문서의 각 단락이 어느 리비전에서 마지막으로 수정되었는지 확인할 수 있습니다. 왼쪽의 정보 칩을 통해 작성자와 수정 시점을 파악하세요.

랜섬웨어 대응 | |
정의 | 랜섬웨어 공격에 대비하고, 공격 발생 시 피해를 최소화하며 복구하기 위한 일련의 활동과 절차 |
주요 목표 | 감염 방지, 피해 확산 차단, 데이터 복원, 업무 연속성 유지 |
대응 단계 | 예방 → 탐지 → 대응 → 복구 |
핵심 대응 조직 | |
관련 법규/표준 | |
상세 대응 정보 | |
예방 조치 | |
탐지 방법 | 행위 기반 탐지(EDR), 네트워크 트래픽 분석, SIEM을 통한 이상 징후 모니터링 |
초동 대응 절차 | |
복구 절차 | 백업 데이터 검증 및 복원, 시스템 재구성, 취약점 재점검, 업무 연속성 계획(BCP) 실행 |
협력 기관 | |
데이터 복구 옵션 | 백업 복원, 랜섬웨어 복호화 툴 사용, 사이버 보험 청구 |
공유 대응 정보 | |
사후 조치 | 근본 원인 분석(RCA), 대응 계획 개선, 재발 방지 대책 수립 |
주요 도구 | 백업 솔루션, 엔드포인트 탐지 및 대응(EDR), 포렌식 툴킷, 사고 대응 플랫폼 |
대응 시 고려사항 | 몸값 지불 여부 결정, 법적/규제적 보고 의무, 고객/협력사 통지 |

랜섬웨어는 악성 소프트웨어(멀웨어)의 한 종류로, 사용자의 컴퓨터 시스템이나 파일을 암호화하여 접근을 불가능하게 만든 후, 이를 복구하기 위한 대가로 몸값(Ransom)을 요구하는 공격 방식이다. 'Ransom(몸값)'과 'Software(소프트웨어)'의 합성어에서 유래한 이 용어는 1989년 등장한 AIDS 트로이 목마가 최초의 사례로 알려져 있다[1].
초기에는 개인 사용자를 주로 표적으로 했으나, 현재는 기업, 병원, 정부 기관 등 중요한 인프라를 운영하는 조직을 대상으로 한 표적 공격이 빈번해지고 있다. 공격의 동기는 주로 경제적 이득이며, 비트코인과 같은 암호화폐를 통해 지불을 요구함으로써 추적을 어렵게 만든다. 랜섬웨어 공격은 단순한 기술적 침해를 넘어 운영 중단과 막대한 경제적 손실, 평판 훼손을 초래할 수 있는 심각한 사이버 위협으로 자리 잡았다.
랜섬웨어의 진화 형태로는 데이터를 암호화만 하는 전통적인 방식 외에도, 중요한 데이터를 탈취하여 공개하겠다고 협박하는 이중 협박(Double Extortion), 심지어 피해 조직의 고객이나 협력사까지 위협에 가담시키는 삼중 협박(Triple Extortion) 전략도 등장하고 있다. 이에 따라 현대의 랜섬웨어 대응은 단순한 복구를 넘어 예방, 탐지, 대응, 복구의 전 과정을 포괄하는 체계적인 접근이 필수적이다.

랜섬웨어는 일반적으로 두 단계의 주요 과정을 거쳐 피해를 입힌다. 첫 번째는 시스템에 침투하여 감염시키는 단계이고, 두 번째는 파일을 암호화하고 몸값을 요구하는 협박 단계이다. 이 과정은 자동화된 스크립트에 의해 빠르게 진행되어 사용자가 대응하기 전에 피해가 확대되는 경우가 많다.
랜섬웨어는 다양한 경로를 통해 유포된다. 가장 흔한 방법은 피싱 이메일을 통한 감염이다. 정상적인 기관이나 개인을 사칭한 이메일에 악성 첨부 파일을 포함시키거나, 링크를 클릭하도록 유도하여 사용자가 직접 멀웨어를 다운로드 및 실행하게 만든다. 또한 취약한 원격 데스크톱 프로토콜(RDP) 설정을 공격하거나, 악성 광고(맬버타이징)를 통해 드라이브 바이 다운로드 방식으로 침투하기도 한다. 일부는 다른 악성코드에 감염된 시스템을 통해 2차적으로 유입되기도 한다.
시스템에 성공적으로 침투한 랜섬웨어는 네트워크 드라이브나 연결된 외부 저장 장치를 포함해 접근 가능한 모든 중요 파일을 대상으로 암호화를 시작한다. 대칭키 암호화 방식을 사용하여 파일을 빠르게 암호화한 후, 그 대칭키를 공격자의 공개 키로 다시 암호화하여 시스템에 남겨둔다. 암호화가 완료되면 사용자가 접근할 수 있는 위치(예: 바탕화면)에 협박 메모(랜섬 노트)를 생성한다. 이 메모에는 파일이 잠겼다는 사실, 몸값 금액 및 지불 방법(주로 암호화폐), 그리고 지불 기한이 명시된다. 종종 기한을 넘기면 몸값이 상승하거나 파일이 삭제될 것이라고 위협하여 피해자를 압박한다.
랜섬웨어는 다양한 경로를 통해 시스템에 침투합니다. 가장 흔한 감염 경로는 피싱 이메일입니다. 공격자는 신뢰할 수 있는 기관이나 개인을 사칭한 이메일에 악성 첨부 파일을 포함시키거나, 유해한 URL 링크를 배치하여 사용자가 실행하도록 유도합니다. 첨부 파일은 매크로가 포함된 오피스 문서나 실행 파일(.exe, .scr 등) 형태를 띱니다. 링크를 클릭하면 사용자를 악성 웹사이트로 유도하여 드라이브 바이 다운로드 공격을 수행하거나, 직접 악성 코드를 다운로드하게 합니다.
