카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)가 국제 안티 랜섬웨어 날을 맞아 전세계 및 지역별 랜섬웨어 현황을 조사한 연례 보고서인 '2025 랜섬웨어 현황 보고서'를 발표했다.
국제 안티 랜섬웨어 날은 2020년 5월 12일에 인터폴과 카스퍼스키의 협력하여 제정되었으며, 이는 2017년 5월 12일 전세계를 강타한 악명 높은 워너크라이(WannaCry) 랜섬웨어 공격일을 상기하기 위함이다. 이 날은 랜섬웨어가 초래하는 위협에 대한 글로벌 인식을 제고하고, 예방과 대응을 위한 최선의 방안을 홍보하는 데 목적이 있다. 카스퍼스키는 국제 안티 랜섬웨어 날에 글로벌 및 지역별 랜섬웨어 사이버 위협 지형의 변화에 관한 연례 보고서를 발표해왔다.
글로벌 사용자 대상 랜섬웨어 공격 통계
Kaspersky Security Network 분석 자료에 따르면, 중동, 아시아 태평양, 아프리카 지역이 랜섬웨어 공격을 받은 사용자 비율 면에서 가장 높은 것으로 나타났으며, 라틴 아메리카, CIS (The Commonwealth of Independent State), 유럽이 그 뒤를 이었다.
2023년에서 2024년 사이, 전 세계적으로 랜섬웨어 공격의 영향을 받은 사용자 비율은 0.02%p 상승하여 총 0.44%를 기록했다. 이 수치는 작아 보이지만, 랜섬웨어는 대량 유포보다는 주요 타겟에 집중하는 경향이 있어 전체 사건 수가 적은 것이 특징이다.
Kaspersky Security Network 데이터
지역별 분석을 보자면, 중동 및 아시아 태평양 지역이 빠른 디지털 전환, 확대된 공격 표면, 보안 성숙도 격차로 인해 랜섬웨어 피해가 높게 나타났다. 특히, 인프라 및 운영 기술(OT)에 대한 공격이 활발한 신흥 국가들이 타겟이 되었다.
아프리카는 낮은 디지털화 수준과 경제적 제약으로 인해 주요 타겟이 작아 랜섬웨어가 상대적으로 작았으나, 남아프리카공화국과 나이지리아 등에서 디지털 경제 확장에 따라 제조, 금융, 정부 부문에서 공격이 증가 중이다. 다만, 사이버 보안 인식과 자원이 부족하여 여전히 취약한 상태다.
라틴 아메리카에서는 브라질, 아르헨티나, 칠레, 멕시코가 주요 타깃이었다. 제조, 정부, 농업, 에너지 및 유통과 같은 핵심 산업군이 주요 피해 대상이며, 낮은 몸값 요구와 경제 제약이 일부 공격자들을 억제하고 있으나, 디지털 수용 증가로 노출도는 커지고 있다.
CIS(The Commonwealth of Independent State)는 사용자 비율이 상대적으로 낮지만, Head Mare, Twelve 등 핵티비스트 그룹이 LockBit 3.0 등의 랜섬웨어를 사용하여 피해를 주고 있다. 제조, 정부, 소매 분야가 주요 타겟이며, 사이버 보안 역량 차이가 존재한다.
유럽은 지속적으로 공격 대상이지만, 강력한 사이버 보안 프레임워크와 규제 덕분에 일부 공격은 억제되고 있다. 제조, 농업, 교육 부문이 주 타겟이나, 성숙한 대응 시스템과 높은 인식 수준 덕분에 피해 규모는 제한적이다.
새롭게 떠오르는 랜섬웨어 동향
AI 활용 랜섬웨어의 부상: 2024년 말 등장한 FunkSec은 AI 기술을 활용하여 기존의 Cl0p 및 RansomHub를 뛰어넘는 공격을 감행하며 주목받았다. RaaS(서비스형 랜섬웨어) 모델을 기반으로 운영되는 이 그룹은 이중 협박(Double Extortion, 데이터 암호화와 탈취 병행) 전술을 사용하여, 정부, 기술, 금융, 교육 부문을 중심으로 유럽과 아시아를 공격하였다. FunkSec의 랜섬웨어는 대형 언어 모델(LLM)로 생성된 AI 기반 코드와 주석을 포함하여 탐지를 어렵게 했으며, 일반적인 수백만 달러 요구와는 달리 저비용-고빈도 전략으로 운영되어 기술적 혁신을 선보였다.
RaaS 생태계 확장: RaaS 모델은 여전히 랜섬웨어의 핵심 구조로 자리 잡고 있으며, 2024년에는 RansomHub와 같은 플랫폼이 악성코드, 기술지원, 수익 공유 시스템을 제공하여 비숙련 공격자도 고급 공격 수행이 가능하게 되었다. 이는 새로운 랜섬웨어 그룹의 출현을 가속화시켰다.
비정형 취약점(exploiting unconventional vulnerabilities) 활용: Akira 갱단은 웹캠(use of a webcam)을 활용하여 EDR(엔드포인트 탐지 및 대응)을 우회한 사례처럼, 2025년에는 IoT 디바이스, 스마트 기기, 잘못 구성된 하드웨어 등 비정형 진입점을 노리는 경향이 커질 것으로 예상된다. 정찰, 측면 이동(Lateral Movement) 등 은밀한 기술을 통해 방어 체계를 피해 네트워크 내부로 침투하는 정밀 공격이 증가할 것으로 보인다.
사이버 범죄용 LLM과 RPA의 결합: 다크웹에서 판매되는 사이버 범죄용 LLM은 악성코드, 피싱, 사회공학 공격을 누구나 손쉽게 수행할 수 있도록 하고 있다. 여기에 RPA(로봇 프로세스 자동화)와 로우코드(LowCode) 도구의 확산은 AI 기반 드래그 앤 드롭 방식으로 공격 자동화까지 가능케 하여 랜섬웨어 위협의 대중화를 가속화시키고 있다.
2025년 랜섬웨어 동향 보고서에 대한 보다 자세한 정보는 Securelist.com 에서 확인할 수 있다. |
