랜섬웨어(Ransomware)란 무엇인가?

랜섬웨어란?

랜섬웨어는 몸값을 뜻하는 ransom과 소프트웨어를 결합한 이름으로, 파일이나 시스템, 서버, 업무 데이터를 암호화하거나 접근하지 못하게 만든 뒤 복구를 대가로 금전을 요구하는 악성코드다. 초기 랜섬웨어는 개인 PC의 문서나 사진을 암호화하는 방식이 많았지만 현재는 기업 네트워크, 클라우드 환경, 백업 저장소, 업무 시스템, 협력사와 연계된 시스템까지 공격 범위가 넓어졌다. 이는 단순히 일부 파일을 열수 없는 문제가 아니라 조직 운영 전체를 흔드는 사고로 이어진다는 것을 의미한다.

랜섬웨어가 위험한 이유도 여기에 있다. 랜섬웨어에 감염되면 업무 중단, 고객 데이터 유출, 복구 비용 증가, 법적 책임, 평판 손상, 공급망 차질이 한 번에 발생할 수 있다. 특히 제조, 병원, 금융, 공공, 물류 산업과 같이 시스템 가용성이 중요한 조직은 일부 서버만 암호화되어도 핵심 업무가 멈추기 때문에 랜섬웨어 감염은 정보보안 사고인 동시에 비즈니스 연속성을 위협한다.

공격자는 피해 조직이 업무 복구를 서두를 수밖에 없다는 점을 악용해 금전 지급을 압박한다. 정해진 시간 안에 돈을 내지 않으면 복호화 키를 삭제하거나 암호화된 데이터를 복구할 수 없게 만들겠다고 위협하는 방식이다. 최근에는 파일을 암호화하기 전에 데이터를 빼돌린 뒤, 이를 공개하겠다고 협박하는 이중 갈취 수법도 널리 사용된다. 여기에 고객이나 협력사, 언론에 피해 사실을 알리겠다는 위협까지 더해 조직의 평판과 대외 관계를 압박하기도 한다.

랜섬웨어 공격 방법

랜섬웨어 공격은 침투, 권한 확보, 내부 정찰, 확산, 데이터 탈취, 암호화, 협박을 통해 공격을 가한다

초기 침투는 이메일 첨부파일, 피싱 링크, 원격 접속 계정 탈취, 취약한 VPN 장비, 패치되지 않은 서버, 악성 광고, 불법 소프트웨어 설치 파일 등을 통해 이루어진다. 공격자는 하나의 디바이스나 계정을 장악한 뒤 내부 네트워크 구조를 스캔하고 이후 관리자 권한을 얻거나 더 중요한 시스템으로 측면 이동을 시도한다.

권한을 확보한 뒤에는 영향력이 큰 자산을 찾는다. 백업 서버, 파일 공유 서버, 도메인 컨트롤러, 업무 애플리케이션 서버가 대표적이다. 이 과정에서 보안 도구를 중지하거나 로그를 삭제하고, 정상 관리 도구를 공격에 악용하기도 한다. 마지막 단계에서 랜섬웨어가 실행되면 다수의 파일이 짧은 시간 안에 암호화되고, 화면에는 금전 요구 메시지와 연락 방법이 표시된다.

랜섬웨어 공격의 핵심은 파일 암호화에 있다. 공격자는 피해자의 파일을 자신만 접근할 수 있는 키로 암호화한 뒤, 복호화 키를 제공하는 조건으로 금전을 요구한다. 다만 모든 랜섬웨어가 동일한 수준의 완성도와 정교함을 갖춘 것은 아니다. 일부는 구현상의 오류로 인해 복구 가능성이 남아 있기도 하며, 실제 복호화 기능 없이 협박 메시지만 표시하는 형태도 존재한다. 반면 고도화된 랜섬웨어는 파일 암호화에 그치지 않고 백업 삭제, 보안 서비스 중지, 네트워크 공유 폴더 암호화, 데이터 탈취 등을 동시에 수행하며 피해 범위를 확대한다.

랜섬웨어의 주요 유형

랜섬웨어는 공격 방식과 협박 방식에 따라 나눌 수 있다.

유형	특징	주요 위험
Crypto-ransomware	문서, 이미지, 데이터베이스 등 파일 암호화	업무 데이터 접근 불가, 복구 지연
Locker ransomware	화면이나 운영체제 접근 차단	단말 사용 불가, 업무 중단
Double-extortion	데이터 탈취 후 암호화까지 수행	정보 유출과 서비스 중단 동시 발생
Ransomware as a Service	공격 도구와 인프라를 임대 형태로 제공	전문성이 낮은 공격자도 공격 가능

암호화 랜섬웨어는 가장 널리 알려진 유형이다. 사용자는 파일 확장자가 바뀌거나 문서가 열리지 않게 되며 폴더마다 랜섬노트가 생성된다. 공격자는 암호화 해제를 조건으로 가상자산 지불을 요구한다.