또 다른 주요 경로는 원격 데스크톱 프로토콜(RDP)과 같은 원격 접속 서비스의 취약점을 악용하는 것입니다. 공격자는 약한 암호나 기본 자격 증명을 무차별 대입 공격(브루트 포스 어택)으로 탈취하거나, 해당 서비스의 알려진 보안 취약점을 이용해 인증 없이 시스템에 침입합니다. 이 방법은 특히 적절히 패치되지 않은 서버를 노립니다.
주요 감염 경로 | 설명 | 주의 대상 |
|---|---|---|
피싱 이메일 | 악성 첨부 파일 또는 유해 링크 포함 이메일 | 모든 사용자 |
취약한 원격 접속 서비스 | 시스템 관리자, 서버 | |
악성 광고(멀웨어 애드) | 합법적 웹사이트에 게재된 악성 광고를 통한 감염 | 웹 브라우저 사용자 |
소프트웨어 취약점 | 운영체제나 응용 프로그램의 보안 허점을 통한 침투 | 패치되지 않은 시스템 |
감염된 외부 매체 | USB 드라이브 등 이동식 저장 장치 | 물리적 접근이 가능한 시스템 |
웹 기반 공격도 중요한 감염 경로입니다. 멀웨어 애드는 합법적인 웹사이트에 게재된 광고 네트워크를 통해 악성 코드를 유포합니다. 사용자가 광고를 클릭하지 않아도 감염될 수 있습니다. 또한, 공격자는 인기 있는 소프트웨어의 제로데이 취약점이나 패치되지 않은 구형 취약점을 악용합니다. 이를 통해 사용자의 특별한 조치 없이도 시스템에 침투할 수 있습니다.
최근에는 공급망 공격(서플라이 체인 어택)이 증가하는 추세입니다. 공격자는 정당한 소프트웨어 업데이트 서버나 타사 공급업체의 네트워크를 먼저 해킹한 후, 해당 경로를 통해 최종 표적에게 악성 코드를 배포합니다. 이 방법은 신뢰받는 출처를 통해 전달되기 때문에 탐지하기 어렵고 대규모 감염을 일으킬 수 있습니다.
랜섬웨어는 시스템에 침투한 후, 사용자의 중요한 파일을 암호화하여 접근을 불가능하게 만드는 과정을 수행한다. 일반적으로 대칭키 암호화 방식이 사용되어 빠른 속도로 파일을 암호화하며, 암호화에 사용된 키는 공격자가 소유한 비대칭키 암호화 방식의 공개키로 다시 암호화된다. 이로 인해 피해자는 암호화된 파일을 직접 복호화할 수 없게 된다.
암호화가 완료되면, 공격자는 피해 시스템에 협박 메시지를 남긴다. 이 메시지는 일반적으로 바탕화면 배경을 변경하거나, 각 폴더에 텍스트 파일을 생성하는 방식으로 표시된다. 메시지에는 파일이 암호화되었으며, 복구를 위해서는 지정된 금액의 암호화폐를 지불해야 한다는 내용이 담겨 있다. 지불 방법과 연락처, 그리고 지불 기한이 명시되는 경우가 일반적이다.
몸값 지불 과정은 주로 토르 네트워크를 통해 접속하는 암호화된 웹사이트나 채팅 시스템을 통해 진행된다. 일부 공격자는 협상이 가능하다는 점을 강조하거나, 지불 기한을 넘기면 몸값이 인상되거나 파일이 영구 삭제될 것이라고 위협하기도 한다. 일부 랜섬웨어는 데이터 유출을 추가적으로 위협하며, 이중 협박을 통해 지불 압력을 높인다.
단계 | 주요 행위 | 목적 |
|---|---|---|
암호화 실행 | 파일 시스템 스캔 후 지정 확장자 파일 암호화 | 피해자의 데이터 접근 차단 |
협박 메시지 표시 | 화면 잠금 또는 안내 파일 생성 | 몸값 지불 요구 및 방법 전달 |
통신 채널 구축 | 토르 사이트 주소 또는 이메일 제공 | 피해자와의 협상 및 지불 관리 |
추가 위협 | 데이터 유출 또는 삭제 위협 | 지불에 대한 심리적 압박 가중 |

랜섬웨어 감염을 예방하기 위해서는 기술적 관리, 사용자 교육, 네트워크 통제를 포함한 다층적 접근이 필요하다. 이는 단일 솔루션에 의존하기보다 여러 방어선을 구축하여 위협을 사전에 차단하는 데 목적을 둔다.
시스템 및 소프트웨어 관리는 가장 기본적인 예방 수단이다. 운영체제와 모든 응용 프로그램을 최신 상태로 유지하여 알려진 취약점을 패치해야 한다. 특히 원격 데스크톱 프로토콜 서비스와 같은 외부에 노출된 서비스는 강력한 인증을 적용하거나 가상 사설망을 통한 접근으로 제한하는 것이 바람직하다. 또한 안티바이러스 소프트웨어나 엔드포인트 탐지 및 대응 솔루션을 설치하고 실시간 검사 및 정의 파일을 항상 최신으로 업데이트해야 한다.
사용자 교육 및 보안 인식 제고는 인간적 요소를 통한 감염 경로를 차단한다. 사용자에게 정기적으로 피싱 이메일이나 악성 웹사이트의 특징을 교육하고, 의심스러운 첨부 파일이나 링크를 클릭하지 않도록 훈련시켜야 한다. 또한 멀웨어 유포에 자주 이용되는 매크로 기능이 포함된 문서를 열 때의 주의사항과 강력한 비밀번호 사용의 중요성을 인지시켜야 한다.
