핵심 요약
- 베를린 시정부는 라이지다 랜섬웨어 갱이 다크웹 유출 사이트에 자청서를 게시한 뒤 시를 상대로 금전적 갈취를 시도하고 있다고 공식 확인함
- 공격자는 탐지되기 수 주 전에 초기 접근을 확보한 뒤 베를린 행정망 일부 구간에서 횡적 이동(lateral movement)을 수행한 것으로 조사됨
- 유출된 데이터에는 인사 기록, 시민 서비스 정보, 내부 재무 기록 등이 포함된 것으로 추정되며, 침해 전체 범위는 포렌식 조사가 진행 중임
분석
베를린 랜섬웨어 사건은 단순한 해킹 사고가 아니다. 베를린 시정부는 라이지다(Rhysida) 갱이 다크웹 유출 사이트에 자백문을 게시한 뒤 금전적 갈취를 시도하고 있다고 공식 확인했다. 탐지되기 수 주 전, 공격자는 이미 베를린 행정망 일부 구역에서 횡적 이동을 끝낸 뒤였다.
이 지점이 실무자 입장에서 가장 뼈아프다. 도시 단위 행정망이 외부 침입자 발자국을 수 주 동안 감지하지 못했다는 사실은, 내부 가시성과 이상 행위 탐지 체계가 갖춰져 있지 않았다는 뜻이기 때문이다.
베를린 랜섬웨어 침해 경위 — 초기 접근부터 유출까지
베를린 시정부 측 발표에 따르면, 공격은 전형적인 랜섬웨어 침투 패턴을 따랐다. 먼저 피싱 메일이나 노출된 VPN·RDP 엔드포인트, 혹은 외부 초기 접근 브로커(IAB)를 통한 진입이 있었을 것으로 추정된다. 그 뒤 정상 클라우드 서비스(원격 관리 도구, 파일 공유)를 악용해 데이터를 빼돌리고, 마지막에 일괄 암호화를 거는 이중 갈취 전술이 사용된 것으로 보인다.
BleepingComputer의 보도에 따르면, 유출 사이트에는 인사 기록, 시민 서비스 정보, 내부 재무 기록이 포함된 것으로 추정된다. 정확한 침해 범위는 베를린 IT조정국(ITDZ Berlin)의 포렌식 조사에서 확정될 예정이다.
라이지다 갱의 RaaS 구조와 전술
라이지다는 2023년 처음 등장한 RaaS(서비스형 랜섬웨어) 운영 체계다. 핵심 운영자가 랜섬웨어 빌더와 유출 사이트 인프라를 제공하면, 제휴 공격자(affiliate)가 이를 활용해 직접 침투를 수행한다. 공격자—운영자 간 수익 분배는 보통 7:3에서 8:2 정도로 알려진다.
라이지다의 무기는 의료·정부·교육·제조 분야를 가리지 않는 일관된 표적 선정이다. 몸값은 일반적으로 7자릿수 달러 규모로 책정되며, 미지급 시 유출 데이터를 단계적으로 공개해 압박한다. 이번 베를린 랜섬웨어 사건도 같은 패턴을 따랐다는 점에서, 갱의 운영 매뉴얼이 공공기관에서도 그대로 통한다는 사실이 확인됐다.
1차·2차 피해 시나리오
유출된 인사·재무 데이터는 곧바로 피싱의 먹이가 된다. 직원 이름을 알면서 내부 보고서 제목을 아는 공격자는 “보안 점검 안내”라는 제목의 메일을 정교하게 위조할 수 있다. GDPR에 따라 베를린 시는 관련 감독기관에 침해 사실을 통보했지만, 진짜 위험은 통보 직후 며칠 동안 집중된다. 외부에 노출된 정보로 만든 2차 피싱이 시 직원과 시민을 동시에 노리기 때문이다.
필자가 이 사건에서 가장 심각하다고 보는 건 침해 기간의 길이다. 수 주간 횡적 이동이 가능했다는 점은, 공격자가 도메인 컨트롤러 권한까지 확보했음을 강하게 시사한다.
사고 대응 — ITDZ Berlin의 7일간
베를린 시는 외부 사고 대응팀과 함께 다음 작업을 동시에 진행하고 있다. 침투 경로 차단, 침해 자격증명의 일괄 폐기, 접근 경로 감사, 포렌식 증거 수집. 시 데이터보호당국은 유출된 정보 범위를 시민에게 단계적으로 공개하고 있다.
GDPR 통보 의무는 72시간 이내지만, 실제 대응 완료까지는 수개월이 걸릴 수 있다. 같은 유럽 공공기관 사례를 보면 행정망 복구만 4~6개월이 걸린 경우도 있다.
공공기관에 남긴 베를린 랜섬웨어 5가지 교훈
베를린 랜섬웨어 사건은 도시 단위 인프라가 어떤 위험에 노출돼 있는지 적나라하게 보여준다. 미주 시정부 침해 사례들과 비교하면 초기 침투 벡터는 놀라울 정도로 동일하다. 패치되지 않은 VPN/RDP 게이트웨이, 재사용되는 서비스 계정 비밀번호, 그리고 비정상 행위 알람이 꺼져 있는 SIEM.
유사한 맥락으로, 중국 해킹 수정 3일 만에 뒤집힌 단어 기사에서 본 것처럼 사이버 공격 사건은 사후 보도 과정에서 진실이 달라지는 경우가 흔하다. 베를린 랜섬웨어 사건의 최종 피해 규모 역시 포렌식 조사 결과에 따라 크게 달라질 수 있다.
쟁점 정리
베를린 랜섬웨어 사건이 제기한 핵심 쟁점은 세 가지다.