잠금 랜섬웨어는 파일 자체보다 디바이스 사용을 막는 데 초점을 둔다. 화면을 잠그거나 특정 메시지만 표시해 정상 로그인과 프로그램 실행을 방해한다. 최근 기업 공격에서는 암호화와 탈취형이 더 큰 비중을 차지하지만, 개인 사용자 환경에서는 잠금 공격도 여전히 발생할 수 있다.

이중 갈취 랜섬웨어는 현재 가장 많이 발생하는 공격 유형이다. 백업을 보유한 조직은 파일 암호화만으로는 협박 효과가 낮아질 수 있다. 공격자는 이를 보완하기 위해 암호화 전에 민감한 자료를 탈취한 뒤, 복구 여부와 별개로 유출을 빌미 삼아 금전을 요구한다.

Article

데이터를 인질로 삼다! 정보 탈취형 랜섬웨어에 대응하려면?

RaaS는 공격 확산을 가속한 주요 요인이다. 랜섬웨어 도구 개발자와 실제 침투하는 공격자가 분리되고 수익을 나누는 방식이 등장하면서 공격 진입 장벽이 낮아졌다. 조직은 특정 랜섬웨어 이름 하나를 차단하는 방식이 아닌 침투와 확산에 반복적으로 활용되는 공격 방법과 경로를 줄이는 방향으로 방어 체계를 설계해야 한다.

주요 감염 경로와 공격 시나리오

랜섬웨어 감염을 사용자의 부주의만으로 설명하기는 어렵다. 피싱 이메일과 악성 첨부파일은 여전히 주요 유입 경로지만, 실제 공격은 취약한 원격 접속 환경, 계정 탈취, 미패치 시스템, 공급망 침해를 함께 활용하기 때문에 보안 교육만으로 막기 어렵다.

피싱 이메일과 악성 첨부파일

가장 흔한 감염 경로 중 하나는 피싱 이메일이다 공격자는 송장, 채용 서류, 견적서, 업무 안내문처럼 위장한 이메일을 보내 사용자가 첨부파일을 열거나 링크를 클릭하도록 유도한다. 이 과정에서 문서 매크로가 포함된 파일, 압축 파일, 실행 파일, 악성 링크 등을 이용해 악성코드를 유포한다. 탐지를 피하기 위해 정상 파일 공유 서비스 링크를 삽입하거나, 탈취한 계정으로 이메일을 보내 신뢰도를 높이기도 한다.

원격 접속 서비스와 계정 탈취

원격 데스크톱, VPN, 클라우드 관리 계정처럼 외부에서 접속할 수 있는 서비스는 공격자가 내부망에 침투하기 위해 자주 활용한다. 공격자는 외부에 노출된 원격 접속 서비스를 자동으로 탐색한 뒤 무차별 대입 공격을 시도하거나, 이미 확보한 계정 정보로 접속을 시도한다. 이 때 취약 또는 재사용된 비밀번호, 멀티팩터 인증 미적용, 지연된 장비 보안 업데이트는 공격자가 계정이나 시스템을 쉽게 장악할 수 있게 만든다.

미패치 시스템과 소프트웨어 취약점

소프트웨어 취약점도 랜섬웨어 감염에 자주 악용된다. 운영체제, 웹 서버, 파일 전송 솔루션, 보안 장비, 업무용 애플리케이션의 알려진 취약점을 제때 패치하지 않으면 공격자는 이를 이용해 시스템에 침투하거나 더 높은 권한을 확보할 수 있다. 신속한 패치 적용은 단순한 시스템 유지보수가 아니다. 랜섬웨어 공격자가 내부로 들어올 수 있는 통로를 줄이는 기본 보안 조치다.

공급망과 협력사 시스템을 통한 확산

공격 범위는 조직 내부에만 머물지 않는다. 공격자는 보안 수준이 상대적으로 낮은 협력사를 먼저 침해한 뒤, 협력사와 맺고 있는 업무 관계와 신뢰 경로를 악용해 최종 목표 조직으로 접근할 수 있다. 관리형 서비스 제공업체나 원격 유지보수 계정이 침해되면 여러 고객사가 동시에 영향을 받을 수도 있다. 이 때문에 랜섬웨어 대응 범위에는 내부 자산뿐 아니라 외부 연결, 위탁 운영 환경, 계정 권한 관리까지 포함되어야 한다.