네트워크 및 접근 통제 측면에서는 불필요한 네트워크 공유를 제한하고, 최소 권한 원칙에 따라 사용자 계정의 권한을 관리해야 한다. 중요한 데이터가 저장된 서버나 시스템에 대한 접근은 엄격하게 통제한다. 네트워크 세분화를 통해 한 구간에서 발생한 감염이 전체 네트워크로 확산되는 것을 방지할 수 있으며, 정기적인 침해 탐지 시스템 모니터링이 필요하다.
시스템 및 소프트웨어 관리는 랜섬웨어 예방의 핵심적인 기술적 기반을 구성한다. 이는 취약점을 최소화하여 공격자가 시스템에 침투할 수 있는 경로를 원천적으로 차단하는 것을 목표로 한다.
가장 기본적이면서도 효과적인 조치는 운영체제와 모든 응용 소프트웨어를 최신 상태로 유지하는 것이다. 공급업체는 보안 취약점이 발견될 경우 패치나 업데이트를 배포하며, 이를 신속하게 적용하지 않으면 알려진 취약점을 이용한 공격에 노출될 수 있다. 자동 업데이트 기능을 활성화하고, 정기적인 패치 관리 사이클을 수립하여 실행하는 것이 필수적이다. 특히 원격 데스크톱 프로토콜과 같은 외부에 노출된 서비스는 공격의 주요 표적이므로, 사용하지 않을 때는 비활성화하거나 강력한 접근 통제 뒤에 배치해야 한다.
악성코드 방지 소프트웨어와 방화벽의 적절한 구성 및 운영도 중요하다. 최신 시그니처를 갖춘 안티바이러스 솔루션은 일반적인 랜섬웨어 변종을 탐지할 수 있다. 또한 애플리케이션 화이트리스트 정책을 도입하여 승인된 프로그램만 실행되도록 제한하면, 알려지지 않은 악성 코드의 실행을 차단하는 데 효과적이다. 불필요한 서비스와 포트는 닫고, 네트워크를 세그먼트화하여 침해 사고 발생 시 확산을 억제할 수 있도록 인프라를 설계해야 한다.
관리 영역 | 주요 조치 | 목적 |
|---|---|---|
패치 관리 | 운영체제/응용프로그램 자동 업데이트, 정기적 패치 사이클 수립 | 알려진 취약점을 통한 공격 경로 차단 |
서비스 관리 | 불필요한 서비스(예: RDP) 비활성화, 외부 노출 최소화 | 공격 표면적 축소 |
보안 소프트웨어 | 최신 안티바이러스/EDR 솔루션 운영, 애플리케이션 화이트리스트 적용 | 악성 코드 실행 차단 및 탐지 |
네트워크 구성 | 방화벽 규칙 강화, 네트워크 세그먼테이션 구현 | 무단 접근 차단 및 침해 시 확산 방지 |
랜섬웨어 공격의 상당수는 피싱 이메일, 악성 웹사이트 접근, 소셜 엔지니어링 등 사용자의 실수나 보안 인식 부재를 통해 발생합니다. 따라서 조직 구성원을 대상으로 한 체계적인 교육은 가장 효과적인 예방 조치 중 하나입니다. 교육 프로그램은 랜섬웨어의 위협과 일반적인 감염 경로를 명확히 설명하고, 실질적인 예방 행동 수칙을 훈련하는 데 중점을 둡니다.
주요 교육 내용은 다음과 같습니다.
교육 주제 | 주요 내용 |
|---|---|
의심스러운 이메일 식별 | 발신처 확인, 링크/첨부파일 클릭 전 점검, 긴급성/위협을 조성하는 문구 주의 |
안전한 웹 서핑 | HTTPS 사이트 이용, 불필요한 플러그인/확장 프로그램 차단, 출처 불명의 팝업/광고 클릭 금지 |
비밀번호 및 인증 관리 | 강력한 비밀번호 사용, 다중 인증(MFA) 적용, 비밀번호 공유 금지 |
소프트웨어 설치 원칙 | 공식 채널을 통한 설치, 불필요한 소프트웨어 다운로드 금지, 관리자 권한 요구 시 주의 |
보고 절차 | 이상 징후(느려진 시스템, 알 수 없는 파일 확장자 등) 발견 시 즉시 IT 부서에 신고 |
교육은 일회성이 아닌 정기적으로 반복되어야 하며, 실제와 유사한 피싱 시뮬레이션 훈련을 통해 학습 효과를 강화할 수 있습니다. 시뮬레이션은 구성원의 취약점을 평가하고, 지속적인 보안 인식 수준을 관리하는 데 도움을 줍니다. 또한 교육 자료는 최신 공격 트렌드를 반영하여 지속적으로 업데이트해야 합니다.
최종적으로, 모든 구성원은 자신이 조직 사이버 보안의 첫 번째 방어선이라는 책임 의식을 가져야 합니다. 명확한 보안 정책과 함께 지속적인 교육 문화가 정착될 때, 랜섬웨어를 비롯한 다양한 사이버 위협으로부터의 예방 효과를 극대화할 수 있습니다.
네트워크를 세분화하여 DMZ와 내부 네트워크를 명확히 구분하는 것이 중요합니다. 서버와 중요한 데이터는 내부 네트워크에 격리하고, 외부 접근이 필요한 서비스는 DMZ에 배치하여 위험을 차단합니다. 또한, 최소 권한의 원칙에 따라 사용자와 시스템이 업무에 필요한 최소한의 네트워크 접근 권한만을 갖도록 통제합니다.
