베를린 시정부 랜섬웨어 피해, Rhysida가 5.79TB 훔치고 30비트코인 요구

이번 주 IT 업계에서 가장 주목받은 보안 이슈는 독일 베를린 시정부를 겨냥한 랜섬웨어 공격이었습니다. 랜섬웨어 조직 Rhysida가 시 행정 시스템에서 약 5.79TB, 144만 개에 달하는 파일을 탈취했다고 주장하면서 유럽 지방정부를 노린 공격의 심각성이 다시 한번 부각되었습니다. 특히 공격 시점이 베를린 하원선거를 코앞에 두고 발생했다는 점에서 정치적 파장도 함께 주목받고 있습니다.

이슈 개요

Rhysida는 베를린 시정부 네트워크에서 데이터를 탈취한 뒤, 신규 계정으로 30비트코인(현재 환율 기준 약 200만 유로)을 지불하지 않으면 자료를 공개하겠다고 위협했습니다. 베를린 시정부는 자신들이 "협박당하고 있다"며 이번 사건의 피해자임을 공식적으로 인정했고, 동시에 "공격자들의 요구를 받아들이지 않겠다"는 입장을 분명히 밝혔습니다. 현재 독일 국가형사경찰, 검찰, 연방보안기관이 합동으로 수사에 착수한 상태입니다.

구체적 내용과 배경

조사 결과에 따르면 실제 데이터 유출은 8월 7일에서 12일 사이에 이루어졌지만, 감염된 시스템이 네트워크에서 완전히 격리된 시점은 8월 14일로, 초기 침입 탐지 이후에도 약 7일간의 지연이 있었던 것으로 드러났습니다. 이 7일간의 격리 지연이 피해 규모를 키운 핵심 원인으로 지목되고 있습니다. 유출된 자료에는 이메일 주소 16,389건, 전화번호 11,963건을 비롯해 개인정보 12,076명분과 IBAN 계좌번호 148건이 포함된 것으로 확인되었습니다. 이 외에도 500건이 넘는 인사 관련 파일과 5,000건 이상의 행정위반 기록도 함께 유출된 것으로 나타나, 시민 개인정보뿐 아니라 행정 운영 전반에 걸친 민감 정보가 광범위하게 노출된 셈입니다.

Rhysida는 앞서 8월 30일경 약 86GB 분량의 압축 데이터를 우선 공개한 데 이어, 9월 3일까지 약 640GB 규모의 추가 파일을 실제로 유포한 것으로 파악되고 있습니다. 이는 몸값 협상이 결렬될 경우 단계적으로 자료를 공개해 압박 수위를 높이는 랜섬웨어 조직의 전형적인 이중 협박 전술로 풀이됩니다.

의미와 전망

베를린 시 당국은 다가오는 하원선거와 관련된 기술 인프라는 이번 공격으로부터 보호되고 있으며 "현재까지 선거 관련 데이터 손상은 확인되지 않았다"고 강조했습니다. 그럼에도 불구하고 지방정부 행정망이 선거를 앞두고 랜섬웨어 조직의 표적이 되었다는 사실 자체가, 공공기관의 사이버 보안 대응 체계에 대한 근본적인 재점검 필요성을 제기하고 있습니다. 특히 초기 탐지 이후 격리까지 걸린 7일이라는 시간은, 침해 사고 대응 속도가 피해 규모를 좌우하는 결정적 변수임을 다시 한번 보여준 사례로 평가됩니다.

이번 사건은 비단 베를린만의 문제가 아닙니다. 같은 기간 영국 맨체스터 공항그룹 역시 유사한 방식의 데이터 탈취 공격을 받았고, JFrog Artifactory나 SonicWall SMA1000 같은 기업용 솔루션에서도 심각한 등급의 원격 코드 실행 취약점이 잇따라 발견되며 공공·민간을 가리지 않는 랜섬웨어 위협이 이어지고 있습니다. 앞으로 지방정부와 공공기관들이 침해 탐지 이후 격리 프로세스를 얼마나 신속하게 자동화하느냐가 유사 피해를 줄이는 핵심 과제가 될 것으로 보입니다.

참고 자료

• Berlin refuses to be blackmailed after network breach - Help Net Security
• Cybersecurity News This Week: August 29–September 4, 2026

마무리

이번 주는 베를린 시정부가 Rhysida 랜섬웨어 조직으로부터 5.79TB 규모의 행정 데이터를 탈취당하고 30비트코인을 요구받은 사건이 가장 큰 보안 이슈로 떠올랐습니다. 초기 탐지 이후 격리까지 7일이 걸린 대응 지연이 피해를 키웠다는 점에서, 공공기관의 침해 대응 체계 전반을 되돌아보게 하는 사례였습니다. 관련 수사 결과와 후속 대응 소식은 확인되는 대로 계속 업데이트하겠습니다.