CISA·FBI·HHS 공동 어드바이저리에 따르면 메두사 랜섬웨어 피해 조직이 500곳을 넘었다. 운영진이 직접 침투하지 않고 브로커를 고용하는 분업 구조와 라자루스 연계까지 정리했다.
미국 국토안보부 산하 CISA와 FBI, 보건복지부(HHS)가 8월 18일 공동 어드바이저리를 갱신했다. 메두사(Medusa) 랜섬웨어의 피해 조직이 500곳을 넘었다는 내용이다. 2025년 3월 같은 기관이 발표했던 300곳에서 1년 새 200곳 가까이 늘었다.
그런데 이 어드바이저리를 읽다 보면 이상한 대목이 나온다. 메두사 운영진 자신은 피해 조직 네트워크에 처음 들어가는 일을 거의 하지 않는다.
랜섬웨어 조직이라고 하면 해커가 직접 취약점을 뚫고 들어가는 그림을 떠올리기 쉽다. 메두사는 다르다. 운영진은 사이버범죄 포럼과 마켓플레이스에서 "초기 접근 브로커(Initial Access Broker, IAB)"를 공개 모집한다. 제시하는 보수는 건당 100달러에서 100만 달러. 침투와 수익화를 애초에 다른 참가자의 일로 나눠둔 구조다.
CISA 어드바이저리에 따르면 접근권 확보 이후에도 메두사 제휴사는 정상 관리 도구를 그대로 활용한다. 원격 데스크톱(RDP)과 PsExec, WMI로 네트워크 내부를 옮겨 다니고, 파워셸 스크립트는 난독화해 보안 도구 탐지를 피한다. 데이터를 빼낼 때는 클라우드 백업 도구인 Rclone을 그대로 쓴다. 암호화가 끝나면 피해 조직을 두 번 압박한다. 파일을 볼모로 잡는 동시에, 응하지 않으면 탈취한 데이터를 자체 다크웹 사이트 "Medusa Blog"에 공개하겠다고 위협하는 이중공갈이다.
CISA는 300곳에서 500곳으로 늘어난 이유 자체를 설명하지는 않는다. 다만 이 구조를 놓고 보면 짐작할 수 있는 개연성은 있다. 메두사 운영진 입장에서 침투는 조직 바깥의 일이다. 접근권을 사 오는 브로커가 늘어날수록, 운영진이 직접 뚫을 표적을 찾아다닐 필요 없이 피해자 수가 늘어날 여지가 커지는 구조이기 때문이다. 침투 능력과 협박·수익화 능력을 분리해 각자 전문화한 게, 이 랜섬웨어를 하나의 조직이 아니라 여러 참여자가 얽힌 산업으로 만들었다.
피해 산업도 의료·교육·법률·보험·기술·제조업까지 걸쳐 있다. 특정 업종을 노린 표적 공격이 아니라, 접근권을 사 올 수 있는 곳이면 업종을 가리지 않는다는 뜻이다.
메두사가 산업화된 서비스형 랜섬웨어라는 사실은, 이 도구를 누가 빌려 쓸 수 있는지의 문제이기도 하다. 국가 배후 해킹조직도 예외가 아니다. 북한 배후 라자루스(Lazarus) 그룹이 자체 도구와 함께 메두사를 배포한 사실이 2026년 2월 Symantec 조사로 확인됐다. 이 사건은 REVELARE가 Lazarus의 Medusa 랜섬웨어에서 이미 자세히 다뤘다.
자체 개발한 랜섬웨어 대신 범죄 조직의 기성 서비스까지 빌려 쓴다는 건, 국가 배후 행위자와 사이버범죄 생태계의 경계가 점점 흐려지고 있다는 뜻이다. 한국은 라자루스가 가장 오래, 가장 자주 표적으로 삼아온 국가 중 하나라는 점에서, 이 흐름은 남의 나라 이야기로만 보기는 어렵다.
이 구조에서 가장 값싼 방어선은 침투 단계 자체를 막는 것이다. IAB가 파는 건 대개 인터넷에 노출된 취약한 서비스나 피싱으로 얻은 로그인 정보다. 외부에 노출된 RDP·VPN 접속점을 줄이고, 다중 인증을 걸어두는 것만으로도 브로커가 팔 만한 접근권 자체가 줄어든다. 이미 뚫린 뒤의 탐지 관점에서는, 평소 안 쓰던 PsExec·WMI 원격 실행이나 Rclone 같은 낯선 백업 도구의 대량 업로드 트래픽이 대표적인 이상 신호다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.