과학기술정보통신부	보 도 자 료

보도 일시	2022. 9. 20.(화) 12:00 (2022. 9. 21.(수) 조간)	배포 일시	2022. 9. 19.(월)

담당 부서	정보보호네트워크정책관	책임자	과 장	박준국	(044-202-6440)
<총괄>	정보보호기획과	담당자	사무관	김지혜	(044-202-6446)

과기정통부, 금품요구악성프로그램 대응체계 고도화 지혜 모은다

- 제1회 금품요구악성프로그램(랜섬웨어) 레질리언스 학술회의(콘퍼런스) 개최

- 금품요구악성프로그램 신고기업 중 80%가 중소기업, 64%는 여벌파일(백업) 부재로 복구 곤란

- 인공지능 기술을 활용한 금품요구악성프로그램 탐지·차단 기술, 국제공조를 통한 금품요구악성프로그램조직 검거사례, 공격유형별 맞춤형 금품요구악성프로그램 대응 방안 등 소개

- 과기정통부, 민·관·군·경 협력으로 금품요구악성프로그램 대응역량 강화 지원

과학기술정보통신부(장관 이종호, 이하 ‘과기정통부’)와 한국인터넷진흥원(원장 이원태, 이하 ‘인터넷진흥원’)은 산·학·연 정보공유를 통해 랜섬웨어 대응·복구 역량을 강화하기 위한 ‘제1회 금품요구악성프로그램 레질리언스* 학술회의(램섬웨어 레질리언스 콘퍼런스)’를 9월 20일(화) 양재 엘타워에서 개최했다.

* 금품요구악성프로그램 레질리언스(Ransomware Resilience)란 금품요구악성프로그램 피해가 발생하였을 때, 빠르게 회복할 수 있는 능력으로 위협에 대응하여 예방, 탐지, 대응, 복구, 분석 등을 수행하는 역량

이날 학술회의에는 국정원, 경찰청, 국가보안기술연구소, 금융보안원, 한국정보보호학회 등 200여명의 산·학·연·관 전문가가 참가하여 금품요구악성프로그램 최신 동향을 공유하고 체계적 대응을 위한 발전방향을 모색했다.

금품요구악성프로그램을 이용한 사이버 공격은 보다 지능화·고도화되며 전 세계적으로 막대한 사회·경제적 피해를 유발하고 있다. ‘22년 8월 현재 국내 금품요구악성프로그램 피해 신고 건수*가 225건에 달하는 등 국내 금품요구악성프로그램 감염 사례도 지속 증가하는 추세이다. 특히 국내 피해신고 기업 중 80%는 예산투자가 어려운 중소기업이며, 신고기업 중 64%가 데이터 온·오프라인 여벌(백업)체계가 구축되어있지 않아 사고 발생 후 데이터 복구 등 피해회복에도 어려움을 겪고 있는 상황이다.

* 25건(’17)→22건(‘18)→39건(‘19)→127건(‘20)→223건(‘21)→225건(‘22.8)

최근 국·내외 금품요구악성프로그램 주요 동향은 ①공격 대상 확대,  ②협박 고도화, ③서비스형 금품요구악성프로그램 확대 등 세 가지로 나타나며 더욱 고도화되고 있다.

①공격 대상 확대 개인 단말기 → 사회기반시설, 생활 필수산업	② 협박 고도화 데이터 암호화, 유출, 분산서비스거부 공격	③서비스형 금품요구악성프로그램(RaaS) 확대 별도 전문지식 없이 공격 감행
(공격대상확대) 기존에는 개인 단말기를 향한 공격이 현재는 사회기반시설*, 생활 필수산업** 등으로 대상 확대 * 미 송유관회사 (‘21.5) 세계 최대 육가공업체(’21.5) 뉴욕시 법무전산시스템(‘21.6) ** 국내배달 대행 플랫폼(’21.5) 대학병원(‘22.2) 콜택시 운영 시스템(‘22.7) (협박 고도화) 데이터를 암호화하여 데이터 접근을 차단하는 기존 협박 유형을 넘어서 기업 중요 기밀 데이터의 유출, 분산서비스거부 공격 감행 등 3중으로 압박을 가하며 금전을 갈취하는 형태로 고도화 (서비스형 랜섬웨어 확대) 서비스형 금품요구악성프로그램(RaaS)*이 확산되면서 범죄를 저지르는 문턱이 낮아지고, 개발자, 유포전문가, 해킹전문가, 협상전문가 등으로 분업화된 조직이 공격을 개시 * 서비스형 금품요구악성프로그램(RaaS. Ransomware as a Service)란 별도 전문지식 없이도 금품요구악성프로그램 공격을 감행할 수 있도록 서비스 형태로 제공되는 소프트웨어

