Nova 랜섬웨어 사중 협박과 한국 조직의 대응 아키텍처

대구대학교와 URG 사례가 보여 준 Nova의 압박 방식

2026년 5월 Nova 랜섬웨어 그룹은 대구대학교 AI학과와 코스메틱 OEM 기업 URG(주)를 공격했다. 이 사건에서 문제는 파일 암호화만이 아니었다. 데이터 유출 협박, DDoS, 파트너·고객·규제기관을 향한 제3자 압박까지 결합한 사중 협박이 국내 조직에도 적용될 수 있음을 드러냈다.

복호화 키를 확보하는 일만으로는 사고가 끝나지 않는다. 암호화 전에 데이터가 외부로 나갔다면 유출 피해와 고지 의무는 남고, 복구 과정에 DDoS가 더해지면 대응 조직의 작업 자체가 흔들린다. 랜섬웨어 대응은 침투 탐지부터 법무·커뮤니케이션까지 이어지는 다층 구조로 다뤄야 한다.

RALord에서 Nova로 이어진 RaaS 운영

Nova는 2025년 3월 말 RALord라는 이름으로 처음 모습을 드러낸 뒤, 같은 해 4월 Nova로 리브랜딩했다. 2025년 12월에는 내부 폭로와 운영 정보 유출을 겪었고, 2026년 초에는 5개 대륙에서 86개 이상의 피해 조직을 확보한 중견 위협 행위자로 성장했다.

운영 방식은 RaaS(Ransomware-as-a-Service)다. 어필리에이트가 수익의 85%를, 플랫폼 운영자가 15%를 가져간다. 기술력이 낮은 공격자도 플랫폼을 이용해 공격을 실행할 수 있는 구조가 피해 범위를 넓히는 배경이 된다.

구성 요소	세부 내용
페이로드 변종 1	어필리에이트용 — `.nova` 확장자 추가
페이로드 변종 2	프리미엄 Rust 기반 — `.RALord` / `.ralord` 확장자
지원 플랫폼	Windows, Linux, VMware ESXi
초기 침투 벡터	VPN/RDP 크리덴셜 탈취, 크리덴셜 스터핑, Initial Access Broker(IAB) 구매
DLS 기능	AI 에이전트 통합, 보안 우회 방법 공개 보고서

Nova의 Data Leak Site(DLS)는 유출 데이터를 공개하는 공간에 그치지 않는다. 피해 조직이 사용한 보안 제품과 우회 방법을 상세히 설명하는 보고서도 게시한다. 이는 해당 조직뿐 아니라 그 보안 체계를 신뢰한 고객과 파트너를 함께 압박하는 방식이다.

Nova는 CIS(독립국가연합) 국가를 공격하지 않는다는 규칙을 표방한다. 다만 2026년 초 이 규칙을 위반한 어필리에이트를 공개 제재한 사례가 있어, 내부 통제 메커니즘이 운영되고 있음도 확인됐다.

대구대학교 AI학과(daegu.ac.kr)는 2026년 5월 29일 민감 데이터 유출 협박을 받았다. 교육기관에는 학생 개인정보, 연구 데이터, AI 모델 관련 지적재산이 있어 공격 대상이 됐을 가능성이 높다. URG(urg.co.kr)는 2026년 5월 17일 공격을 받았으며, B2B 공급망 특성상 고객사 브랜드 데이터와 제조 공정 정보를 보유한다. 공격자는 이 데이터를 고객사에 대한 제3자 압박 수단으로 활용할 수 있다.

암호화 이후에도 이어지는 사중 협박 체인

사중 협박은 2020년대 초반의 이중 협박(암호화+유출)에서 출발했다. 2023~~2024년에는 DDoS가 더해진 삼중 협박이 나타났고, 2025~~2026년에는 제3자 압박까지 결합한 모델로 확대됐다.

⤢✕

Rust 기반 프리미엄 변종은 탐지 회피를 위한 난독화 기술을 적용하고 VMware ESXi 환경도 겨냥한다. VSS(Volume Shadow Copy) 삭제는 표준 절차이며, 운영체제 수준의 백업을 무력화하는 데 쓰인다.

여기서 중요한 점은 암호화 시점에는 데이터 유출이 이미 끝났을 수 있다는 사실이다. 복호화 키를 받더라도 유출 문제까지 해소되지는 않는다.

DLS는 피해 조직별 페이지에서 유출 데이터 샘플과 협상 시한을 카운트다운으로 제시한다. 보안 우회 방법 보고서는 해당 솔루션을 신뢰한 외부 이해관계자에게도 불안을 전파한다.

DDoS는 가용성만 노린 공격이 아니다. 웹 서버, API 게이트웨이, 원격 접속 인프라를 압박해 사고 대응팀의 복구 작업을 방해한다. 복구 시간이 길어질수록 비즈니스 손실과 협상 압박은 함께 커진다.

제3자 압박 단계에서는 고객, 파트너, 규제기관, 언론에 직접 피해 사실을 알린다. 2023년 ALPHV/Black Cat이 미국 SEC에 피해 기업의 미신고를 제보한 사례가 선례다. URG처럼 공급망에 위치한 기업은 고객사 브랜드가 제조 비밀과 원료 정보의 유출 가능성을 인지하는 순간 계약 관계 재검토라는 추가 압박에 직면할 수 있다.

