⁠⁠⁠⁠⁠⁠⁠

ⓒ게티이미지뱅크

세계적으로 랜섬웨어 그룹이 활개를 치는 가운데 호주 정부가 랜섬웨어 그룹과 거래를 신고하도록 하는 제도를 시행해 주목받고 있다.

10일 미국 보안매체 '시큐리티위크' 등 외신에 따르면 호주 정부는 지난달 말 피해 기업이 랜섬웨어 그룹과 거래내역 등을 호주 사이버안보국(Australian Signals Directorate·ASD)에 72시간 이내 보고해야 하는 규정을 도입했다.

랜섬웨어는 몸값(ransome)과 소프트웨어(software)의 합성어다. 공격자가 회사 시스템에 침투해 악성 프로그램을 심어 파일이나 시스템을 먹통으로 만든 후 이를 복구해주는 대가로 돈을 요구하는 공격기법이다.

호주 정부는 국가 사이버 보안 전략의 일환으로 이러한 규정을 도입했다. 보고 내용엔 공격자가 요구한 몸값과 실제 지불한 몸값, 공격자가 요구한 몸값 지불 방법과 실제 지불한 방법, 협상 세부 사항 등을 담아야 한다.

아울러 사이버 공격이 기업 인프라에 미치는 영향, 랜섬웨어 또는 악성코드 유형, 악용된 취약점, 정부 기관이 사이버 보안 사고 대응 시 도움이 될 수 있는 정보 등도 보고 내용에 담아야 한다. 보고 대상엔 정부기관은 제외되며, 연간 매출 300만 호주달러(약 26억5000만원) 이상 기업에 보고 의무를 부여했다.

호주 정부의 이 같은 움직임이 눈길이 끄는 것은 랜섬웨어 그룹과 거래 내역 공개를 의무화하는 세계 최초 법규이기 때문이다. 국내에서도 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)에 따라 사이버 침해 사고를 인지할 경우 즉시 과학기술정보통신부나 한국인터넷진흥원(KISA)에 신고하도록 규정하고, 신고하지 않을 경우 3000만원 이하의 과태료를 부과한다.

하지만 피해 기업이 정부에 신고하지 않은 채 랜섬웨어 그룹과 거래를 통해 침해 사고를 덮고 넘어가는 사례가 많은 것은 공공연한 비밀이다. 실제 '2024 정보보호 실태조사'를 보면 랜섬웨어 공격을 포함한 사이버 침해 사고를 경험한 기업 중 신고한 기업은 19.6%에 불과하다. 피해받은 기업 5곳 중 4곳은 사고를 쉬쉬한 채 넘어가는 것이다.

호주 정부가 랜섬웨어 신고 의무화 카드를 꺼내든 것도 같은 맥락이다. 호주의 경우 랜섬웨어 피해 기업 5곳 중 1곳이 피해 사실을 신고하고 있어 정부 차원의 대응에 어려움을 겪고 있다.

사이버 위협 인텔리전스(CTI) 전문 기업 임원은 호주 제도에 대해 “랜섬웨어 그룹과 거래내역을 신고하면 정부가 랜섬웨어 그룹 현황 파악과 자금 추적·관리가 용이해진다”며 “장기적으로 랜섬웨어 그룹을 억제하는 데 도움이 될 것”이라고 평가ㅎ했다.

다만 실효성엔 여전히 의문 부호가 남는다. 피해 기업과 랜섬웨어 그룹 당사자만이 알 수 있는 문제이기 때문이다.

사이버 보안 기업 대표는 “랜섬웨어 그룹도 제도 시행을 알기에 유괴범처럼 '신고 시 탈취한 자료를 유포하겠다'는 등 협박 수위를 더 높일 수 있다”며 “기업은 이러지도 저러지도 못하는 처지가 될 수 있다”고 말했다.

조재학 기자 2jh@etnews.com

Copyright © 전자신문. 무단전재 및 재배포 금지.