기업 생존 가르는 ‘협상가’의 투입... 랜섬웨어 대응 매뉴얼이 바뀐다

저숙련 IT 직원 위장해 해커 경계심 무너뜨리고 첩보 수집하는 고도화된 심리전 구사
IP 및 가상자산 지갑 주소 추적해 수사 기관 조력... 실제 몸값 지불 절반으로 감소

[보안뉴스 김형근 기자] 세계적으로 랜섬웨어 공격이 급증하는 가운데, 해커와 협상하며 시간을 벌고 핵심 첩보를 수집하는 전문 협상가의 수요가 폭발적으로 늘고 있다. 파이낸셜타임즈 등 외신에 따르면 팔로알토 네트웍스와 소포스 등 글로벌 대형 보안 기업들에게 자사 소속 협상 전문가를 파견해 달라는 고객사들의 요청이 쇄도하고 있다고 밝혔다.

수사관 출신 베테랑인 댄 손더스 쿼럼사이버(Quorum Cyber) 사건 대응 총괄은 협상가가 단순히 몸값을 깎는 역할에 머물지 않고, 경영진이 심각한 위기 상황에서 올바른 판단을 내리도록 돕는 전략적 핵심 인력이라고 강조했다. 이는 기업들이 랜섬웨어 공격을 보안 사고대응(Incident Response) 관점으로 인식해 능동적 방어 체계로 전환하고 있음을 시사한다.

노련한 협상가들은 철저하게 계산된 심리 전술을 구사한다. 이들은 자신을 권한이 없는 저숙련 IT 직원으로 위장해 해커의 우월감을 자극하고 경계심을 무너뜨린다. 이를 통해 해커가 무의식중에 정보를 더 많이 노출하도록 유도하는 동시에, 내부 결재를 핑계로 협상 템포를 늦춰 시스템 복구와 첩보 수집에 필요한 시간을 번다. 실제로 하루에 메시지를 단 한두 번만 보내는 방식으로 협상 속도를 고의로 지연시키며 기업이 대응할 골든타임을 확보하고 있다.

일반적으로 해커들은 타깃 기업 매출의 1~2%에 달하는 막대한 금액을 몸값으로 요구한다. 그러나 베테랑 협상가들은 협상 테이블 이면에서 공격자의 IP 주소와 가상자산 지갑 주소를 조용히 수집한다.

이들은 해커의 통신 패턴과 블록체인 거래 내역 등을 분석해 범죄 조직의 정체를 식별하고, 자금 세탁 경로를 추적해 수사 기관의 검거 작전을 돕는다. 법 집행 기관이나 금융권 출신인 협상가들은 고객사에 가해질 2차 위험을 차단하는 데 전력을 다한다. 협상 채널은 다크웹 포털, 이메일, 혹은 TOX.chat(톡스챗) 같은 암호화 플랫폼을 주로 이용하며, 짧게는 3일에서 길게는 3주까지 치열한 신경전이 이어진다.

이러한 전문 협상가들의 활약은 수치로도 증명되고 있다. 실제 해커에게 몸값을 지불하는 기업의 비중은 2024년 56%에서 2025년 절반 미만으로 크게 감소하는 추세다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다