랜섬웨어 감염 징후

랜섬웨어 감염은 암호화가 끝난 뒤에야 드러나는 경우가 많지만, 그 전 단계에서도 이상 징후가 나타난다. 보안팀은 단말, 서버, 네트워크, 계정 활동을 함께 확인해야 한다. 평소와 다른 대량 파일 변경, 비정상 로그인, 권한 상승, 보안 서비스 중지 이벤트는 랜섬웨어 공격을 의심할 수 있는 주요 신호다.

사용자는 파일 확장자가 낯선 형태로 바뀌거나 문서가 열리지 않는 현상을 먼저 확인하게 된다. 폴더마다 금전 요구 안내 파일이 생성되고, 갑자기 시스템 속도가 느려지거나 파일 저장과 열기 작업이 실패하기도 한다. 백신이나 보안 프로그램이 꺼지는 경우도 있다. 공유 폴더의 파일이 동시에 변경되고 있다면 이미 네트워크 확산이 진행 중일 수 있다.

관리자 관점에서는 더 넓은 범위의 신호를 봐야 한다. 짧은 시간 안에 많은 파일이 수정되거나 삭제되는 행위, 여러 서버에 대한 동시 접속, 평소 사용하지 않던 관리자 도구 실행, 백업 삭제 명령, 볼륨 섀도 복사본 제거, 로그 삭제 시도, 외부로의 대량 데이터 전송이 대표적이다. 이런 행위는 랜섬웨어 실행 직전이나 실행 중에 자주 관찰된다.

감염 징후를 빨리 찾으려면 단일 보안 장비의 알림만으로는 부족하다. 엔드포인트 탐지, 네트워크 트래픽 분석, 계정 행위 모니터링, 이메일 보안, 로그 통합 분석을 연결해 봐야 한다. 랜섬웨어는 여러 단계를 거쳐 움직이기 때문에 개별 이벤트보다 흐름을 읽는 것이 대응 속도를 좌우한다.

감염이 의심될 때의 초기 대응

랜섬웨어 감염이 의심되면 먼저 확산을 막아야 한다. 감염된 단말이나 서버를 네트워크에서 분리하고, 공유 폴더와 외부 저장장치 연결을 차단한다. 다만 전원을 끄는 것이 항상 최선은 아니다. 상황에 따라 메모리, 로그, 실행 중인 프로세스 정보가 사고 분석과 복구에 필요할 수 있다. 보안 담당자와 IT 운영 담당자는 사전에 정한 절차에 따라 격리 방식과 증거 보존 범위를 판단해야 한다.

백업 저장소도 즉시 보호해야 한다. 공격자가 아직 백업 영역에 접근하지 못했다면 연결을 제한하고, 백업 데이터의 무결성을 확인해야 한다. 랜섬웨어는 백업까지 암호화하거나 삭제하려고 시도한다. 운영망과 백업망이 충분히 분리되어 있지 않은 상태에서 감염 이후 백업을 급하게 연결하면, 정상 백업본까지 손상될 수 있다.

동시에 증거를 확보해야 한다. 랜섬노트, 감염 파일 샘플, 로그, 접속 기록, 계정 사용 내역, 네트워크 연결 정보는 공격 경로 파악과 재감염 방지에 필요하며 법적 대응, 보험 처리, 관계 기관 신고에도 쓰일 수 있다. 특히 침투 경로를 확인하지 않은 채 파일 복구에만 집중하면, 공격자가 같은 경로를 통해 다시 침투할 수 있다.

공격자가 요구한 금액을 지급할지 여부는 신중하게 검토해야 한다. 비용을 지불해도 복호화가 보장되지 않고, 탈취 데이터가 삭제된다는 보장도 없다. 결국 공격자에게 추가 수익을 제공해 공격 생태계를 유지시키는 결과가 될 수도 있다. 조직마다 법적, 운영적, 고객 영향이 다르므로 경영진, 법무, 보안, 외부 전문가, 관계 기관과 함께 판단해야 한다. 공격 직후 압박 속에서 섣불리 판단하지 않도록 사전 대응 기준을 마련해두는 것이 중요하다.

랜섬웨어 예방과 복구 체계

랜섬웨어 예방은 하나의 솔루션만으로 막을 수 없다. 공격자가 들어오기 어렵게 만들고, 들어오더라도 권한을 넓히지 못하게 하며, 일부 시스템이 침해되어도 전체 업무가 멈추지 않도록 설계해야 한다. 핵심은 백업, 계정 보호, 취약점 관리, 탐지 체계, 사고 대응 절차를 함께 운영하는 것이다.

Whitepaper

효과적인 랜섬웨어 대응 무엇이 필요한가?