네트워크 접근 통제의 핵심 도구로는 방화벽과 침입 탐지 시스템(IDS), 침입 방지 시스템(IPS)이 있습니다. 방화벽은 미리 정의된 보안 규칙에 따라 네트워크 트래픽을 허용하거나 차단합니다. IDS/IPS는 네트워크를 모니터링하여 알려진 공격 패턴이나 비정상적인 행위를 탐지하고, IPS의 경우 실시간으로 차단 조치를 취할 수 있습니다.
통제 수단 | 주요 기능 | 예시 |
|---|---|---|
네트워크 분할 | 논리적/물리적 구역을 나누어 공격 확산 차단 | VLAN 구성, DMZ 구축 |
방화벽 | 정책 기반 네트워크 트래픽 필터링 | 애플리케이션 계층 방화벽(웹 애플리케이션 방화벽) |
IDS/IPS | 비정상 트래픽 탐지 및 차단 | 시그니처 기반 탐지, 이상 행위 탐지 |
접근 제어 목록 | 특정 IP/포트에 대한 접근 허용/거부 규칙 정의 | 원격 관리 포트(예: RDP, SSH) 접근 제한 |
원격 데스크톱 프로토콜(RDP)이나 가상 사설망(VPN)과 같은 원격 접근 서비스는 공격자의 주요 표적이 됩니다. 이러한 서비스에 대해서는 강력한 인증 방식(예: 다중 인증(MFA))을 적용하고, 접근 가능한 IP 대역을 엄격하게 제한해야 합니다. 불필요하게 열려 있는 네트워크 포트는 정기적으로 점검하여 차단하는 것이 좋습니다.

랜섬웨어 공격으로 인한 피해를 최소화하고 신속한 복구를 보장하기 위해서는 공격 발생 전에 철저한 대비 전략을 수립하고 실행하는 것이 중요하다. 이 전략의 핵심은 정기적인 백업과 체계적인 사고 대응 계획 수립이다.
정기적인 백업 정책은 가장 효과적인 사전 대비 수단이다. 백업은 3-2-1 원칙을 따르는 것이 권장된다. 즉, 최소 3개의 데이터 복사본을 2가지 다른 매체에 저장하고, 그 중 1부는 오프사이트 또는 오프라인 백업으로 보관한다. 백업 데이터는 정기적으로(예: 매일) 수행되어야 하며, 백업의 무결성과 복원 가능성을 주기적으로 검증해야 한다. 특히 네트워크에 직접 연결되지 않은 외부 저장장치나 클라우드 스토리지에 백업을 분리 저장하는 것은 랜섬웨어가 백업 파일까지 암호화하는 것을 방지하는 데 결정적이다.
사고 대응 계획 수립은 공격 발생 시의 혼란과 지체를 줄인다. 계획에는 명확한 역할과 책임, 의사결정 권한, 연락체계가 정의되어야 한다. 주요 단계는 일반적으로 다음과 같다.
단계 | 주요 활동 |
|---|---|
준비 | 대응팀 구성, 절차 문서화, 도구 준비, 교육/훈련 |
탐지 및 분석 | 사고 인지, 초기 평가, 영향 범위 분석 |
격리/근절 | 감염 시스템 격리, 악성 코드 제거 |
복구 | 백업을 통한 시스템/데이터 복원, 운영 재개 |
사후 활동 | 교훈 도출, 계획 개선, 필요 시 법적 대응 |
이 계획은 실제 시뮬레이션이나 모의 훈련을 통해 검증되고 정기적으로 업데이트되어야 한다. 또한, 사고 대응 계획에는 외부 전문가(예: 포렌식 전문가, 법률 자문, 보험사)에 대한 연락처와 협력 절차도 포함하는 것이 유용하다.
백업은 랜섬웨어 공격으로부터 데이터를 복구할 수 있는 가장 효과적인 방법 중 하나이다. 정기적이고 체계적인 백업 정책을 수립하고 실행하는 것은 사전 대비의 핵심 요소이다.
백업 정책은 3-2-1 원칙을 따르는 것이 권장된다. 이는 최소 3개의 데이터 사본을, 2가지 다른 매체에 저장하고, 그 중 1개는 오프사이트 또는 클라우드에 보관하는 것을 의미한다[2]. 백업 빈도는 데이터의 중요성과 변경 빈도에 따라 결정되며, 매일 또는 실시간에 가까운 증분 백업이 이상적이다. 특히 중요한 것은 백업 데이터를 읽기 전용 상태로 보호하거나, 백업 시스템을 공격자가 접근할 수 없는 별도의 네트워크 세그먼트에 격리하는 것이다. 랜섬웨어는 네트워크를 통해 연결된 백업 드라이브까지 암호화할 수 있기 때문이다.
백업의 정기적인 검증과 복구 훈련은 정책의 실효성을 보장한다. 백업 파일이 정상적으로 생성되었는지 주기적으로 점검하고, 실제로 데이터를 복원하는 테스트를 정기적으로 수행해야 한다. 백업 매체의 수명과 호환성도 관리 대상에 포함시켜, 오래된 백업 매체를 교체하는 주기를 명시해야 한다. 효과적인 백업 정책은 단순히 데이터를 복사하는 것을 넘어, 공격 발생 시 신속하고 완전한 복구를 가능하게 하는 체계를 마련하는 것이다.
사고 대응 계획은 조직이 랜섬웨어 공격을 포함한 보안 사고에 체계적으로 대응하기 위한 절차와 역할, 자원을 정의한 문서이다. 효과적인 계획은 피해를 최소화하고 복구 시간을 단축하는 데 핵심적이다.