이날 학술회의는 과기정통부의 금품요구악성프로그램 피해 최소화를 위한 정부 정책 방향에 대한 개막 시간을 시작으로 ①금품요구악성프로그램 공격 방어를 위한 기술 동향 소개, ②금품요구악성프로그램 사고대응 현황 발표, ③금품요구악성프로그램 복구 기술 소개 등 총 세 가지 세션으로 진행되었다.

첫 번째 시간(기술동향)에서는 인공지능(AI) 기술을 활용하여 모든 컴퓨터 활동을 상시 분석하여 악성코드를 활용한 금품요구악성프로그램 공격을 실시간으로 탐지·차단하는 기술이 소개되었다. 이는 기록파일, 파일 접근 기록 등을 자율 학습하고 미끼 파일*을 이용해 공격을 감시 하는 등 고도화되는 공격 기술에 대응한 최신 방어 기술이다.

* 금품요구악성프로그램 탐지를 위해 공격자를 유인할 수 있는 가상 환경에 생성된 파일

두 번째 시간(사고대응)에서는 경찰청에서 클롭 금품요구악성프로그램 조직을 검거하기 위해 진행한 인터폴과 3개국(한국, 미국, 우크라이나) 합동수사 사례*를 공유했고, 한국인터넷진흥원에서 최근 발생한 총 5개의 침해사고 유형*에 대한 감염경로, 금품요구악성프로그램 종류 등의 분석을 통해 컴퓨터사용자와 서버관리자를 위한 맞춤형 금품요구악성프로그램 대응 방안을 제시했다.

* 해킹 수사, 전자법의학(포렌식) 분석, 가상자산 추적 등을 통해 대학·기업 등에 클롭 금품요구악성프로그램를 유포하여 시스템을 마비시킨후 금전을 갈취한 국제 범죄조직 소속 피의자 6명 등 검거(’21.10)

** ①이메일 첨부파일 실행으로 인한 개인 컴퓨터 감염, ②신뢰되지 않은 웹사이트 방문으로 개인 컴퓨터 감염, ③파일 올려주기(업로드) 취약점 공격으로 제조기업 서버 공격, ④지역 관리자 계정 탈취하여 본사 서버 공격, ⑤원격 접속 계정정보 탈취를 통한 자동차 부품 제조기업 서버 공격

마지막 시간(피해복구)에서는, 국민대 김종성 교수와 인터넷진흥원이 세계 금품요구악성프로그램 위협 공유 협의체 노모어랜섬(NoMoreRansome)*에서 각국 보안업체, 수사기관의 협력으로 제공 중인 156개 금품요구악성프로그램 관련 복구도구를 소개하고, 복구 가능성 분석 기술 현황을 공유하며 금품요구악성프로그램 복구율을 높이기 위한 복구 기술 확보의 중요성을 강조하였다.