유출 탐지를 암호화 대응보다 앞에 둔다

랜섬웨어 대응에서 DLP(Data Loss Prevention)는 암호화 이후의 보조 통제가 아니다. 데이터 유출이 암호화보다 먼저 발생할 수 있으므로, 외부 반출을 탐지하고 차단하는 DLP는 예방 통제의 핵심이 된다.

⤢✕

탐지 시그니처	임계값	대응 행동
단시간 대용량 외부 전송	100MB/10분 이상	차단 + 즉시 알림
비업무 시간대(22:00~06:00) 외부 전송	10MB 이상	차단 + 보안팀 SMS
알 수 없는 외부 IP로 압축 파일 전송	탐지 즉시	세션 종료 + 격리
중요 데이터 폴더 대량 액세스	1분 내 500개 파일 이상	사용자 세션 종료
C2 IP/도메인 통신	CTI 피드 매칭	즉시 차단 + 격리

UEBA(User and Entity Behavior Analytics)도 이 흐름에 연결돼야 한다. 정상 사용자의 행동 기준선을 학습하고, 탈취된 자격 증명으로 공격자가 정상 계정처럼 움직이는 패턴을 찾아야 한다.

DDoS 상황에서도 복구를 계속할 수 있는 경로

사중 협박에서 DDoS는 침해 대응을 방해하기 위한 전술적 공격이다. 따라서 DDoS 방어를 별도 가용성 체계로만 운영하면 안 되고, CIRT의 격리·포렌식·복구 절차와 결합해야 한다.

⤢✕

OOB(Out-of-Band) 관리망은 사전에 준비해야 한다. 랜섬웨어가 주 네트워크를 장악하고 DDoS가 외부 통신을 차단하는 상황에서도 보안팀이 독립 경로를 통해 대응을 이어갈 수 있어야 한다.

KT, SKT, LG U+ 등 국내 ISP의 DDoS 방어 서비스와 Cloudflare, AWS Shield 같은 클라우드 DDoS 방어 서비스는 사전 계약과 활성화 절차 훈련이 필요하다.

백업은 공격자가 닿지 않는 복구 수단이어야 한다

현대 랜섬웨어는 온라인 연결 상태의 백업을 우선적으로 노린다. Qilin과 Nova 모두 Veeam 백업 서버를 주요 공격 대상으로 삼는 TTPs가 확인됐다. 3-2-1-1 백업 규칙은 2026년 표준 권장안이다.

⤢✕

3-2-1-1은 데이터 3개 복사본, 서로 다른 2개 미디어 유형, 원격(오프사이트) 1개, 에어갭(오프라인 또는 불변 스토리지) 1개를 뜻한다.

AWS S3 Object Lock, Azure Immutable Blob Storage 같은 불변 스토리지는 WORM(Write Once Read Many) 방식으로 백업을 보호한다. 랜섬웨어가 클라우드 자격 증명을 탈취하더라도 Lock 기간에는 삭제와 수정이 불가능하다.

시스템 유형	RTO	RPO	복구 방법
인증/계정 관리(AD)	2시간	30분	오프라인 백업 + 임시 도메인
이메일/협업 도구	4시간	1시간	클라우드 불변 백업
ERP/핵심 업무 앱	8시간	4시간	오프사이트 + 클라우드
파일 서버	24시간	8시간	에어갭 백업
아카이브 데이터	72시간	24시간	오프라인 물리 매체

제3자 압박에는 법무와 커뮤니케이션이 함께 움직인다

공격자가 제3자 압박을 시작하면 기술 팀만으로 대응할 수 없다. 법무팀 또는 데이터 침해 전문 외부 법률 자문, 위기 PR 담당, CISO와 침해 대응 책임자, 임원 의사결정자가 즉시 대응 팀에 포함돼야 한다.

공격자보다 먼저 영향받는 파트너와 고객에게 고지하는 일은 법적 리스크와 신뢰 손실을 줄이는 데 필요하다. 고지에는 침해 사실, 현재 대응 상황, 보호 조치, 문의 채널을 담아야 한다.

국내에서는 「개인정보 보호법」 제34조에 따라 개인정보 유출 사실을 인지한 후 72시간 이내 개인정보보호위원회에 신고해야 한다. GDPR 적용 대상 기업에도 동일한 72시간 규정이 적용된다.

랜섬 지불은 법적·윤리적으로 복잡한 판단이다. 국내에서 지불 자체는 불법이 아니지만, 테러 자금 지원 금지 규정이나 제재 대상 그룹과의 거래 금지 규정에 저촉될 수 있다.

지불을 검토하기 전에는 다음을 확인해야 한다.

해당 랜섬웨어 그룹이 미국 OFAC 제재 목록에 포함되어 있는가?
법률 자문을 받았는가?
지불 후 실제 복호화 키 제공 전례가 있는가?
지불해도 데이터 삭제를 보장할 수 없다는 점을 인식하고 있는가?
사이버 보험이 랜섬 지불을 커버하는가?