계획 수립 시 먼저 사고 대응 팀을 구성하고 명확한 책임과 권한을 부여한다. 팀은 IT, 보안, 법무, 커뮤니케이션, 경영진 등 관련 부서의 대표로 이루어진다. 주요 단계별 대응 절차를 정의해야 하며, 일반적으로 준비, 탐지 및 분석, 격리/근절, 복구, 사후 활동의 단계로 구성된다[3]. 각 단계에서 수행할 구체적인 작업(예: 시스템 격리 방법, 내외부 통계 절차, 백업을 통한 복원 프로세스)을 상세히 기술한다.
계획 구성 요소 | 주요 내용 |
|---|---|
목적 및 범위 | 계획의 목표, 적용 대상 시스템 및 사고 유형 정의 |
사고 대응 팀 | 구성원, 연락처, 주요 역할과 책임 명시 |
대응 절차 | 사고 탐지부터 복구에 이르는 단계별 상세 작업 지침 |
통신 계획 | 내부 직원, 고객, 협력사, 언론, 관계 기관에 대한 통보 절차 |
훈련 및 테스트 | 정기적인 훈련 시행과 계획의 유효성 검증 방법 |
계획은 문서로만 존재해서는 안 되며, 정기적인 훈련과 모의 훈련을 통해 팀의 숙련도를 높이고 계획의 실효성을 점검해야 한다. 또한 사고 발생 시 신속하게 참조할 수 있도록 항상 접근 가능한 상태로 유지하고, 발생한 사고의 교훈을 바탕으로 지속적으로 개정하는 것이 중요하다.

랜섬웨어 감염이 확인되면 신속한 초기 대응이 피해 확산을 막고 복구 시간을 단축하는 데 결정적 역할을 한다. 대응 절차는 일반적으로 격리, 평가, 복구의 단계를 따른다.
첫 번째 단계는 초기 격리 및 확산 방지이다. 감염된 시스템은 즉시 네트워크에서 물리적으로 또는 논리적으로 분리해야 한다. 유선 네트워크 케이블을 분리하거나, Wi-Fi 및 블루투스를 비활성화하는 것이 일반적이다. 동시에, 공유 네트워크 드라이브나 클라우드 스토리지에 대한 접근을 차단하여 암호화가 다른 시스템이나 백업 데이터로 전파되는 것을 막아야 한다. 내부 네트워크에서의 이동을 차단하기 위해 방화벽 규칙을 변경하거나, 스위치 포트를 비활성화하는 조치도 고려된다.
다음으로 피해 평가 및 증거 수집을 실시한다. 감염 범위(영향을 받은 시스템, 사용자 계정, 파일 유형 및 데이터 양)를 신속히 파악한다. 랜섬웨어의 종류(예: 락빗, 콘티)와 버전을 식별하기 위해 남겨진 협박 메모(랜섬 노트) 파일명, 암호화된 파일의 확장자, 연락처(이메일 또는 토르 사이트 주소) 등을 기록한다. 이 정보는 복호화 가능성 조사나 법적 대응에 활용된다. 시스템 로그, 메모리 덤프, 감염된 파일 샘플 등을 안전한 외부 매체에 보관하여 사고 원인 분석을 위한 증거로 삼는다.
마지막 단계는 복구 및 시스템 복원이다. 사전에 준비된 깨끗한 백업에서 시스템과 데이터를 복원하는 것이 가장 안전한 방법이다. 백업 미디어가 네트워크에 연결되지 않았고 감염되지 않았는지를 반드시 확인해야 한다. 사용 가능한 공식 디크립터(복호화 도구)가 있는지, 노모어랜섬 프로젝트 등의 사이트에서 확인한다. 복구 후에는 감염 경로를 분석하여 취약점을 패치하고, 모든 시스템에 대한 강제 패스워드 변경 등 추가 보안 조치를 적용하여 재감염을 방지한다.
감염이 확인되면 가장 우선적으로 취해야 하는 조치는 랜섬웨어의 추가 확산을 차단하기 위해 감염된 시스템을 네트워크에서 격리하는 것이다. 이를 위해 감염된 컴퓨터나 서버의 유선/무선 네트워크 연결을 즉시 물리적으로 차단하거나, 네트워크 스위치 포트를 비활성화한다. 가상 환경이라면 해당 가상 머신의 네트워크 어댑터를 연결 해제한다.
동시에, 동일 네트워크 세그먼트에 위치한 다른 시스템들, 특히 파일 공유나 원격 관리 프로토콜을 사용하는 시스템에 대한 접근을 차단해야 한다. 공유 폴더나 네트워크 드라이브 매핑을 해제하고, 가능하다면 내부 방화벽 규칙을 통해 감염 시스템의 모든 아웃바운드/인바운드 트래픽을 차단하는 것이 바람직하다. 이 단계에서는 감염 범위를 정확히 파악하기 전이므로, 신속한 격리 조치가 추가적인 데이터 암호화를 막는 데 결정적이다.
격리 조치 | 수행 방법 | 주의사항 |
|---|---|---|
네트워크 격리 | 랜 케이블 분리, Wi-Fi 비활성화, 스위치 포트 차단 | 시스템 종료는 증거 손실 가능성이 있으므로 신중히 판단[4] |
내부 접근 차단 | 공유 폴더 접근 권한 해제, 관리자 계정 암호 임시 변경 | 다른 정상 시스템의 자동 로그인 세션 등을 통해 전파될 수 있음 |
계정 격리 | 감염 시스템에서 사용된 도메인/로컬 계정 암호 즉시 변경 | 동일 자격증명을 사용하는 다른 시스템의 보안을 위해 필수 |
격리 후에는 초기 대응 팀이 사고의 범위와 영향을 신속하게 평가하기 시작한다. 이 과정에서 감염된 시스템의 로그(시스템, 응용 프로그램, 보안 로그)를 검토하고, 메모리 덤프를 확보하며, 암호화된 파일의 유형과 랜섬 노트의 내용을 기록한다. 이러한 정보는 이후 사고 대응 단계와 포렌식 분석, 그리고 필요한 경우 디크립터 탐색에 중요한 근거가 된다.