* 노모어랜섬(NoMoreRansome)은 2016년 설립된 협의체로, 170여개의 국가기관 및 보안기업이 소속되어 최신동향 공유, 복구도구 배포 등 금품요구악성프로그램 피해 최소화를 위해 노력하고 있으며, 한국에서는 인터넷진흥원과 경찰청, SK쉴더스 등이 참여 중

과기정통부에서는 ①국가중요기반시설을 확대·지정하여 강화된 보호대책을 적용하고, ②데이터금고(3천여개사), 내서버돌보미(90여건) 등 중소기업 지원을 강화하며, ③국민들을 위한 내피시(PC)돌보미, 찾아가는 보안서비스 확대하는 등 수요자별 선제적 예방 강화를 지원하고 있다. 또한, ④민간 사이버위협 정보공유·분석시스템(C-TAS)을 고도화하고, ⑤신형 금품요구악성프로그램 복구도구 개발, 금품요구악성프로그램 근원지 추적 기술 연구개발 착수 등 금품요구악성프로그램 탐지·차단·복구를 위한 핵심 대응역량을 확보를 위한 정책을 확대 추진하고 있다.

※ 금품요구악성프로그램 감염 상담 및 신고는 한국인터넷진흥원 118센터(☎K118)와 한국인터넷진흥원 보호나라 누리집(www.boho.or.kr)을 통해 가능

과학기술정보통신부 홍진배 네트워크정책실장은 “금품요구악성프로그램 공격이 날로 지능화·조직화됨에 따라 개인·기업들이 모든 공격을 방어하기가 점차 어려워지고 있어 금품요구악성프로그램 레질리언스 확보의 중요성이 부각되고 있다”며 “과기정통부는 기업들이 금품요구악성프로그램로 인한 피해를 빠르게 회복할 수 있는 역량을 갖출 수 있도록 금품요구악성프로그램 예방, 탐지, 차단을 넘어 복구까지의 전 과정에 대한 역량 제고를 위한 정책적 지원과 기업과의 소통·정보공유를 강화해나가겠다”고 강조했다.

붙임 : 1. 금품요구악성프로그램 레질리언스 학술회의(콘퍼런스) 개요
2. 금품요구악성프로그램 국내·외 동향 요약
3. 금품요구악성프로그램 피해 최소화를 위한 정부의 정책 방향

붙임 1		금품요구악성프로그램 레질리언스 학술회의 개요

□ 행사 개요

○ (목적) 금품요구악성프로그램 공격부터 복구까지 각 과정에서 사용되는 분석 방법 및 기술 동향을 산‧학‧연 간에 정보공유를 통해 공동 대응 강화

○ (일시/장소) ’22. 9. 20.(화) 13:00 ~ 17:30 / 서울 양재 엘타워 8F 엘하우스

○ (참석자) 국내 정보보안 기업 및 암호 관련 전문가, 분석 전문가, 대학(원)생 등 금품요구악성프로그램에 관심 있는 일반인 등 약 200명

○ (세부일정)

구분		시간		프로그램	담당
1부	1	12:30 ~ 13:00	‘30	‧ 등록 확인
	2	13:00 ~ 13:15	‘15	‧ 개막 분과 l 과학기술정보통신부 박준국 과장 - 금품요구악성프로그램 피해 최소화를 위한 정부의 정책 방향
	3	13:15 ~ 13:20	‘5	‧ 개회사 : 한국인터넷진흥원 l 이원태 원장
	4	13:20 ~ 13:25	‘5	‧ 축 사 : 과학기술정보통신부 l 홍진배 실장
	5	13:25 ~ 13:30	‘5	‧ 기념촬영
2부	분과1 : 금품요구악성프로그램 공격 방어를 위한 기술 동향 : 양하영 팀장(안랩)
	6	13:30 ~ 14:00	‘30	‧ 금품요구악성프로그램 공격 대응을 위한 인공지능 기반 자율형 차단 기술	박정수 이사 (센티넬원)
	7	14:00 ~ 14:30	‘30	‧ 다양한 금품요구악성프로그램 대응 기술 현황	김의탁 소장 (이스트시큐리티)
	분과2 : 금품요구악성프로그램 사고대응 현황 : 이창훈 교수(서울과학기술대학교)
	8	14:30 ~ 15:00	‘30	‧ 인터폴 및 3개국(한국, 우크라이나, 미국) 합동수사 사례	임양현 경사 (경찰청)
	9	15:00 ~ 15:30	‘30	‧ 최근 금품요구악성프로그램 동향 사례 및 대응 방안	임정호 수석 (한국인터넷진흥원)
	10	15:30 ~ 15:50	‘20	‧ 휴식시간
	분과3 : 금품요구악성프로그램 복구는 가능한가? : 김종성 교수(국민대학교)
	11	15:50 ~ 16:20	‘30	‧ 금품요구악성프로그램 복구도구 개발을 위한 기술 분석	이영주 선임 (한국인터넷진흥원)
	12	16:20 ~ 16:50	‘30	‧ 역공학 기반 금품요구악성프로그램 암호기능 및 복구 가능성 분석	김기윤 연구원 (국민대학교)
	13	16:50 ~ 17:00	‘10	‧ 휴식시간
	14	17:00 ~ 17:50	‘50	‧ 참석자토의 - 국민의 안전을 위협하는 금품요구악성프로그램, 어떻게 대응해야 하는가	좌장 : 류재철 교수 (충남대학교)
폐회 및 마무리