FBI와 KISA는 모두 랜섬 지불을 권장하지 않는다. 지불이 새로운 공격을 유인할 수 있고, 지불 후에도 데이터 삭제가 보장되지 않으며, 동일 그룹의 재공격 가능성도 남기 때문이다.

CTI 운영과 KISA 공조를 사고 대응에 연결한다

2025년 국내 랜섬웨어 신고는 274건으로 전년 대비 40.5% 증가했다. 업종별로 보유 데이터와 공격 표면이 다른 만큼 위협 인텔리전스도 구분해 운영해야 한다.

섹터	주요 위협 그룹	핵심 타겟 데이터	권장 CTI 피드
교육/연구	Nova, Qilin	학생 개인정보, 연구 IP	KISA ICTTT, MITRE ATT&CK
제조/OEM	Nova, LockBit 5.0	설계 도면, 고객사 데이터	ISACs, 업종별 공유
의료	Qilin, BlackSuit	진료 기록, 임상 데이터	H-ISAC, 의료보안 포럼
금융	다중 그룹	거래 데이터, 계좌 정보	금융보안원 F-ISAC
공공/행정	국가 연계 APT	행정 데이터, 기밀	KISA NIS 공조 체계

위협 인텔리전스는 KISA, CERT, ISAC, 상업용 CTI 피드를 수집하는 데서 멈추지 않는다. IOC(IP, 도메인, 해시)를 자동 파싱·정규화하고, TTP를 MITRE ATT&CK에 매핑해 공격자 프로파일을 분석한 뒤, SIEM·EDR·방화벽 정책에 반영해야 한다. 내부 사고 경험은 다시 CTI 플랫폼에 역공유한다.

침해 신고 채널은 다음과 같다.

긴급 핫라인: 118 (24시간 운영)
온라인 신고: 보호나라(boho.or.kr)
이메일: certkorea@kisa.or.kr

KISA 전주기 대응 추진단은 2026년 2월 조직개편 후 신설된 랜섬웨어대응팀의 후속 강화 조치다. 랜섬웨어 침해 신고 접수와 즉시 기술 지원, 알려진 변종에 한한 무료 복호화 도구 제공, 요청 시 피해 기관 포렌식 지원, 침해 IOC 배포를 수행한다.

신고할 때는 피해 발생 일시와 최초 발견 경위, 감염 시스템 수와 영향 범위, 랜섬노트 사진을 포함한 변종 이름, C2 IP와 악성 파일 해시 등 IOC, 현재까지의 대응 조치를 준비한다.

Nova, Qilin, LockBit 5.0의 TTP 차이

2026년 1분기 글로벌 랜섬웨어 시장에서 Qilin은 338건으로 선두였고, LockBit 5.0은 163건으로 4위였다. Nova는 빠르게 성장하는 중견 그룹으로 포지셔닝돼 있다.

TTP 항목	Nova	Qilin	LockBit 5.0
초기 침투	VPN/RDP 크리덴셜, IAB	VPN 취약점, 피싱	취약점 익스플로잇, RDP
페이로드 언어	Rust (프리미엄), 다중	Go/Rust	C++ (신버전)
지원 OS	Windows, Linux, ESXi	Windows, Linux, ESXi	Windows, Linux, ESXi
VSS 삭제	Yes	Yes	Yes
Veeam 타겟팅	미확인	Yes (확인됨)	Yes
데이터 유출	암호화 이전	암호화 이전	암호화 이전
DLS 운영	Yes (AI 에이전트)	Yes	Yes
DDoS 추가	조건부 사용	미확인	과거 사례 있음
제3자 압박	Yes (SEC 제보 방식)	미확인	과거 사례 있음
RaaS 수익 분배	85/15	80/20	80/20 추정
한국 피해 사례	대구대, URG (2026년 5월)	JNP ENG (2026년 6월)	과거 다수

2025년 8월 Help Net Security 보고서는 사중 협박이 주요 랜섬웨어 그룹의 표준 전술로 자리 잡고 있다고 봤다. Arctic Wolf 2026 위협 보고서는 암호화 없이 데이터만 유출하는 순수 유출 협박이 사고 대응 사례의 22%를 차지하며, 2023년 2% 대비 11배 증가했다고 분석했다.

한국에서는 AI 연구 데이터의 가치로 대학과 연구소가 더 많이 표적이 될 수 있고, URG 사례처럼 OEM·B2B 공급망을 통해 상위 브랜드를 간접 압박하는 공격도 예상된다. Nova DLS의 AI 에이전트 기능처럼 공격자의 AI 활용도 고도화되고 있다.

사중 협박은 단순한 랜섬 지불로 종결하기 어려운 사고를 늘린다. DLP 기반 유출 탐지, DDoS 방어와 연계된 OOB 침해 대응, 에어갭 백업을 포함한 3-2-1-1 BCP, 법적·커뮤니케이션 대응을 한 체계로 운영해야 한다. KISA 전주기 대응 체계와 118 핫라인을 비상 연락망에 포함하고, 위협 인텔리전스 피드를 SIEM·EDR에 자동 반영하는 운영 구조가 필요하다.