서론
랜섬웨어 사고에서 기업이 가장 먼저 떠올리는 과제는 감염 차단, 암호화 확산 방지, 백업 복구다. 그러나 실제 협상 단계에서는 기술 복구 못지않게 중요한 정보가 오간다. 백업이 얼마나 살아 있는지, 보험 한도가 얼마인지, 경영진이 감내할 수 있는 최대 지급액이 어디인지, 법무팀이 어떤 규제 리스크를 우려하는지에 따라 공격자의 압박 방식과 요구액은 달라진다.
2026년 7월 9일 미국 법무부(DOJ)가 플로리다 출신 전 랜섬웨어 협상가 Angelo Martino에게 징역 70개월을 선고했다고 밝힌 사건은 이 지점을 정면으로 보여준다. DOJ 발표에 따르면 Martino는 피해 기업을 돕는 협상가 지위를 악용해 피해자의 협상 전략, 지급 가능성, 보험 한도 등 민감 정보를 BlackCat/ALPHV 공격자에게 제공했다. 그는 Kevin Martin, Ryan Goldberg와 함께 2023년 4월부터 11월까지 BlackCat 랜섬웨어를 직접 배포해 미국 내 추가 피해자를 공격한 혐의도 받았다. DOJ는 이들이 한 피해자로부터 약 120만 달러 상당의 비트코인을 갈취하고 수익을 분배·세탁했다고 설명했다.
이 사건은 특정 협상가 개인의 일탈로만 볼 일이 아니다. BlackCat/ALPHV라는 브랜드는 2023년 12월 DOJ의 인프라 교란 이후 약화됐고, 2024년 이후 조직 신뢰도도 흔들렸다. 하지만 랜섬웨어 생태계의 역할 분담과 협상 기반 갈취 모델은 다른 조직으로 이동할 수 있다. 기업 입장에서는 "어떤 랜섬웨어 그룹인가"만큼이나 "사고 대응 과정에서 누가 어떤 정보를 볼 수 있는가"가 중요한 방어 질문이 된다.
본론
BlackCat 사건이 보여준 신뢰 리스크
BlackCat/ALPHV는 RaaS(Ransomware-as-a-Service) 구조를 기반으로 운영됐다. 운영자는 랜섬웨어 코드, 피해자 협상 포털, 데이터 유출 사이트, 결제 인프라, 브랜드 신뢰도를 제공하고, 제휴 공격자는 실제 침투와 암호화를 수행한다. 초기 접근 브로커는 탈취 계정, VPN/RDP 접근, 취약 서버 접근권을 판매하고, 자금세탁 담당자는 암호화폐 지갑 분산과 현금화를 맡는다.
이 분업 구조에서 협상 담당자는 단순한 메시지 전달자가 아니다. 피해자의 업종, 매출, 보험 보장 범위, 규제 리스크, 업무 중단 비용, 백업 상태를 종합해 몸값을 책정하고 압박 강도를 조절하는 데 관여한다. Martino 사건은 피해 기업을 대리하는 사람이 공격자에게 내부 정보를 넘길 경우, 공격자가 요구액과 공개 압박 시점을 더 정교하게 조정할 수 있음을 보여준다.
따라서 이번 판결의 핵심 메시지는 "BlackCat이 아직 위험한가"가 아니라 "랜섬웨어 대응 생태계에 참여하는 외부 주체를 어떻게 검증하고 통제할 것인가"에 가깝다. 랜섬웨어 사고가 발생하면 협상가, 포렌식 업체, IR 협력사, 법무 자문, 보험 중개인, 클라우드 복구 업체가 동시에 참여한다. 이들 모두는 정상 업무상 민감 정보에 접근할 수 있고, 통제가 약하면 공격자가 원하는 정보를 얻는 또 다른 경로가 된다.
협상 정보는 공격자의 가격 책정 자료가 된다
BlackCat/ALPHV는 전형적인 이중·삼중 갈취 모델을 사용했다. 공격자는 암호화 전에 데이터를 탈취하고, 이후 시스템을 암호화하며, 피해자가 지불하지 않으면 유출 사이트 공개 또는 공개 예고로 압박한다. 일부 캠페인에서는 고객, 협력사, 언론, 규제기관을 통한 2차 압박도 활용된다.
