랜섬웨어
이 태그가 달린 문서 10건
Synology DSM 랜섬웨어 공격: 2024년 12월에 수정된 취약점으로 오래된 버전이 노려짐, 오늘 업데이트하고 점검할 것(SA-24:20)
Synology는 2026년 10월 29일, 2024년 12월에 패치된 취약점을 악용해 오래된 버전의 DSM을 쓰는 장치를 노리고 데이터를 암호화해 금전을 요구하는 공격자를 확인했다고 밝혔습니다. 취약한 버전을 쓰는 모든 사용자에게 DSM을 즉시 업데이트하라고 강력히 권고하며 자동 업데이트를 켜라고 권합니다. 안내는 Synology-SA-24:20을 가리키며, 수정 버전은 DSM 7.2.2는 7.2.2-72806-1 이상, 7.2.1은 7.2.1-69057-6, 7.2는 7.2-64570-4, 7.1은 7.1.1-42962-7, 6.2는 6.2.4-25556-8입니다. 이 권고에는 CVE 세 건이 있으며, Synology는 그중 어느 것이 악용되는지 밝히지 않았습니다. 피해자 수와 공격자 이름도 공개하지 않았습니다. 이 사이트의 결론: 오늘 DSM 버전을 확인해 수정 버전 이상으로 업데이트하고, DSM 관리 화면을 인터넷에 노출하지 마세요. NAS와 분리되어 NAS에서 덮어쓸 수 없는 백업을 두세요.
사가 대학 랜섬웨어 공격(재학생, 교직원, 졸업생의 개인정보 약 8만 명분과 환자 정보 유출 가능성): 이름, 주소, 비밀번호가 포함된 사람이 해야 할 일
일본의 국립대학인 사가 대학은 2026년 10월 30일, 9월 28일에 공표한 사무 정보 시스템의 랜섬웨어 피해와 관련해 환자 정보를 포함한 보유 개인정보가 학교 밖으로 유출됐을 가능성을 부정할 수 없음을 확인했다고 발표했다. 대학에 따르면 9월 24일 오전 8시 42분, 사무 부서가 사용하던 NAS(네트워크 접속 스토리지)에서 랜섬웨어로 보이는 피해를 확인했다. 이후 외부 전문 업체에 침입 경로와 범위의 조사를 의뢰했다. 해당 집단은 재학생, 교직원, 졸업생, 전 교직원, 관계자 등 약 8만 명이다. 항목은 이름, 생년월일, 성별, 주소, 전화번호, 이메일 주소, 비밀번호다. 환자 수는 아직 조사 중이며, 환자 정보는 요배려 개인정보(진료과, 질병 또는 부상 이름, 진료일 등)로 설명되어 있다. 비밀번호가 어떤 형태로 보관됐는지(암호화인지 해시인지)는 공지에 나와 있지 않다. 대학은 대학이나 관련 기관을 사칭한 수상한 이메일, 문자, 전화가 올 수 있다고 주의를 당부한다. 이 사이트의 견해: 대학이나 병원을 자칭하는 연락은 내용이 정확해도 직접 연 공식 사이트에서 확인하고, 대학 계정과 같은 비밀번호를 재사용했다면 바꿔라.
FortiBleed(FortiGate 자격 증명 유출, 약 74,000대 장비): 새로운 취약점이 아니므로 관리자 및 VPN 비밀번호를 변경해야 함
FortiBleed는 Fortinet의 방화벽 및 VPN 장비인 FortiGate의 관리자 및 SSL VPN 자격 증명이 대규모로 유출되고 악용된 사건입니다. 2026년 6월 18일 CISA는 약 74,000대 장비와 관련된 자격 증명이 유출되었다고 경고했습니다. 6월 19일 Fortinet은 새로운 취약점이 아니며, 이전 사고의 자격 증명 재사용과 약한 비밀번호 및 다단계 인증(MFA)이 없는 장비에 대한 무차별 대입 공격이 활동의 원인일 가능성이 크다고 밝혔습니다. 6월 23일 JPCERT/CC는 유출된 데이터에 일본 기업과 관련된 정보가 포함되어 있다고 확인했다는 주의 공지를 냈습니다. 10월 6일 FBI와 미국 비밀경호국(U.S. Secret Service)은 활동이 계속되고 있으며, 일부 관리자가 장비에서 차단되었고, 이 접근이 랜섬웨어의 침투 경로로 쓰였다고 경고했습니다. 수정된 펌웨어로 업그레이드해도 유출된 비밀번호는 무효화되지 않습니다. 이 사이트의 결론: FortiGate를 운영한다면 관리자 및 VPN 비밀번호를 변경하고, 다단계 인증을 적용하며, 관리 인터페이스를 인터넷에서 분리하고, 관리자 비밀번호의 레거시 SHA-256 사본을 제거하십시오.