붙임 2		금품요구악성프로그램 국내·외 동향 요약

□ 국내·외 주요 금품요구악성프로그램 감염사고

○ 금품요구악성프로그램 공격은 갈수록 조직화되고 금전적 이득을 크게 취할 수 있는 기업들을 대상으로 공격하며, 다양한 산업 분야에 타격을 주고 있음

□ 세계 금품요구악성프로그램 공격 및 피해 현황

○ 금품요구악성프로그램 세계 총 피해액은 ‘20년 692백만 달러로 ’19년 대비 약 4.5배 증가하였으며, 평균 피해액은 ‘21년 약 12만 달러로 증가함

세계 금품요구악성프로그램 총 피해액 (단위 : 백만 달러)	세계 평균 금품요구악성프로그램 피해액
< 출처 : 체이널리시스, 2022 가상자산 범죄 보고서 >

□ 국내 금품요구악성프로그램 피해 현황

○ 국내 기업의 금품요구악성프로그램 감염 신고는 지속 증가 중이며, ‘22년 8월 현재 225건이 신고되었고, 이는 작년 총 신고건수와 비슷한 수치임

○ ’21년 금품요구악성프로그램 피해를 받은 기업의 80%는 중소기업이며, 정보보안을 위한 인력·예산 투자가 어려워 금품요구악성프로그램 예방 및 대응에 한계

- 특히, 신고기업 중 64%가 데이터 온·오프라인 여벌 체계를 구축하지 않아 사고발생 후 피해회복이 어려워 기업 활동 장애발생

국내 기업 금품요구악성프로그램 피해 신고 건수	피해기업 규모

○ 국내 기업이 신고한 랜섬웨어의 종류별 비율을 분석해보면, BitLocker, Magniber 랜섬웨어는 처음 발견된 이후 매년 상위 TOP5에 포함됨

○ 이외에, 2020년에 Makop, 2021년에 GlobeImposter, 2022년에 LockBit 및 Masscan 랜섬웨어 공격이 유행함

국내 기업이 신고한 랜섬웨어 종류별 비율

붙임 3		금품요구악성프로그램 피해 최소화를 위한 정부의 정책 방향

※ 과기정통부, 국정원, 국방부, 경찰청, 중기부, 복지부 등이 ’21.8월 공동 수립한 「랜섬웨어 대응 강화방안」을 중심으로 추진상황 소개

□ 국가중요시설-기업-국민 수요자별 선제적 예방 강화

ㅇ (중요시설) 국민생활과 밀접한 중요시설을 기반시설로 신규 지정하고, 긴급점검 실시, 모의훈련 확대 등 기반시설의 보안 관리를 강화

※ 사회적 파급력, 국민생활 밀접성을 토대로 기반시설 신규 지정(정유사 등 6개)
긴급점검(민간 90곳/ 공공 19곳) 실시, 신규 기반시설 등 모의침투 훈련(9개 기관) 실시 등