이때 공격자가 가장 알고 싶어 하는 것은 피해자의 실제 복구 가능성과 지불 한계다. 협상 과정에서 다음과 같은 정보가 노출되면 공격자는 초기 요구액을 높이고, 할인 폭을 줄이며, 데이터 공개 시점과 압박 메시지를 조정할 수 있다.
- 피해자가 실제로 백업에서 복구할 수 있는지 여부
- 백업이 정상인지, 핵심 시스템 복구에 시간이 얼마나 걸리는지
- 보험 보장 한도와 면책 조건
- 경영진이 감내할 수 있는 최대 지급액
- 법무·규제 리스크가 큰 데이터의 성격
- 협상 지연 전략이나 최종 거부선
결국 협상가 결탁은 단순한 정보 유출이 아니라 랜섬웨어 수익 모델의 가격 최적화로 이어진다. 기술팀이 암호화 확산을 막더라도, 협상 정보가 공격자에게 흘러가면 기업의 협상력은 급격히 약해진다.
영향은 보안팀 밖으로 확장된다
이번 사건의 영향 범위는 보안팀에만 머물지 않는다. 의료, 제조, 금융, 공공처럼 업무 중단 비용과 규제 리스크가 큰 업종일수록 공격자는 높은 지불 가능성을 전제로 협상한다. 데이터 공개 압박도 더 강하게 작동한다.
보험 가입 기업은 별도의 주의가 필요하다. 보험 한도와 보장 조건은 공격자의 가격 책정 자료가 될 수 있다. 사고 대응방에서 보험 정보 접근권을 엄격히 제한하지 않으면, 공격자는 사실상 협상 상한선을 먼저 파악한 상태에서 압박할 수 있다.
경영진과 법무팀도 초기부터 같은 가정 위에서 움직여야 한다. 공격자가 내부 메일과 메신저를 이미 볼 수 있다는 전제, 외부 협력사도 최소 권한과 기록 대상이라는 전제, 랜섬 지급 전 제재 대상 여부와 법적 리스크를 확인해야 한다는 전제가 필요하다. 랜섬웨어 대응은 더 이상 기술 복구 절차만으로 끝나지 않는다. 정보 통제, 증거 보존, 법집행기관 공조, 협력사 관리가 같은 사고 지휘 체계 안에 있어야 한다.
대응 우선순위
기업 실무자는 이번 사건을 계기로 랜섬웨어 플레이북을 다음 순서로 점검해야 한다.
| 우선순위 | 점검 영역 | 즉시 확인할 질문 | 실행 조치 |
|---|---|---|---|
| 1 | 협상 정보 접근 통제 | 보험 한도, 최대 지급 가능액, 복구 실패 가능성을 누가 볼 수 있는가? | 사고 대응방 권한을 역할별로 나누고 민감 문서 저장소와 접근 로그를 분리한다. |
| 2 | 외부 협력사 검증 | 협상가·IR 업체·포렌식 업체의 이해상충과 하청 구조를 확인했는가? | 계약서에 배경 검증, 하청 공개, 접근 로그 제공, 데이터 폐기 기준을 포함한다. |
| 3 | 협상 거버넌스 | 협상가가 단독 판단으로 메시지나 지급 조건을 바꿀 수 있는가? | 법무, 보안, 경영진, 보험 담당자가 참여하는 승인 체계를 만들고 모든 메시지를 증거로 보존한다. |
| 4 | 법집행기관 공조 | 공격자 지갑, 인프라, 복호화 도구, 제재 대상 여부를 외부 기관과 확인하는가? | FBI, CISA 등 법집행·침해대응 기관 접촉 절차와 담당자를 사전에 정한다. |
| 5 | 백업·복구력 | 협상 없이도 핵심 업무를 복구할 수 있는가? | 오프라인 또는 불변 백업, 백업 계정 분리, RTO/RPO 검증, 정기 복구 리허설을 운영한다. |
| 6 | 침입·탈취 탐지 | 암호화 전 데이터 반출과 권한 상승을 탐지하는가? | VPN/RDP 계정 탈취, 대량 압축, 비정상 외부 전송, 클라우드 업로드, 익명화 네트워크 접속을 탐지한다. |
| 7 | 대응 채널 분리 | 공격자가 내부 메일과 메신저를 볼 수 있다는 전제로 소통하는가? | 별도 보안 채널에서 협상·복구 전략을 논의하고 회의록·파일명에도 민감 정보를 노출하지 않는다. |
이 표의 출발점은 협상력이다. 랜섬웨어 협상에서 기업이 가진 가장 큰 힘은 "복구할 수 있다"는 능력과 "공격자가 모르는 정보"다. 백업 복구력이 약하고 내부 전략이 새면 공격자는 더 높은 요구액과 더 강한 공개 압박으로 움직인다.