JR동일본, 뷰카드 및 JR규슈 이메일 유출 가능성(2026): 대처 방법
2026년 10월 9일, 동일본여객철도(JR동일본), 주식회사 뷰카드, 규슈여객철도(JR규슈)는 각각 회원에게 이메일을 보내는 데 쓰는 외부 서비스가 클라우드 서비스 제공업체에서 발생한 무단 접근의 영향을 받았으며, 회원의 이메일 주소 등 데이터가 열람 또는 취득되었을 가능성을 배제할 수 없다고 발표했습니다. 대상 건수는 JR동일본의 경우 최대 약 167만 건의 에키넷 회원과 약 39만 건의 어른의 휴일 클럽 회원, 뷰카드의 경우 VIEW's NET 이용자 이메일 주소 약 403만 건, JR규슈의 경우 최대 약 130만 건의 JR규슈 Web 회원입니다. 에키넷, VIEW's NET, JR규슈 Web 회원은 이메일 주소만 해당하며, 어른의 휴일 클럽 회원은 이메일 주소에 더해 회원번호, 신용카드 유효기간, 생년월일이 포함됩니다. 이름, 주소, 전화번호, 카드번호는 대상에서 제외되었다고 합니다. 클라우드 서비스 제공업체는 10월 7일 이른 아침부터 이어진 장애의 원인을 제3자에 의한 랜섬웨어 공격이라고 밝혔습니다. 제공업체는 10월 14일 제5보에서 장애 영향 영역의 가상 서버 내 데이터가 열람되거나 외부로 반출된 흔적은 확인되지 않았으며, 외부로 데이터가 유출되지 않았다고 판단했다고 발표했습니다. JR규슈는 10월 15일 이 조사 결과를 보고받은 뒤, JR규슈 Web 회원의 이메일 주소에 대한 유출 사실은 확인되지 않았다고 발표했습니다. JR동일본의 에키넷 사이트도 10월 15일 메일 발송 서비스 회사로부터 에키넷 회원의 개인정보 유출은 없다고 판단했다는 보고를 받았다고 안내하고 있습니다(10월 19일 확인). 어른의 휴일 클럽 회원과 뷰카드에 대해서는 10월 19일 기준으로 후속 발표를 확인하지 못했습니다(각 회사 사이트에서 확인). 클라우드 서비스 제공업체는 10월 27일 제7보에서 조사가 완료되었다고 밝히고, 원인을 고객용 관리 화면의 인증 시스템에 사용된 오픈소스 소프트웨어의 취약점이라고 공표했습니다. 가상 서버 내 데이터가 외부로 유출되지 않았다는 판단은 바뀌지 않았습니다. 이 사이트의 판단: JR규슈는 유출 사실이 확인되지 않았다고 발표했고, 에키넷은 에키넷 회원의 개인정보 유출은 없었다는 보고를 받았다고 안내하고 있습니다. 그럼에도 이 사건을 빙자한 가짜 이메일은 계속 도착할 수 있습니다. 이메일의 링크로는 로그인하지 말고, 공식 앱이나 직접 저장해 둔 즐겨찾기로 확인하십시오.
오사카 공립대학교 랜섬웨어 공격(협력업체 클라우드 스토리지에서 개인정보 유출 확인): 학생, 졸업생, 학부모, 교직원이 해야 할 일
일본 오사카 공립대학교는 2026년 10월 2일 새벽 가상화 플랫폼에서 대규모 장애가 발생해 캠퍼스 네트워크, OMU 메일, 웹사이트, 학사·재무·급여·도서관 시스템이 중단되었다고 밝혔습니다. 10월 5일 기자회견에서 대학은 원인을 랜섬웨어 공격으로 결론지었다고 발표했습니다. 10월 2일부터 8일까지 수업이 취소되었고, 10월 8일 발표한 네 번째 공지에서 대학은 10월 9일부터 전 캠퍼스에서 대면 수업을 재개한다고 알렸습니다. 10월 21일 발표한 다섯 번째 공지에서 대학은 핵심 시스템을 유지·운영하는 위탁업체가 2026년 9월 말 하청업체가 사이버 공격을 받았다고 보고했으며, 하청업체의 정당한 계정을 이용해 대학 시스템에 무단 접근이 이루어졌다고 밝혔습니다. 위탁업체는 자사가 사용하는 클라우드 스토리지에 저장된 대학 관련 개인정보와 시스템 정보가 유출된 것을 확인했다고도 보고했으며, 내용과 규모는 위탁업체와 함께 확인 중입니다. 기자회견에서 유출 가능성이 있다고 밝힌 데이터(학사 관련 시스템 약 13만 건 등)는 대학 자체 가상화 플랫폼에 있으며 별도이고, 유출 여부는 조사 중입니다. 10월 23일 대학은 졸업생과 학부모를 위한 상담창구를 열었습니다. 뉴스 보도에 따르면 서버 약 500대가 멈추었고 백업 데이터 상당수도 암호화되었습니다. 이 사이트의 견해: 대학에서 보냈다고 하는 메시지는 이메일이나 문자의 링크가 아니라 OMU 입학 페이지에서 확인하고, 의심스러운 연락은 대학 상담창구에 신고하십시오. 조직은 위탁업체와 하청업체가 사용하는 계정 목록을 작성하고, 운영 관리자 계정이 삭제할 수 없는 백업을 최소 하나 유지해야 합니다.
