‘2026 랜섬웨어 생태계 보고서’ 발표…RaaS 중심서 조직 독립화·데이터 갈취로 변화
사이버보안 기업 그룹아이비(Group-IB)가 랜섬웨어 조직의 독립화와 공급망 공격, 인공지능(AI) 활용 확대 등 올해 랜섬웨어 생태계의 주요 변화를 분석한 ‘2026 랜섬웨어 생태계 보고서’를 9월 9일 발표했다.
그룹아이비에 따르면 랜섬웨어 생태계는 기존 소수 대형 서비스형 랜섬웨어(RaaS) 중심에서 공격 조직의 독립화와 경쟁 조직 간 통합이 진행되는 형태로 변화하고 있다.
범죄 생태계 내부의 신뢰 약화도 이러한 변화를 촉진하고 있다는 분석이다. 주요 제휴 프로그램의 대금 지급 거부나 제휴 공격자 흡수, 경쟁 조직 인프라 공격 등이 발생하면서 기존 조직에서 이탈해 독립적으로 활동하는 공격자들이 늘어나고 있다는 것이다.
기업 네트워크 접근권 거래 방식도 변화하고 있다. 그룹아이비는 2025년 공개적으로 광고된 접근권 판매가 27% 감소했지만, 시장 자체가 축소됐다기보다 고가치 인증정보와 접근권 거래가 비공개 채널로 이동한 결과로 분석했다.
암호화 없는 갈취·공급망 공격 확대…AI도 공격에 활용
파일을 암호화하지 않고 탈취한 데이터 자체를 수익화하는 ‘갈취 전용(Extortion-only)’ 방식도 확산하고 있다.
보고서에 따르면, Hunters International은 World Leaks로 전환하면서 데이터 탈취 전용 도구를 제휴 공격자에게 제공했다. SnowTeam은 올해 3월 탈취한 기업 데이터를 유형별로 분류해 반복 판매하는 ‘Leak Bazaar’를 출시했다.
공격 대상도 개별 기업에서 서비스 제공업체와 오픈소스 생태계 등 공급망으로 확대되는 추세다. 공격자는 다수 고객 환경에 특권 접근 권한을 가진 서비스 제공업체 등을 침해한 뒤 이를 통해 공격 범위를 확대하고 있다.
AI 활용도 본격화되고 있다. 그룹아이비는 랜섬웨어 빌더와 데이터 유출 사이트 개발 과정에서 AI를 활용한 정황을 확인했다고 밝혔다. 탈취한 데이터를 유형별로 분류하거나 사이버보험 관련 문서를 선별하고, 피해 기업의 보험 가입 정보를 토대로 몸값 요구 수준을 조정하는 과정에도 AI가 활용되고 있다는 분석이다.
그룹아이비는 기존 대형 조직 중심의 랜섬웨어 모델이 분산·비공개화되면서 조직 간 독립과 통합, 데이터 중심 갈취, 공급망 공격 및 AI 활용이 결합된 위협 생태계가 형성되고 있다고 설명했다.
Qilin·Akira 등 올해 주목할 랜섬웨어 조직 8곳 선정
그룹아이비는 공격 규모와 운영 방식, 전략적 중요성 등을 기준으로 올해 주목해야 할 랜섬웨어 조직으로 Qilin, Akira, Cl0p, SafePay, DragonForce, The Gentlemen, INC Ransom, Vect 등 8곳을 선정했다.
Qilin은 2025년 1062건, 올해 1분기 389건의 공격을 기록해 가장 높은 공격량을 보였다. 데이터 탈취 이후 파일을 암호화하는 이중 갈취를 활용하며, 기존 제휴자들이 새로운 조직으로 독립하는 움직임도 나타났다.
Akira는 지난해 695건, 올해 1분기 201건의 공격을 기록했다. 피해 기업의 지불 능력에 따라 몸값을 조정하고 복호화와 데이터 삭제, 공개 금지 보장, 보안 보고서 등을 패키지화하는 등 협상 과정을 기업 영업 방식처럼 운영하는 것이 특징이라고 그룹아이비는 분석했다.
Cl0p는 제로데이 취약점을 활용해 특정 플랫폼의 다수 고객을 동시에 노리는 공급망 공격에 집중하고 있으며, DragonForce는 경쟁 랜섬웨어 조직의 인프라와 제휴자를 흡수하는 방식으로 세력을 확대하고 있다.
The Gentlemen은 Qilin 제휴자에서 독립한 조직으로 지난해 455건, 올해 1분기 211건의 공격을 수행했다. 그룹아이비는 ChatGPT와 Gemini, Claude 등 AI 도구가 이 조직의 랜섬웨어 개발에 활용된 사실을 확인했다고 밝혔다.
Vect는 올해 1월 처음 관찰된 멀티플랫폼 RaaS로, 공급망 공격과 대규모 제휴자 모집을 결합한 것이 특징이다. 다만 지난 4월 중순 이후 유출 사이트가 중단됐으며 암호화 결함으로 인해 사실상 와이퍼(Wiper)에 가까운 형태로 작동한 것으로 분석됐다.
1분기 랜섬웨어 공격 2393건…전분기 대비 4.5% 증가
그룹아이비는 올해 1분기 79개 활성 랜섬웨어 그룹의 유출 사이트에 게시된 공격이 2393건으로 전분기보다 4.5% 증가했다고 밝혔다.
랜섬웨어 공격의 83%에서는 데이터 유출이 수반됐으며 일부 공격 조직은 파일 암호화 자체를 생략하는 것으로 나타났다. 이에 따라 그룹아이비는 파일 암호화 이후 대응하기보다 침해 초기 단계와 데이터 탈취 활동을 탐지하는 것이 중요하다고 강조했다.
기업 네트워크 접근권 거래량도 올해 1분기 44% 증가한 것으로 나타났다. 그룹아이비는 실제 공격 이전부터 사이버 범죄 시장에서 거래되는 접근권을 모니터링하고 관리형서비스제공업체(MSP), SaaS 공급업체, 외부 계약업체 등 협력사를 공격 표면에 포함해 관리해야 한다고 권고했다.
또 측면 이동과 자격증명 악용, 데이터 스테이징 등 암호화 이전 단계의 이상행위를 탐지하고, 인터넷에 연결된 엣지 장비의 취약점을 신속하게 패치할 필요가 있다고 강조했다.
이와 함께 랜섬웨어 공격이 기술적 침투뿐 아니라 피해 기업에 대한 심리적 압박과 법적 위협, 장기 협상까지 결합하는 형태로 변화하고 있는 만큼 기업 차원의 사고 대응 계획과 위기 의사결정 체계를 사전에 마련해야 한다고 권고했다.
<저작권자(c)스마트앤컴퍼니. 무단전재-재배포금지>