첫째, 수 주간 탐지 실패는 공공기관 SIEM의 한계를 드러낸다. 둘째, VPN/RDP 패치 주기가 공격자보다 느리다. 셋째, 이중 갈취는 이제 공공기관의 기본 시나리오로 가정해야 한다.
지금 바로 해볼 것
- 외부 노출된 VPN/RDP 게이트웨이 목록을 오늘 당장 추출해 패치 버전과 비교하라
- 관리자 계정 비밀번호 재사용 여부를 점검하고, 도메인 컨트롤러 자격증명을 즉시 로테이션하라
- SIEM의 비정상 행위 탐지 룰이 활성화돼 있는지 확인하고, 침해 지표(IoC) 피드 소스를 추가하라
- 백업 데이터가 오프라인·immutable 스토리지에 분리 저장돼 있는지 검증하라
- 직원 대상 2차 피싱 모의 훈련을 이번 주 내에 1회 실시하라
자주 묻는 질문
라이지다 랜섬웨어란 무엇인가요?
2023년 등장한 RaaS 형태의 랜섬웨어 갱으로, 의료·정부·교육 분야를 중심으로 활동합니다. 이중 갈취 전술을 주로 사용하며, 몸값은 보통 7자릿수 달러 규모로 책정됩니다.
베를린 시정부는 몸값을 지불했나요?
베를린 시정부의 공식 입장은 협상 거절입니다. 일반적으로 공공기관은 몸값을 지불하지 않는 방향으로 결정하는 경향이 강합니다.
유출된 시민 정보는 어떻게 보호되나요?
베를린 데이터보호당국이 유출 범위를 분석 중이며, 시민에게는 단계적으로 통보됩니다. GDPR에 따라 통보 72시간 이내에 감독기관에 보고가 이뤄졌습니다.
한국 공공기관에도 같은 일이 가능한가요?
네, 동일한 초기 침투 벡터가 한국에도 존재합니다. VPN 패치 지연과 자격증명 재사용은 글로벌 공공기관 공통 문제입니다.
베를린 랜섬웨어 사건은 결국 공공기관 사이버 보안의 구조적 취약성을 보여주는 사례다. 침투 자체보다 더 무서운 건, 그것이 수 주 동안 들키지 않았다는 사실이다. 외부 사고 대응팀의 침투 차단과 자격증명 폐기 작업이 끝나더라도, 2차 피싱 위험은 최소 분기 이상 지속된다는 점을 운영팀은 기억해야 한다.
전문가 코멘트(AI)
정보보안전문가
라이지다의 수 주간 무단 횡적 이동은 공공행정망이 ID 중심 통제와 침해 가시성에서 얼마나 뒤처져 있는지 보여주는 전형적 이중 갈취 사례
라이지다는 2023년 등장 이후 의료·정부·교육을 겨냥해온 RaaS 계열로, 노출된 VPN/RDP 엔드포인트와 초기 접근 브로커를 통한 진입, 클라우드 서비스 악용 반출, 이후 일괄 암호화라는 검증된 플레이북을 그대로 구사한다. 이번 사건에서 가장 심각한 신호는 탐지 전 수 주간의 횡적 이동인데, 이는 엔드포인트 탐지 커버리지 공백, 특권 계정 세그먼테이션 부재, 도메인 컨트롤러 접근 통제 미비가 겹친 결과로 해석된다. 외부 사고 대응팀 투입, 침해 자격증명 일괄 폐기, 포렌식 병행이라는 대응 흐름 자체는 표준 모범 절차에 부합한다. 다만 도메인 관리자급 자격증명 유출이 강하게 시사되는 이상, 전체 액티브 디렉터리 재구축 수준의 정화와 VPN 게이트웨이 전수 점검 없이는 재침해 위험이 남는다. 유출된 인사·재무 데이터는 향후 수 분기에 걸쳐 정교한 스피어피싱의 원료로 쓰일 것이므로 기술 대응과 별개로 인적 공격면 방어가 장기 과제로 남는다. 전망하면 공공기관은 몸값 납부 유인이 낮은 대신 보안 예산과 인력 구조가 취약해 RaaS 계열의 지속적 표적이 될 수밖에 없다.
데이터보호·위기관리전문가
몸값 거부와 72시간 통보 이행은 정론이지만, 시민 대상 2차 피해 차단과 수개월에 이르는 복구 거버넌스가 진짜 시험대
공공기관이 몸값 지불을 거부한 선택은 납부가 복호화나 데이터 삭제를 보장하지 않을 뿐 아니라 표적화 유인이 된다는 국제 가이던스에 부합하는 정론이다. GDPR 72시간 감독기관 통보 이행과 유출 범위의 단계적 공개는 투명성 측면에서 적절하나, 시민과 직원을 노리는 2차 피싱은 통보 직후 며칠이 가장 위험하므로 공식 채널 경고 캠페인이 통보와 동시에 실행돼야 효과가 있다. 유출된 인사 기록과 재무 정보는 금융 사기와 신원 도용의 직접 재료가 되므로, 상담 창구 운영이나 피해 시민 지원 체계가 뒤따르지 않으면 통보만으로는 신뢰 회복이 어렵다. 아쉬운 점은 지자체 IT 예산과 인력의 만성 부족이 이번 침해의 구조적 배경이라는 점이며, NIS2 시대의 공공기관 탄력성 요구를 충족하려면 일회성 복구가 아니라 상시 투자 체계로의 전환이 필요하다. 행정망 복구에 4~6개월이 걸린 유사 유럽 사례를 감안하면, 서비스 연속성 계획과 오프라인 백업 검증이 정책 우선순위로 격상돼야 한다.