다크웹과 딥웹에는 악성코드에 감염된 금융기관 정보, 데이터 유출 정보, 개인정보 판매 정보, 웹서버 계정 정보, 제로데이 공격 정보 등 다양한 정보들이 판매 되고 있다.

다크웹 레이드 포럼에는 약 1만5천개 해킹된 사이트 정보가 올라와 있고 프리미엄 가입자만 볼 수 있는 9천여 개 해킹된 사이트 정보들이 판매되고 있다. 여기에는 금융사 계정들도 상당수 포함돼 있다. 해커들은 이런 정보들을 입수해 사이버공격에 활용하고 있는 것이다. 모 대형 은행의 경우 10만개가 넘는 계정들이 판매되고 있는 것도 볼 수 있다.

최상명 NSHC 수석연구원은 “다크웹에 유출돼 판매되고 있는 계정정보 중 한국을 비롯해 중국, 일본, 싱가포르, 말레이시아 등 다양한 국가의 은행 계정들이 판매되고 있으며 해커들은 이 정보들을 활용해 은행사이트에 접근을 시도하고 고객과 은행 내부직원 계좌에 접근해 실제로 금전적 피해를 발생시키고 있다. 그 정보를 다시 판매도 한다”고 말했다.

한편 한국 다크웹포럼에서 한국어를 사용하는 랜섬웨어 갱단들의 활동 후기를 보면, 해커가 랜섬웨어와 유포할 수 있는 익스플로잇을 구매해 공격한 후 벌어들인 돈이 400억 정도라는 글도 올라오고 있다.

최상명 수석에 따르면, 키메라 랜섬조직이 파일을 암호화하기 전에 데이터를 빼내 비트코인을 주지 않으면 데이터를 유출하겠다고 협박하는 수법을 처음 사용했다고 전했다. 이후 대부분 랜섬웨어 조직들은 이 방법을 사용하고 있다는 것이다.

레빌과 콘티 조직들도 주로 금융정보를 빼내 다크웹에 공개하는 등 다크웹에서 활동하는 랜섬웨어 조직은 50여 개나 되지만 실제 검거된 조직은 2곳에 불과하다. 즉 여전히 랜섬웨어 조직들은 왕성하게 활동하고 있으며 피해는 계속해서 발생할 수 있다는 것.

랜섬웨어 피해를 입은 기업은 전세계적으로 3천여 개에 달하며 미국이 가장 많고 아시아에서는 일본 43개, 인도 42개, 한국도 15개 기업이 피해를 입고 다크웹에 유출된 정보들이 공개된 상태다. 실제로는 더 많을 수 있다.

클롭 랜섬웨어 조직은 한국 대기업을 상대로 랜섬웨어 공격을 진행해 100만건에 달하는 신용카드 정보를 다크웹에 공개하며 랜섬머니를 요구한 바 있다.

최 수석은 “클롭, 블랙매터, 락빗 등 상당수 조직이 금융기관과 가상화폐 거래소를 타깃으로 공격을 하고 있어 각별한 주의가 필요하다”며 “이제는 랜섬웨어와 정보유출에 디도스 공격까지 더해 피해 기업들을 압박하고 있는 상황”이라고 전했다.

그는 “다크웹에서 활동하는 해커들을 추적하고 피해를 예방하기 위해서는 다크웹 인텔리전스 서비스를 활용해야 한다”며 “다크웹 서버의 위치 추적과 실제 IP 추적 등이 가능하다. 실제로 추적에 성공해 일부 갱단을 검거한 바도 있다. 기업들은 NSHC 다크웹 인텔리전스 플랫폼 등을 활용해 유출된 정보들이 다크웹에 공개되고 있는지, 피해 사실이 있는지를 사전에 파악해 2차 피해를 예방할 수 있다”고 설명했다.

이번 최상명 수석의 강연은 FICCA2021에서 진행됐다.

FICCA2021(Finance & Industry Cybersecurity Congress Asia) 아시아 금융&산업 사이버보안 컨퍼런스 2021은 지난 11월 26일 300여 명이 등록한 가운데 온라인 개최됐다.

★정보보안 대표 미디어 데일리시큐!★