랜섬웨어 공격 흐름과 조직 대응 전략
랜섬웨어의 침투·확산·암호화 흐름부터 이중 갈취, RaaS, 백업과 사고 대응, 법적·윤리적 쟁점까지 정리한다.
2026-08-14 · 최초 발행 2025-05-27
암호화 이후까지 이어지는 공격 사슬
랜섬웨어는 파일 또는 시스템을 암호화해 접근을 막고, 복호화 키의 대가로 몸값(ransom)을 요구하는 악성 소프트웨어다. 개인 사용자부터 대기업, 정부기관, 의료시설까지 표적이 될 수 있으며, 데이터 접근 불능과 업무 중단, 금전적 손실, 평판 훼손으로 이어진다.
대표적인 감염 경로는 피싱 이메일, 취약한 원격 데스크톱 프로토콜(RDP), 취약점 공격, 악성 광고다. 침투에 성공한 공격자는 관리자 수준의 권한을 확보하고 네트워크 안에서 다른 시스템으로 확산한 뒤, 파일을 암호화하고 금전을 요구한다.
화면 잠금에서 서비스형 범죄 모델까지
랜섬웨어의 출발점으로는 1989년 AIDS 트로이목마가 거론된다. 초기에는 화면을 잠그는 형태가 많았고, AIDS 트로이목마는 파일 암호화 후 우편 결제를 요구했다.
2000년대 중반부터 2010년대 초까지는 GPCode와 WinLock처럼 파일 암호화 기술을 적용한 사례가 등장했다. 이후 CryptoLocker는 2013년에 비트코인을 통한 익명 결제 요구를 처음 도입했다. 2017년 WannaCry는 NSA의 EternalBlue 취약점을 활용해 150개국 23만대 이상을 감염시켰고, 같은 해 NotPetya는 우크라이나를 겨냥한 파괴적 랜섬웨어로 사용됐다. 2020년 이후에는 REvil과 DarkSide 같은 RaaS(Ransomware-as-a-Service) 모델이 확산됐다.
평균 몸값 요구액도 다음과 같이 변했다.
| 연도 | 평균 몸값 요구액 (천달러) |
|---|---|
| 2015 | 10 |
| 2016 | 30 |
| 2017 | 50 |
| 2018 | 120 |
| 2019 | 250 |
| 2020 | 750 |
| 2021 | 2200 |
| 2022 | 4000 |
암호화만으로 끝나지 않는 갈취 방식
현대 랜섬웨어는 암호화에 데이터 유출 위협과 추가 압박 수단을 결합한다. Maze 랜섬웨어는 2019년에 피해자 데이터를 다크웹에 공개하겠다는 위협을 더한 이중 갈취(Double Extortion) 사례다.
삼중 갈취(Triple Extortion)는 이중 갈취에 DDoS 공격이나 고객·협력사 협박을 더한다. AvosLocker는 복구를 거부할 경우 고객사를 대상으로 2차 공격하겠다고 위협한 사례로 언급된다.
RaaS는 전문 개발자가 랜섬웨어 도구를 만들고 다른 범죄자에게 임대하는 모델이다. 수익은 보통 개발자 20-30%, 배포자 70-80%로 나뉘며, REvil·DarkSide·BlackCat이 사례다.
공급망 공격은 신뢰받는 소프트웨어 제공업체를 배포 경로로 삼는다. Kaseya VSA 공격(2021)은 최대 1,500개 기업에 피해를 줬다. 반면 초정밀 표적 공격(Big Game Hunting)은 무차별 감염보다 대기업과 주요 인프라처럼 수익성이 높은 대상을 골라 공격한다. Colonial Pipeline 공격(2021)은 미국 동부 연료 공급 차질로 이어졌다.
피해 양상을 드러낸 사건들
WannaCry가 보여준 웜형 확산
WannaCry는 150여 개국에서 23만대 이상을 감염시켰고, 손실은 40억-80억 달러로 추정됐다. NSA의 EternalBlue 취약점을 이용해 SMB 프로토콜을 통한 웜 형태로 전파됐으며, 영국 NHS, 스페인 텔레포니카, 독일 철도청 등이 피해를 입었다. 전 세계적 대규모 랜섬웨어 공격의 시작점으로 평가된다.
NotPetya의 파괴 목적
NotPetya는 전 세계적으로 100억 달러 이상 피해를 낸 것으로 추정된다. 우크라이나 세금 신고 소프트웨어인 M.E.Doc를 통한 공급망 공격이었으며, 몸값을 지불해도 복구할 수 없는 데이터 파괴가 주목적이었다. 랜섬웨어가 국가 지원 사이버 공격 도구로 활용될 수 있음을 보여줬다.