Capcom 랜섬웨어 사고(2020) — 오래된 VPN 장비가 왜 침투 경로가 되었나, 이중 갈취에 대한 방어
침투 경로는 신형으로 교체한 뒤에도 폐기되지 않고 북미 자회사에 남아 있던 '오래된 예비 VPN 장비'였습니다. 거기서 사내 네트워크가 뚫려 데이터가 도난당한 뒤 랜섬웨어로 시스템이 암호화되었습니다(이중 갈취). 최대 약 39만 명의 개인정보가 유출될 가능성이 있었습니다(카드 정보는 포함되지 않음). Capcom은 지불을 거부하고 백업에서 복구했으며 투명하게 공개했습니다. 여러분의 환경에서는 사용하지 않는 장비를 폐기하고, 경계 장비를 패치하며, 절도와 암호화 양면(분할·탐지·백업)으로 대비하세요.
KADOKAWA·Niconico 랜섬웨어 사고(2024) — 왜 피해가 전사로 번졌나, 네트워크 분리와 BCP
침투 경로는 직원의 자격 증명을 훔친 피싱으로 설명됩니다. 거기서 사내 네트워크가 뚫려 랜섬웨어가 실행되었고, Niconico를 포함한 그룹의 다수 서비스가 수개월간 정지했으며 약 25만 명의 데이터가 유출되었습니다. 피해가 전사로 번진 배경으로는 중요도가 크게 다른 시스템이 같은 네트워크에 함께 있어 충분히 분리되지 않았던 점이 보도·분석에서 지적됩니다. 네트워크를 중요도로 분리하고, 피싱에 강한 인증을 쓰며, 사업 연속성(BCP)과 복구를 준비해 방어하세요.
랜섬웨어란? 동작 원리, 침투 경로, 그리고 몸값을 내지 않는 법
랜섬웨어는 파일을 암호화하고 되돌려주는 대가로 지불을 요구하는 악성코드입니다. 현대의 공격은 이중 갈취를 더합니다 — 먼저 데이터를 훔치고 유출하겠다고 협박하므로, 복호화만으로는 침해가 멈추지 않습니다. 주요 진입 경로: 피싱, 약하거나 MFA가 없는 VPN/RDP, 패치되지 않은 인터넷 노출 결함. 가장 중요한 방어는 오프라인/불변 백업과 복원 테스트 — 몸값 없이 복구할 수 있는 능력입니다. 또한 침입을 막고(MFA, 패치) 피해를 제한하세요(최소 권한, 분할).
MOVEit 대규모 유출 사고(2023) — SQL 인젝션 제로데이가 2,700개 이상 조직에 도달한 경위와 방어법
진입점은 인터넷에 노출된 MOVEit Transfer의 SQL 인젝션 제로데이(CVE-2023-34362)였습니다. 웹 셸(LEMURLOOT)이 심어지고 백엔드 데이터베이스에서 데이터가 대량 탈취되어 2,700개 이상 조직, 약 9,330만 명에게 피해를 입혔습니다. 대부분의 피해자는 벤더가 MOVEit을 썼기 때문에 간접적으로 끌려 들어갔습니다. 여러분의 환경에서는 KEV 신속 패치, 노출 최소화, 웹↔DB 최소 권한과 분리, 벤더 인벤토리와 데이터 최소화가 핵심입니다.
백업의 핵심: 3-2-1 규칙과 랜섬웨어를 견디는 복구 계획
'백업이 있다'로는 부족하다 — 복원할 수 있음을 검증한 백업만이 쓸모가 있다. 기본: 3-2-1 규칙(사본 3개, 매체 2종, 한 부는 외부). 랜섬웨어에는 '오프라인 또는 불변' 사본이 최소 하나 더 필요하다 — 늘 연결된 백업은 원본과 함께 암호화된다. 클라우드 동기화는 백업이 아니다(삭제와 암호화까지 복제한다). 버전 관리와 주기적 복원 테스트가 실천을 완성한다.