감염이 확인되면 신속하게 피해 범위와 영향을 평가해야 한다. 이 과정은 랜섬웨어의 유형, 암호화된 데이터의 중요성, 비즈니스 연속성에 미치는 영향을 파악하는 데 필수적이다. 시스템 로그, 네트워크 트래픽 데이터, 감염된 시스템의 샘플을 분석하여 공격 벡터와 침투 지점을 식별한다. 영향을 받은 사용자 계정, 서버, 워크스테이션, 그리고 클라우드 스토리지나 NAS와 같은 공유 저장 장치까지 조사 범위를 확장해야 한다.
동시에 법적 대응이나 향후 재발 방지를 위한 디지털 포렌식 증거 수집을 시작한다. 주요 활동은 다음과 같다.
감염된 시스템의 메모리 덤프 및 디스크 이미징
랜섬 노트 파일, 암호화된 파일 샘플, 공격자가 사용한 실행 파일 보존
감염 시간대의 시스템 및 응용 프로그램 이벤트 로그 확보
이 모든 작업은 시스템을 재부팅하거나 정리하는 과정에서 증거가 손상되지 않도록 주의하며 수행해야 한다. 수집된 증거는 공격자의 TTPs를 분석하고, 동일한 위협에 노출된 다른 시스템을 찾는 데 활용되며, 필요한 경우 사법 기관에 제출될 수 있다.
감염이 확인되고 초기 격리 및 피해 평가가 완료되면, 백업 데이터를 활용한 시스템 복원 작업을 시작한다. 이 단계의 핵심 목표는 정상적인 업무 운영을 최대한 빠르게 재개하는 동시에, 재감염 가능성을 차단하는 것이다. 우선 순위에 따라 핵심 업무 시스템부터 복원하며, 백업 데이터의 무결성을 사전에 검증하는 것이 중요하다.
복원 작업은 사전에 수립된 사고 대응 계획에 따라 진행된다. 일반적으로 다음과 같은 단계를 따른다.
단계 | 주요 활동 | 고려 사항 |
|---|---|---|
환경 정리 | 감염된 시스템을 완전히 초기화(포맷)하고 운영체제를 깨끗한 상태로 재설치한다. | 기존의 감염된 시스템을 그대로 사용하지 않는다. |
백업 검증 | 복원에 사용할 백업의 생성 시점과 무결성을 확인한다. | 백업 생성 시점이 감염 이전인지, 백업 파일 자체가 암호화되지 않았는지 점검한다. |
데이터 복원 | 검증된 백업 데이터를 새로 구축한 시스템에 복원한다. | 애플리케이션과 데이터의 일관성을 유지하며 복원한다. |
보안 패치 적용 | 운영체제 및 모든 응용 프로그램에 대한 최신 보안 패치를 적용한다. | 감염에 이용된 취약점이 패치되었는지 반드시 확인한다. |
접근 자격 증명 재설정 | 복원된 시스템과 관련된 모든 관리자 및 사용자 계정의 암호를 강력한 새 암호로 변경한다. | 도난당했을 가능성이 있는 자격 증명의 재사용을 방지한다. |
복원이 완료된 후에는 철저한 테스트를 통해 시스템의 정상 작동과 데이터의 완전성을 확인해야 한다. 또한, 복원 과정과 테스트 결과를 문서화하여 향후 사고 대응 절차를 개선하는 데 활용한다. 모든 복원 작업이 끝나더라도, 해당 사고의 근본 원인을 분석하고 추가적인 예방 조치를 강화하지 않으면 유사한 공격에 다시 노출될 수 있다[5].

엔드포인트 탐지 및 대응(EDR)은 랜섬웨어 공격을 실시간으로 탐지하고 차단하는 핵심 도구이다. EDR 솔루션은 엔드포인트에서의 이상 행위, 예를 들어 파일의 대량 암호화 시도, 의심스러운 프로세스 실행, 레지스트리 변경 등을 지속적으로 모니터링한다. 사전 정의된 행위 기반 정책이나 머신 러닝 기반의 이상 탐지 기술을 통해 악성 활동을 식별하면, 즉시 프로세스를 차단하거나 격리하여 피해를 최소화한다. 또한 공격 사슬을 추적하고 근본 원인을 분석하는 데 필요한 상세한 포렌식 데이터를 제공한다.
랜섬웨어에 감염된 후에는 디크립터(복호화 도구)를 사용하여 데이터를 복구할 수 있는 경우가 있다. 일부 랜섬웨어 제작자는 취약점을 노출하거나, 법 집행 기관의 작전으로 인해 암호화 키가 유출되기도 한다. 보안 업체나 사이버보안 연구 기관은 이러한 키를 바탕으로 무료 디크립터를 개발하여 공개한다. 주요 디크립터 제공처는 다음과 같다.
제공처 | 설명 |
|---|---|
노모어랜섬 프로젝트 | 유럽 경찰 기구인 유로폴과 보안 업체가 협력하여 운영하는 디크립터 포털이다. |
국제 사이버보안 업체 | 카스퍼스키, ESET, 아비라 등 주요 보안 업체들이 자체 연구를 통해 디크립터를 제공한다. |
디크립터 사용은 감염된 랜섬웨어 변종을 정확히 식별하는 것에서 시작한다. 잘못된 도구를 사용하면 데이터가 추가로 손상될 수 있다. 또한 모든 랜섬웨어에 대한 디크립터가 존재하는 것은 아니며, 특히 최신 변종은 복구가 어려운 경우가 많다. 따라서 디크립터는 예방과 백업을 대체할 수 없는 최후의 수단으로 간주해야 한다.