Colonial Pipeline의 운영 중단
Colonial Pipeline은 미국 동부 연료 공급의 45%를 담당하는 파이프라인 운영을 5일간 중단했다. 공격 주체는 DarkSide 랜섬웨어 그룹이었고, 결과적으로 440만 달러의 비트코인이 지불됐으며 FBI가 일부를 복구했다. 주요 인프라가 랜섬웨어의 직접적인 공격 대상이 될 수 있다는 점을 드러낸 사건이다.
백업과 통제를 평상시에 설계한다
복구 기반은 3-2-1 백업 원칙이다. 복사본 3개를 유지하고, 서로 다른 매체 2개에 보관하며, 1개는 오프라인으로 둔다. 정기적인 백업 검증과 복구 테스트가 필요하고, 백업 시스템은 Air-gap 방식으로 격리해야 한다.
기술 통제에서는 이메일 보안을 위한 SPF, DKIM, DMARC 설정, EDR(Endpoint Detection and Response) 도입, 중요 시스템을 분리하는 네트워크 세그먼테이션, 최소 권한 원칙, 정기적인 소프트웨어·OS 패치 관리가 함께 필요하다.
관리 체계도 분리할 수 없다. 정기적인 피싱 시뮬레이션을 포함한 보안 인식 교육, 문서화된 랜섬웨어 대응 계획, 그리고 “항상 검증, 절대 신뢰하지 않음” 원칙의 제로 트러스트 아키텍처가 대응 기반을 구성한다.
탐지 뒤에는 격리와 복구 판단이 이어진다
사고가 탐지되면 감염 시스템을 즉시 네트워크에서 격리하고, 손상되지 않은 시스템의 보호 조치를 강화해야 한다. 포렌식 분석을 위한 증거도 수집·보존한다. 이후 피해 범위를 평가하고 사고 대응팀을 가동해 복구 가능성을 판단한다.
복구는 검증된 백업에서 시스템을 복원하는 방법이 우선이다. NoMoreRansom 등의 무료 복구 도구도 확인할 수 있다. 몸값 지불은 법적·윤리적 고려사항을 검토해야 하며 권장되지 않는다. 사고 뒤에는 공격 벡터와 취약점을 분석하고, 보안 아키텍처와 사고 대응 계획을 다시 점검한다.
몸값 지불과 보험이 남기는 판단 문제
몸값 지불은 범죄 조직을 지원하고 이후 공격 대상이 될 가능성을 높일 수 있다. 반면 비즈니스 연속성과 데이터 복구 가능성 때문에 현실적인 선택지로 검토되기도 한다. 일부 국가에서는 제재 대상 단체에 대한 지불을 불법으로 본다는 점도 고려해야 한다.
사이버보험은 복구 비용, 몸값, 법적 대응, 평판 관리를 보장 범위로 둘 수 있다. 다만 보험사는 랜섬웨어 보장을 축소하고 보험료를 올리는 추세이며, 최소 보안 조치 준수를 요구한다.
대응은 조직 안에만 머물지 않는다. FBI, 인터폴, 유로폴 등의 법 집행기관 공조, 블록체인 분석을 통한 암호화폐 자금 흐름 추적, 사이버범죄협약(부다페스트 협약) 같은 국가 간 협력 체계가 함께 작동한다.
복원력을 중심에 둔 보안 운영
앞으로는 AI 기반 취약점 식별과 공격 자동화, 스마트시티와 의료기기 같은 사물인터넷(IoT) 표적 확대, 멀티클라우드와 하이브리드 환경을 겨냥한 공격 증가가 예상된다.
행위 기반의 AI/ML 이상 행위 탐지, 허니팟 등을 이용하는 디셉션 기술(Deception Technology), 지속적 인증과 최소 권한을 적용하는 제로트러스트 보안 모델이 기술적 대응 축이 된다. 개발 초기부터 보안을 고려하는 Security by Design, 피해를 줄이고 신속히 복구하는 사이버 복원력(Cyber Resilience), 산업과 국가 간 위협 인텔리전스 공유도 함께 강화해야 한다.
랜섬웨어는 IT 부서만의 문제가 아니라 비즈니스 연속성과 국가 안보에 영향을 주는 전사적 리스크다. 예방·탐지·대응·복구를 연결하고, 경영진의 관심과 투자를 포함한 운영 체계로 다뤄야 한다.