백업과 복구 검증

가장 기본은 백업이다. 중요 데이터는 정기적으로 백업하고, 백업본은 운영 환경과 분리해야 한다. 오프라인 백업, 변경 불가능한 백업, 별도 권한 체계, 주기적인 복구 훈련이 필요하다. 백업이 있다는 사실보다 실제로 복구할 수 있는지가 더 중요하다.

백업이 랜섬웨어 피해 예방에 필수적이지만 데이터 유출 문제를 해결할 수 없다. 이중 갈취형 공격에서는 파일을 복구하더라도 이미 탈취된 정보가 외부에 공개될 수 있다. 따라서 중요 정보에 대한 접근 권한 관리와 외부 전송에 대한 탐지도 함께 이뤄져야 한다.

계정 보안과 권한 관리

관리자 권한은 최소화하고, 사용하지 않는 계정은 비활성화해야 한다. 원격 접속과 주요 시스템에는 다중 인증을 적용하고, 하나의 계정이 침해되더라도 전체 네트워크를 장악하지 못하도록 권한을 분리해야 한다. 특히 랜섬웨어 공격자는 권한이 높은 계정을 확보한 뒤 백업 삭제, 보안 도구 중지, 내부 확산을 시도하는 경우가 많기 때문에 도메인 관리자 계정, 백업 관리자 계정, 보안 장비 관리자 계정은 별도로 보호해야 한다.

취약점 관리와 패치 우선순위

알려진 취약점은 공격에 빠르게 활용될 수 있다. 모든 시스템을 즉시 패치하기 어렵다면 인터넷에 노출된 장비와 주요 업무 시스템부터 우선순위를 정해야 한다. 이 때 취약점 관리는 단순히 패치를 적용하는 것이 아닌 어떤 자산이 외부에 노출되어 있는지, 어떤 시스템이 업무에 큰 영향을 주는지, 패치가 어려운 경우 어떤 보완 통제를 적용할지까지 함께 판단해야 한다.

Article

랜섬웨어와 취약점 공격 대응! 필수 보안 체크리스트

이메일, 네트워크, 엔드포인트 보안

이메일, 네트워크, 엔드포인트 보안은 초기 침투와 실행을 막는다. 악성 첨부파일, 피싱 링크, 위장 도메인, 악성 스크립트를 차단하고, 의심 프로세스 실행이나 파일 대량 암호화 행위를 탐지해야 한다.

여기에 네트워크 분리, 중요 서버 접근 통제, 애플리케이션 제어, 로그 모니터링을 결합하면 공격자의 이동 경로를 좁힐 수 있다. 단일 보안 도구에만 의존하기보다 여러 보안 통제를 연동해 공격 단계를 끊는 방식이 필요하다.

사고 대응 절차와 사용자 교육

조직 차원의 대응 절차도 미리 정리해야 한다. 감염 의심 신고를 누가 받는지, 네트워크 분리는 누가 승인하는지, 백업 복구는 어떤 순서로 진행하는지, 외부 포렌식 지원은 언제 요청하는지 정해두지 않으면 사고 중 판단과 대응이 늦어질 수밖에 없다.

사용자 교육은 실제 업무 메일과 유사한 사례를 바탕으로 진행해야 한다. 의심스러운 첨부파일과 링크를 구분하는 방법뿐만 아니라, 의심 상황에서 누구에게 어떻게 신고할지도 안내해야 한다. 사용자를 탓하기보다 빠른 신고가 가능한 문화를 만드는 것이 랜섬웨어 확산을 줄이는 데 효과적이다.

랜섬웨어 대응의 목표는 모든 공격을 완벽히 막는 것이 아니다. 침해된 계정 하나가 전체 관리자 권한으로 이어지지 않게 하고, 한 부서의 파일 서버 침해가 전사 시스템 중단으로 번지지 않게 만드는 것이다. 피해 범위를 줄이고 정상 업무로 돌아갈 수 있는 준비가 되어 있을 때, 랜섬웨어에 대한 압박도 그만큼 줄어든다.

Article

랜섬웨어 보안, 어렵다면 이것부터 시작하자

Whitepaper

안랩의 랜섬웨어 통합 보안 전략

FAQ

안랩의 랜섬웨어 보안

안랩은 중소기업부터 OT 환경까지 다양한 환경의 엔드포인트, 이메일, 네트워크, 서버 전반에 통합 보안을 제공해 랜섬웨어의 유입과 실행, 내부 확산에 대응한다. 알려진 랜섬웨어는 시그니처 기반 기술로 신속하게 탐지 및 차단하고, 신·변종 위협은 샌드박스와 머신러닝, 행위 분석 기술을 활용해 악성 여부를 확인한다. 또한 네트워크에서 악성 IP와 웹사이트, 취약점 공격을 차단해 랜섬웨어의 주요 유입 경로를 보호한다.