랜섬웨어는 파일을 암호화하고 되돌려주는 대가로 몸값을 요구하는 악성코드입니다. 동작 원리와 몸값을 내지 않는 법을 설명합니다(공격 절차 없음).
동작 원리: 역할을 나눈 범죄 비즈니스
전형적인 랜섬웨어는 기기나 서버에서 닿을 수 있는 모든 파일을 암호화하고 "복호화 키를 원하면 지불하라"는 메모를 남깁니다. 그러나 오늘날 위협의 진짜 본질은 기술보다 돈을 버는 방식에 있습니다.
이중 갈취에서는 공격자가 암호화 전에 데이터를 빼냅니다. 그래서 피해자가 자체 백업으로 복원해도 두 번째 협박이 남습니다. "지불하라, 아니면 훔친 것을 공개하겠다"입니다. 이 변화 때문에 "백업이 있으니 괜찮다"가 더 이상 그 자체로 성립하지 않습니다. 게다가 RaaS(서비스형 랜섬웨어)는 작업을 분리해 — 도구를 만드는 자와 공격을 실행하는 자가 이제 다른 사람입니다 — 진입 장벽을 크게 낮췄습니다.
주요 진입 경로
랜섬웨어는 갑자기 나타나지 않습니다. 예측 가능한 몇 가지 경로를 통해 들어옵니다. 그 경로를 막는 것이 첫 번째 방어입니다.
1. 피싱
이메일 첨부 / 링크를 통해. 가장 흔한 경로. 방어 = MFA, 메일 필터링, 교육
2. 노출된 VPN/RDP
약하거나 MFA 없는 원격 접속. 방어 = MFA 의무화, 노출 줄이기
3. 패치되지 않은 결함
인터넷 노출 소프트웨어의 알려진 취약점. 방어 = 즉시 패치
저희가 다룬 실제 사례인 대규모 MOVEit Transfer 침해에서는 랜섬웨어 그룹이 인터넷 노출 소프트웨어의 패치되지 않은 취약점을 악용해, 수정이 나오기 전에 대량의 데이터를 훔친 이중 갈취 사례였습니다. "이메일 첨부"만이 랜섬웨어의 유일한 침투 경로가 아님을 일깨워 주는 좋은 사례입니다.
랜섬웨어 vs 일반적인 악성코드
랜섬웨어는 악성코드의 한 종류이지만, 목적과 알아채는 시점이 크게 다릅니다(→ 악성코드란).
| 일반적인 악성코드(스파이웨어 등) | 랜섬웨어 | |
|---|---|---|
| 목적 | 들키지 않고 정보를 훔치거나 기기를 조종 | 업무를 멈추게 하고 몸값을 받아 냄 |
| 알아채는 시점 | 오랫동안 눈치채지 못한 채 동작하는 경우가 많음 | 암호화와 몸값 요구 메모로 갑자기 드러남 |
| 주된 피해 | 정보 유출, 부정 송금, 다른 공격의 발판으로 악용 | 업무 중단 + 훔친 데이터의 공개 |
| 결과를 가르는 것 | 탐지(EDR)와 인증 정보 보호 | 오프라인 백업과 침입 차단 |
사례: 일본의 랜섬웨어 사고
이 사이트에서 다룬 일본 사례입니다. 침입 경로의 대부분은 인터넷에 노출된 VPN 장비나 도난당한 인증 정보였습니다.
| 사례 | 보고된 침입 경로 | 피해와 복구 |
|---|---|---|
| Capcom(2020) | 폐기되지 않고 남아 있던 오래된 VPN 장비 | 최대 약 39만 명의 개인정보가 노출되었을 가능성. 지불 없이 백업으로 복구 |
| 한다 병원(2021)(영문) | 패치되지 않은 VPN 장비의 취약점 | 백업이 같은 네트워크에 있어 함께 암호화됨. 전자의무기록 복구에 약 2개월 |
| 오사카 급성기·종합의료센터(2022)(영문) | 급식 위탁업체의 VPN 장비 | 위탁업체를 경유한 침입. 외래, 수술, 응급 진료가 제한되었고 완전 복구까지 2개월 남짓 |
| KADOKAWA(2024) | 회사 설명에 따르면 피싱으로 도난당한 인증 정보 | 그룹의 많은 서비스가 장기간 중단. 약 25만 명의 개인정보 유출 |
| 메디카 출판(2026)(영문) | 회사 설명에 따르면 정상 계정의 인증 정보를 이용한 침입 | 약 64만 1,000명에게 "유출되었을 가능성"을 통지 |
공통점은 인터넷에 노출된 입구를 어떻게 관리했는지, 그리고 백업이 어디에 있었는지입니다. VPN 장비를 지키는 방법은 VPN 장비는 랜섬웨어의 주요 침입 경로(영문)에서 다룹니다.
방어: 몸값 없는 복구를 가능하게 하라
오프라인 / 불변 백업 유지 (가장 중요)
복구를 좌우하는 것은 백업입니다. 그러나 항상 온라인이고 쓰기 가능한 백업은 나머지와 함께 암호화될 수 있으니, 최소 하나는 오프라인이나 불변(변조 불가) 사본으로 두고, 정기적으로 복원 테스트를 실행해 실제로 데이터를 되찾을 수 있는지 확인하세요. 백업과 복구의 기본(3-2-1)을 참고하세요.