엔드포인트 탐지 및 대응(EDR)은 랜섬웨어와 같은 고급 지속적 위협(APT)을 포함한 다양한 사이버 공격을 탐지하고 대응하기 위한 핵심 보안 솔루션이다. EDR은 네트워크의 각 단말기(엔드포인트)에 에이전트를 설치하여 실시간으로 시스템 활동을 모니터링하고, 의심스러운 행위를 분석하며, 위협이 확인될 경우 자동화된 방식으로 대응한다. 이는 전통적인 안티바이러스 소프트웨어가 패턴 기반 탐지에 주로 의존하는 것과 달리, 행위 기반 분석과 머신 러닝을 활용하여 알려지지 않은 위협(Zero-day)까지 탐지할 수 있게 한다.
EDR의 주요 기능은 지속적인 모니터링, 위협 탐지, 사고 대응의 세 가지로 구분된다. 모니터링 단계에서는 프로세스 실행, 레지스트리 변경, 네트워크 연결, 파일 시스템 활동 등 엔드포인트에서 발생하는 모든 이벤트 데이터를 중앙 관리 콘솔로 수집한다. 탐지 단계에서는 수집된 데이터를 분석하여 일반적이지 않은 패턴, 예를 들어 대량의 파일 암호화 시도, 알려진 랜섬웨어 그룹의 커맨드 앤 컨트롤(C2) 서버와의 통신, 권한 상승 행위 등을 식별한다. 대응 단계에서는 탐지된 위협을 자동으로 격리하거나, 악성 프로세스를 종료하며, 관리자에게 경고를 발송하는 등의 조치를 취한다.
랜섬웨어 공격에 효과적으로 대응하기 위해서는 EDR 솔루션의 올바른 구성과 운영이 필수적이다. 주요 구성 요소와 고려사항은 다음과 같다.
구성 요소 | 설명 및 고려사항 |
|---|---|
에이전트 배포 | 조직 내 모든 엔드포인트(서버, 워크스테이션, 노트북)에 에이전트를 설치하여 보호 범위의 공백을 최소화해야 한다. |
정책 설정 | 랜섬웨어의 일반적인 행위(파일 암호화, 확장자 변경)를 탐지할 수 있도록 행위 기반 정책을 세밀하게 구성한다. |
통합 및 상관관계 분석 | SIEM(보안 정보 및 이벤트 관리) 시스템이나 다른 네트워크 보안 도구와 통합하여 다각적인 위협 인텔리전스를 확보한다. |
자동화된 대응 | 위협이 확인되면 즉시 네트워크에서 해당 엔드포인트를 격리하거나 악성 프로세스를 차단하는 자동화 플레이북을 설정한다. |
포렌식 데이터 수집 | 공격 시퀀스를 재구성하고 피해 범위를 평가하기 위해 상세한 로그와 포렌식 아티팩트를 보존한다. |
EDR은 사전 예방과 사후 대응 모두에서 중요한 역할을 한다. 공격 초기 단계에서 랜섬웨어의 암호화 프로세스를 차단함으로써 피해를 방지하거나 최소화할 수 있다. 또한, 공격이 성공한 후에도 EDR이 수집한 상세한 로그는 공격 경로 분석, 취약점 파악, 향후 재발 방지를 위한 근본 원인 분석에 결정적인 자료가 된다. 따라서 현대적인 랜섬웨어 대응 체계에서 EDR은 필수적인 기술적 기반이 된다.
디크립터는 특정 랜섬웨어 변종에 의해 암호화된 파일을 복호화하는 데 사용되는 전용 도구이다. 일부 보안 기업, 법 집행 기관, 또는 보안 연구자들이 개발하여 무료로 배포한다. 디크립터의 존재는 해당 랜섬웨어의 암호화 구현에 결함이 있거나, 제작자들이 사용한 암호화 키가 유출되었을 때 가능하다. 예를 들어, 초기 버전의 크립토로커나 일부 취약한 알고리즘을 사용한 랜섬웨어의 경우 효과적인 디크립터가 존재한다.
사용 가능한 디크립터의 존재 여부와 적용 가능성은 피해를 입은 랜섬웨어의 정확한 변종에 크게 의존한다. 주요 보안 벤더들은 자신들의 웹사이트에서 제공하는 디크립터 탐색 도구를 운영하며, 피해자는 암호화된 파일 샘플을 업로드하거나 랜섬 노트의 정보를 입력하여 사용 가능한 복호화 도구를 확인할 수 있다. 대표적인 서비스로는 노모어랜섬 프로젝트[6]나 ESET, 카스퍼스키, 아비라 등 주요 보안 회사들의 전용 페이지가 있다.
디크립터를 사용할 때는 주의가 필요하다. 먼저, 감염된 시스템을 네트워크에서 격리한 후 사용해야 하며, 도구를 실행하기 전에 암호화된 파일의 백업 복사본을 만드는 것이 좋다. 잘못된 디크립터를 사용하면 파일이 영구적으로 손상될 수 있다. 또한, 모든 랜섬웨어에 대한 디크립터가 존재하는 것은 아니며, 특히 최신 랜섬웨어-as-a-Service 기반의 강력한 변종들에 대해서는 복호화가 사실상 불가능한 경우가 많다. 따라서 디크립터는 예방과 백업에 기반한 종합적인 대응 전략의 일부로만 고려되어야 한다.

랜섬웨어 감염 사고 발생 시, 피해 조직은 법적 절차를 준수하고 협상에 관한 위험을 충분히 인지한 후 결정을 내려야 한다. 대부분의 국가에서는 사이버 범죄 수사 기관에 사건을 신고할 의무가 있으며, 이는 범죄자 추적과 향후 유사 사고 방지에 기여한다.
