다크사이드, 프랜차이즈처럼 랜섬웨어 운영 — 차등 수수료, 제휴 조직, 헬프데스크 (인터뷰)

2021년 6월 NPR의 《프레시 에어》에서 뉴욕타임스 탐사보도 기자 마이클 슈비르츠는 콜로니얼 파이프라인을 공격하고 2020년 8월 출범 후 약 1년 만에 9,000만 달러 이상을 벌어들인 러시아어권 랜섬웨어 조직 다크사이드의 내부 통신에서 발견한 내용을 설명했다. 피해자들이 본 몸값 요구서는 “다크사이드에 오신 것을 환영합니다”로 시작됐다. 격식을 갖춘 사업체 같은 문구였고, 자신들의 시스템을 건드리지 말라는 은근한 협박이 담겨 있었다. 이 조직은 파일을 암호화하는 것 외에도 독점 데이터를 탈취해 공개하거나 경쟁자와 다른 해커들에게 팔겠다고 위협했다.

다크사이드는 프랜차이즈처럼 구조화되어 있었다. 랜섬웨어를 직접 작성했지만 실제 침입은 제휴 조직에 외주를 맡겼다. 제휴 조직은 몸값 규모에 연동된 차등 수수료를 내고 악성코드를 사용하기로 계약한 다른 해커들이었다. 몸값이 50만 달러 미만이면 다크사이드의 몫은 약 25%였고, 500만 달러를 넘으면 그 몫이 약 10%로 줄었다. 상당히 관대한 배분이라는 평가였다. 콜로니얼 파이프라인의 450만 달러 지급액 가운데 약 10%가 다크사이드에 돌아갔고 나머지는 시스템에 침투한 제휴 조직의 몫이었다. 이 조직은 다크웹 포럼에서 제휴 조직을 모집했으며, 숙련된 제휴 조직을 두고 경쟁하는 수십 개 조직 중 하나였다.

피해자의 경험까지 상품화되어 있었다. 대부분의 피해자는 비트코인 사용법을 몰랐기 때문에 다크사이드는 인터넷 서비스 제공업체의 지원 전화선처럼 채팅을 갖춘 헬프데스크를 운영하며 결제 방법을 안내했다. 슈비르츠에 따르면 목표는 피해자가 데이터를 되찾기 위해 싸우는 대신 문제를 해결하고 넘어가도록 결제를 최대한 간단하게 만드는 것이었다. 다크사이드가 콜로니얼 파이프라인 공격자로 밝혀지자 이 조직은 잠적했다.

갈취의 산업화: 랜섬웨어를 제휴 조직에 차등 수수료로 라이선스하고, 피해자에게는 결제가 평범한 지원처럼 느껴지도록 헬프데스크를 제공했다.

역할을 분리하자 전문가들이 각자 전문화할 수 있었다. 악성코드 작성자들은 하나의 제품을 수십 개의 제휴 조직에 걸쳐 확장했고, 그 제휴 조직들은 피해자를 찾기 위해 24시간 내내 움직였다.

역진적 수수료, 즉 몸값이 클수록 더 작은 몫을 떼는 방식은 가장 유능한 해커들을 끌어들이고 붙잡아 두기 위해 설계되었다.

결제를 쉽게 만드는 헬프데스크는 마찰을 없앤다. 혼란스러운 피해자는 곧 미납된 몸값이기 때문이다.

데이터를 암호화하는 동시에 탈취한 것은 접근 상실 외에 공개 압박이라는 두 번째 압력 채널을 추가했다.

범죄 시장도 합법적인 소프트웨어처럼 산업화된다. 프랜차이즈, 차등 SaaS 가격, 지원 데스크가 그것이다. 그 구조를 지도화하는 것이 수사 당국이 위협을 이해하는 방법이다.

미국의 가스 공급 흐름을 교란한 콜로니얼 파이프라인 공격자로 지목된 뒤 다크사이드는 잠적했다. 슈비르츠는 육류 가공업체 JBS 공격을 주도한 조직인 레빌에 대해서도 보도했는데, 이 조직은 기업과 병원, 경찰, 도시를 덮친 같은 랜섬웨어 물결의 일부였다.