그룹아이비 "RaaS 몰락하자 독립형 랜섬웨어 조직 확산"

핵심 요약

랜섬웨어 공격 생태계가 대형 서비스형 랜섬웨어(RaaS) 조직 중심에서 다수의 독립형 공격조직이 경쟁하는 구조로 재편되고 있습니다. 세계 각국의 수사기관 추적으로 대형 RaaS 조직의 영향력이 약화되자, 독립형 공격그룹은 기존에 확보한 네트워크 접근권한(MITRE ATT&CK: T1650 – Acquire Access)과 공격 인프라를 활용하여 초기 침투 및 공급망 공격을 지속하고 있습니다. 이러한 변화는 특정 공격 패턴 차단 방식에서 벗어나 초기 침투 경로, 접근권한 관리, 공급망 보안을 포괄하는 전반적인 방어 체계 전환의 필요성을 시사합니다. IT 감사인은 이에 대한 조직의 대응 현황을 점검하고, 변화된 위협 환경에 맞춰 보안 전략이 수립되었는지 확인해야 합니다.

개선 권고안

• ✔기술적 조치초기 침투 경로(Initial Access)를 차단하기 위한 다계층 보안 통제(예: 이메일 보안, 웹 필터링, 취약점 관리)를 강화하고, 내부 시스템 접근권한 관리 시스템(IAM)의 이상 징후 탐지 및 대응 기능을 고도화할 것을 권고함.
• ✔기술적 조치모든 엔드포인트에 EDR 솔루션을 배포하고 실시간 행위 기반 탐지 엔진을 최신 상태로 유지하며, SIEM 시스템과의 연동을 통해 랜섬웨어 공격 시도를 조기에 탐지하고 차단할 수 있도록 탐지 규칙을 지속적으로 튜닝 및 고도화할 것을 권고함.
• ✔관리적 조치변화된 랜섬웨어 공격 생태계(독립형 공격조직 확산, 초기 침투 및 접근권한 거래, 공급망 공격 등)를 반영하여 조직의 랜섬웨어 방어 전략 및 침해사고 대응 계획을 재검토하고 고도화할 것을 권고함.
• ✔관리적 조치최신 위협 인텔리전스(CTI)를 지속적으로 수집 및 분석하고, 이를 기반으로 랜섬웨어 공격 트렌드 변화에 대한 내부 보안 정책 및 통제 설계를 주기적으로 업데이트할 것을 권고함.
• ✔관리적 조치외부 서비스 공급자(서드파티)에 대한 보안 위험 평가 및 관리 프로세스를 강화하고, 계약서에 공급망 공격 방어를 위한 구체적인 보안 요건(예: 보안 감사 권한, 사고 통보 의무, 데이터 처리 기준)을 명시할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기