ㅇ (기업) ‘데이터 금고’, ‘내서버돌보미’ 등 신규 사업 추진을 통해 보안역량이 부족한 중소기업 지원을 확대

※ 중소기업 백업을 지원하는 ‘데이터 금고’ 신규 도입 (‘22.8월 약 3천社)
원격 서버점검을 지원하는 ‘내서버돌보미’ 신규 도입 (’22.8월 91건)

ㅇ (국민) 취약계층 대상 찾아가는 보안서비스, 자가 보안진단도구 개발‧배포 등 금품요구악성프로그램 예방 생활화에 노력

※ ‘내피시(PC)돌보미’ 서비스(’22.8월 약 3만건), 취약계층 대상 찾아가는 보안서비스 추진(’22.8월 145개 기관), 자가 보안진단 도구 개발(’22.2월)‧배포(’22.8월 4.5만건)

□ 정보공유-피해지원-수사 등 사고대응 전주기 지원

ㅇ (정보공유) 민간 사이버위협 정보공유‧분석시스템(C-TAS)을 개방형 플랫폼으로 전환하고, 사이버위협 정보공유‧분석시스템(C-TAS)를 중심으로 협력채널 확대

※ C-TAS → NCTI (API 연동완료, ‘21.10월) 연동, 민간 분야 C-TAS와 ISAC 간 실시간 연동(의료‧금융‧지자체 ISAC 연동 완료), 기업 참여 확대(‘20. 301사 → ’22.현재 1,596사)

ㅇ (확산방지‧피해복구) 지역정보보호센터를 활용한 통합 침해대응 체계를 마련하여 수도권 위주의 대응체계를 전국단위로 확충

※ 금품요구악성프로그램 정보공유 및 피해신고 사이트 구축(’21.12월~), 지역센터를 활용한, 사고 원인조사‧분석 → 피해복구 → 재발방지 대책 마련 등 ‘통합 침해대응 체계’ 마련(‘21. 시범운영, ’22. 기업현장 밀착지원)

ㅇ (수사역량 강화) 경찰청 내 사이버수사 전담조직 신설

※ 경찰청 본부 내 사이버테러대응과 신설(’22.2월), 전국 시‧도 경찰청 사이버테러수사팀 설치‧운영, 금품요구악성프로그램 및 가상자산 추적수사 전담팀 운영(‘21.)

□ 진화하는 금품요구악성프로그램에 대한 핵심 대응역량 제고

ㅇ (탐지‧차단 및 복구) 신형 금품요구악성프로그램 탐지‧차단 기술 연구에 착수, 신형 금품요구악성프로그램 복구도구 3종(Hive(V.1~V.4) Immuni, Ragnar) 개발‧배포(‘21.~’22.)

※ 신형 금품요구악성프로그램 분석‧탐지 기술, 악성코드 데이터베이스수집을 위한 채널 정보수집(모니터링) 연구(‘22.~) 신형 금품요구악성프로그램 6종 암호기능 및 복구 가능성 분석, 복구도구 3종 개발‧배포(’21.~)

ㅇ (근원지 추적) 다크웹 은닉서비스 식별 및 근원지 추적, 가상자산 부정거래 흐름 추적기술 확보를 위한 연구개발 착수

※ 다크웹 은닉서비스 식별기술, 소프트웨어 취약점 및 다크웹 프로토콜 분석기술 개발(‘22.~)
가상자산 거래흐름 추적시스템 요소기술 개발(’21~)

ㅇ (데이터·네트워크·인공지능 보안기술) 민감정보 노출을 방지하는 데이터 동형암호, 공급망 네트워크 보안, 인공지능 기반 자동 탐지‧분석‧대응 기술 등 연구개발 중

※ 데이터 보안기술 개발 강화를 위한 사업 신설(‘22.~’24. 155억원)
코어망‧엣지망‧장비 등 5세대(5G) 네트워크 전영역 보안 기술 개발 추진(‘21.~)
인공지능 기반 사이버보안 오케스트레이션 및 자동 대응 기술개발(’21~‘24, 94억원)