고려 사항 | 주요 내용 | 참고 |
|---|---|---|
범죄 신고 | 신고는 법적 의무일 수 있으며, 보험 처리에 필요할 수 있다. | |
몸값 지불 | 암호화폐로 요구되는 금액을 지불하는 행위. | 지불해도 복호화 키를 받는다는 보장이 없으며, 재공격 대상이 될 수 있다. 범죄 조직을 자금 지원하게 된다. |
협상 | 전문 사이버 보험사나 협상 대행사를 통해 진행될 수 있다. | 직접 협상은 위험하며, 오히려 취약점을 노출할 수 있다. |
몸값을 지불하는 것은 일반적으로 권장되지 않는다. 이는 범죄 행위에 대한 경제적 인센티브를 제공하여 사이버 범죄 생태계를 조장할 뿐만 아니라, 지불 후에도 데이터가 복구된다는 보장이 없기 때문이다. 또한 동일 조직이 풍부한 자금을 가진 표적으로 인식되어 재공격을 받을 가능성이 높아진다. 일부 국가에서는 특정 유형의 조직(예: 중요 인프라 기관)에 대해 몸값 지불을 금지하는 법안을 마련하고 있다.
사고 후에는 법적 자문을 받고, 관련 데이터 유출 가능성에 따라 개인정보 보호법 및 정보통신망법 등에 따른 추가적인 신고 의무가 발생할 수 있는지 확인해야 한다. 데이터 백업이 확실하고 복구 계획이 잘 수립되어 있다면, 몸값 지불 없이도 시스템을 복원하는 것이 가장 안전한 장기적 대응책이다.
랜섬웨어 공격을 당한 조직은 즉시 관할 사이버수사대 또는 국가사이버안보센터에 신고해야 한다. 많은 국가에서 사이버 범죄 신고는 법적 의무 사항이며, 조기 신고는 수사 기관의 신속한 대응과 추가 피해 방지에 도움을 준다. 신고 시에는 감염 시점, 발견 경로, 영향을 받은 시스템의 규모와 종류, 협박 메시지의 내용 및 요구 금액 등 가능한 한 상세한 정보를 제공하는 것이 중요하다.
신고 절차는 일반적으로 다음과 같은 단계를 거친다. 먼저, 내부 포렌식 증거 수집 과정에서 변경되거나 손상될 수 있는 휘발성 데이터를 우선적으로 보존한다. 이후 해당 국가의 공식 사이버 범죄 신고 포털(예: 한국의 사이버폴리스센터)을 통해 온라인 신고를 하거나, 전화를 통해 초기 지침을 받는다. 수사 기관은 신고 접수 후 초동 대응을 시작하며, 경우에 따라 디지털 포렌식 전문가를 파견하여 증거를 확보하기도 한다.
신고처 | 주요 역할 | 연락처/홈페이지 (예시) |
|---|---|---|
국가사이버안보센터(NCSC) | 국가 차원의 사이버 위협 분석, 대응 조정, 경보 발령 | 118 (한국) |
랜섬웨어 등 사이버 범죄에 대한 수사 및 범인 검거 | 지역 경찰청 사이버수사계 또는 사이버폴리스센터 | |
한국인터넷진흥원(KISA) | 취약점 점검, 상담 지원, 복호화 도구 배포 지원 |
수사 기관에 신고하는 것은 범죄자 검거와 공격 동향 파악에 기여할 뿐만 아니라, 해당 랜섬웨어 변종에 대한 디크립터(복호화 도구)의 존재 여부를 확인받을 수 있는 중요한 경로가 된다. 또한, 공격이 개인정보보호법 위반 사고로 이어질 경우, 관할 개인정보보호위원회에 추가로 신고해야 할 의무가 발생할 수 있다[8].
몸값을 지불하는 행위는 사이버 범죄 조직의 사업 모델을 지속시키고 재정적으로 지원하는 결과를 초래합니다. 이는 동일한 공격자나 다른 공격자들에게 표적이 될 가능성을 높이며, 전반적인 랜섬웨어 위협을 증가시키는 요인이 됩니다. 또한 몸값 지불 기록은 공격자들의 데이터베이스에 남아 향후 재공격의 대상이 될 수 있습니다.
몸값 지불 후에도 데이터가 복구된다는 보장은 없습니다. 공격자들은 복호화 키를 제공하지 않거나, 제공된 키가 제대로 작동하지 않을 수 있습니다. 일부 경우에는 데이터를 복구한 후에도 이미 유출된 데이터를 삭제하지 않고 다크 웹에서 판매하거나 추가 협박의 수단으로 이용하기도 합니다.
몸값 지불은 법적 및 규제적 위험을 동반합니다. 일부 국가에서는 랜섬웨어 공격자에게 자금을 지급하는 행위를 특정 제재 대상 단체에 대한 자금 지원으로 간주하여 법적 제재를 가할 수 있습니다. 또한 기업의 경우 몸값 지출 사실이 공개될 경우 신뢰도 하락과 주가 폭락 같은 심각한 평판 손실을 겪을 수 있습니다.
위험 요소 | 주요 내용 |
|---|---|
범죄 조장 | 공격자의 경제적 동기를 부여하여 공격을 지속시킴 |
데이터 복구 불보장 | 복호화 키 미제공 또는 키 오류 가능성 존재 |
이중 협박 | 데이터 유출 후 추가 금품 요구 가능성 |
법적 제재 | 제재 대상 단체에 대한 자금 지원으로 간주될 위험 |
평판 손실 | 몸값 지불 사실 공개 시 기업 신뢰도 하락 |
따라서 대부분의 사이버 보안 기관과 법 집행 기관은 몸값 지불을 권장하지 않으며, 사전 예방과 정기적인 백업, 그리고 공식적인 복구 채널을 통한 대응을 강조합니다.