실무 체크리스트
랜섬웨어 대응 계획을 이미 보유한 조직이라도 다음 항목은 별도로 점검해야 한다.
- 사고 대응방 참여자 목록을 만들고, 각 참여자의 접근 가능한 문서·시스템·채널을 제한한다.
- 보험 한도, 지급 가능액, 이사회 판단, 법무 전략은 별도 등급 정보로 분류한다.
- 협상가와 IR 협력사 계약서에 이해상충 금지, 하청 공개, 접근 로그 제공, 사건 종료 후 데이터 폐기 의무를 넣는다.
- 모든 협상 메시지, 공격자 지갑 주소, 데이터 샘플, 요구액 변화, 공개 협박 문구를 원본 형태로 보존한다.
- 랜섬 지급 검토 전 제재 대상 여부, 법적 리스크, 수사기관 공유 가능 정보를 확인한다.
- 백업 성공 로그만 보지 말고 실제 복원 테스트 결과와 핵심 업무별 RTO/RPO를 확인한다.
- 내부 메일·메신저가 침해됐을 가능성을 전제로 별도 보안 협업 채널을 준비한다.
- 암호화 행위뿐 아니라 데이터 탈취 단계의 대량 압축, 외부 전송, 클라우드 업로드, 익명화 네트워크 접속을 탐지 룰에 포함한다.
- 사고 이후 외부 협력사의 계정과 토큰을 회수하고, 공유 저장소와 협업 채널의 접근권을 종료한다.
결론
Angelo Martino에게 징역 70개월이 선고된 사례는 랜섬웨어 생태계가 악성코드 개발자와 침투자만으로 움직이지 않는다는 사실을 다시 확인시킨다. 협상가, 중개자, 자금세탁 담당자, 데이터 유출 운영자, 초기 접근 브로커가 분업하는 구조에서는 사고 대응 과정의 정보도 공격자의 수익을 높이는 자산이 된다.
기업의 대응 방향은 명확하다. 첫째, 랜섬웨어 대응을 기술 복구 중심에서 협상 정보 통제와 외부 협력사 관리까지 확장해야 한다. 둘째, 협상 채널과 법무·보험·경영 의사결정 정보를 최소 권한으로 분리해야 한다. 셋째, 법집행기관 공조와 증거 보존 절차를 사전에 정해야 한다. 넷째, 협상력을 높이는 가장 현실적인 수단인 불변 백업과 복구 리허설을 운영해야 한다.
BlackCat/ALPHV라는 이름은 약화됐더라도 RaaS 생태계의 역할 분담과 갈취 방식은 계속 이동한다. 이번 사건은 랜섬웨어 플레이북에서 "누가 공격자인가"만큼 "누가 우리 정보를 볼 수 있는가"를 묻도록 만드는 사례다.
참고자료
- DOJ, 2026-07-09, Florida ransomware negotiator sentenced to prison
- DOJ, 2026-04-30, Two Americans sentenced for BlackCat/ALPHV ransomware attacks
- DOJ, 2023-12-19, ALPHV/BlackCat ransomware disruption announcement
- CISA/FBI, 2023-12-19, ALPHV/BlackCat affiliate advisory
- The Hacker News, 2026-07-10, Ransomware negotiator sentenced for aiding BlackCat attacks
- SecurityWeek, 2026-07-10, Security expert sentenced for helping ransomware gang
본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 의견 부탁드립니다. 피드백은 더 정확한 보안 정보 공유에 도움이 됩니다.