침입을 막기: MFA와 패치
가장 큰 경로(피싱에 취약한 로그인과 노출된 원격 접속)에 다단계 인증(MFA) 을 의무화하고, 인터넷 노출 대상의 알려진 취약점을 즉시 패치하세요. 이것만으로도 침입의 큰 비중을 막습니다(→ MFA 고르기).
피해 제한: 최소 권한과 분할
한 번의 침해가 회사 전체를 암호화하지 않도록, 권한을 필요한 최소한으로 유지하고 네트워크를 분할하세요. 침해된 단일 기기 한 대가 어디로든 퍼질 수 없도록 설계하면 피해가 국소화됩니다.
탐지와 '당한 후' 계획 갖추기
이런 방어를 갖춰도 예방이 완벽할 수는 없습니다. 그러니 이상을 조기에 탐지하고, 누가 무엇을 할지(격리, 통지, 복원의 순서)를 사고 대응 계획으로 미리 정해 두세요. 누군가 당황해 지불하기 전에 봉쇄하고 복원하는 능력을 갖추세요.
본 사이트의 견해: 지불에 기대지 말고 미리 준비한다
지불 여부에 대한 저희 입장은 분명합니다. 지불하지 않을 수 있는 능력을 미리 갖추세요. 지불해도 복호화가 보장되지 않고, 이중 갈취에서는 유출도 멈추지 않으며, 범죄에 자금을 대면서 당신을 다시 표적이 되는 지불자로 표시합니다.
그러니 중요한 것은 사고 대응이 아니라 준비입니다. 복원할 수 있는 오프라인 백업, 그리고 공격자를 들이지 않는 MFA와 패치입니다. 둘 다 갖추면 랜섬웨어의 피해는 성가시지만 복구 가능한 사고 수준에 머뭅니다.
감염을 알아챘을 때의 첫 대응
네트워크에서 분리한다
다른 기기나 백업으로 퍼지지 않도록 네트워크 케이블을 뽑고 Wi-Fi를 끕니다. 조사에 필요한 기록이 지워질 수 있으므로 섣불리 재부팅하거나 전원을 끄지 마세요.
내부 담당자와 외부 기관에 연락한다
조직이라면 미리 정해 둔 연락처를 씁니다. 경찰이나 국가의 사이버 범죄 신고 창구에 신고하고, 개인정보가 유출되었을 수 있다면 개인정보 보호 기관의 신고 규칙을 확인하세요.
복호화 도구와 깨끗한 백업을 확인한다
몸값 요구 메모로 계열을 알 수 있다면 No More Ransom에서 무료 복호화 도구가 있는지 확인합니다. 동시에 공격의 영향을 받지 않은 백업이 있는지 확인하세요.
내 환경에서 확인하는 방법
- 인터넷에 노출된 VPN 장비와 방화벽의 제품명과 버전을 목록으로 만들고, 벤더 권고와 CVE / KEV 조회로 악용되는 취약점이 남아 있지 않은지 확인한다
- 원격 데스크톱(RDP, 보통 3389번 포트)에 인터넷에서 직접 접속할 수 없는지 확인한다
- VPN과 원격 접속 계정에 다단계 인증(MFA)이 필수인지, 쓰지 않는 계정이 남아 있지 않은지 확인한다
- 운영 환경의 인증 정보로는 지울 수 없는 곳(오프라인, 또는 불변 설정을 켠 곳)에 백업이 최소 하나 있는지 확인하고, 실제로 파일 하나를 복원해 본다
"백업이 있다"가 더 이상 "안전하다"를 뜻하지 않는다
예전에는 백업이 랜섬웨어를 무해하게 만들었습니다. 그러나 이중 갈취가 표준이 된 지금, 복원할 수 있다는 것은 데이터 탈취를 막는 것과는 다른 문제입니다. 공격자는 암호화 전에 데이터를 빼내고 "지불하라, 아니면 공개하겠다"고 요구합니다. 그래서 방어는 둘 다 필요합니다. 복원할 수 있는 것(백업)만이 아니라, 공격자가 들어오거나 데이터를 가져가지 못하게 하는 것(침입 방지)도 필요합니다. 현대 랜섬웨어 방어의 출발점은 "하지만 우리에겐 백업이 있다"에서 멈추기를 거부하는 것입니다.
출처(1차 자료)
- 일본 경찰청, "랜섬웨어 피해 방지 대책"(일본어) — npa.go.jp(피해 시 대응과 예방)
- No More Ransom, "About the project" — nomoreransom.org(무료 복호화 도구)
- CISA, "#StopRansomware Guide" — cisa.gov(오프라인 백업과 대응 체크리스트)
- 일본 개인정보보호위원회, "유출 등 사안 대응"(일본어) — ppc.go.jp
다음으로 읽기
- 학습: 백업과 복구의 기본 (3-2-1 규칙을 포함한, 몸값 없이 복구하는 기본)
- 학습: 올바르게 MFA 고르기 (가장 큰 침입 경로를 막기)
- 용어집: 피싱이란 (최대 진입 경로 자체를 차단)
- 사례: 대규모 MOVEit Transfer 침해 (패치되지 않은 결함을 통한 이중 갈취)
- 용어집: C2(명령 제어)란 (감염 후 공격자가 운용하는 채널)
- 용어집: 악성코드란 (랜섬웨어가 속한 상위 범주와 공통 방어)
- 사례: Capcom 랜섬웨어 사고(2020) (오래된 VPN 장비가 침투 경로·이중 갈취·지불 없이 복구)