. 청소 같은 일입니다—번호 매기기, 봉인, 기록, 점검을, 일정대로, 영원히.

그래서 그것이 개인의 습관으로서는 실패하고 직업으로서는 성공하는 것입니다. 가장 잘하는 사람은, 그 일이 다른 잡일 사이에 끼워 넣은 귀찮은 일이 아니라 일의 전부인 사람들입니다. 매체를 받아, 번호가 적힌 밴드로 봉인하고, 봉인을 사진 찍고, 복사본을 두 곳에 보관하고, 일정대로 봉인을 점검하고, 기록하고, 반복하는—그리고 드라이브에 전원을 켜 검증하는 것은 소유자가 서면으로 요청했을 때만. 소박하고, 문서화되어 있고—그리고 금요일 오후에 화면이 빨갛게 물든 날, "중단"과 "끝"을 가르는 것입니다.

당신의 아기 사진이 안전한 것은 랜섬웨어에게 마음이 있어서가 아닙니다. 공격자에게서 드라이브로 가는 길이 그냥 존재하지 않을 때 안전합니다. 길이 없으면, 몸값도 없습니다. 이건 영업 멘트가 아닙니다. 물리학입니다.

Everkeep은 고객이 직접 소유하고 직접 암호화한 드라이브의 오프라인 보관을 제공합니다. 번호가 매겨진 봉인, 사진 기록, 두 개의 복사본을 두 곳의 떨어진 장소에 보관, 일정에 따른 봉인 점검—그리고 전원을 켜는 검증은 고객의 서면 요청이 있을 때만 행합니다. 장치 슬롯당 연 $199.