랜섬웨어란? 감염 경로와 예방법, 피해를 줄이는 오프라인 백업

랜섬웨어란 파일을 암호화해 열 수 없게 만들고(그 전에 파일을 빼돌리기도 합니다), 복호화 키를 주거나 빼돌린 데이터를 공개하지 않는 대가로 주로 암호화폐를 요구하는 악성 소프트웨어입니다. 감염 경로는 대개 피싱 메일, 인터넷에 열려 있는 원격 접속 서비스, 업데이트하지 않은 소프트웨어 중 하나입니다. 피해를 가장 크게 줄이는 습관은 빠른 업데이트, 다단계 인증(MFA), 그리고 무엇보다 악성코드가 접근할 수 없는 최근 백업입니다.

랜섬웨어 공격은 어떻게 진행될까

대부분의 사고는 같은 사슬을 따라 진행됩니다(그림 1). 공격자는 발판을 마련해 악성코드를 실행하고, 파일을 잠그기 전에 다른 컴퓨터로 옮겨 다니며 비밀번호를 모으고 공유 폴더와 백업을 찾는 데 시간을 쓰기도 합니다. 그런 다음에야 암호화가 시작되고, 결제 방법이 적힌 협박 메시지가 뜹니다.

요즘은 암호화 전에 데이터를 외부로 복사해 두고 돈을 내지 않으면 공개하겠다고 위협하는, 두 번째 압박 수단까지 쓰는 조직이 많습니다. 미국 사이버보안·인프라보안국(CISA)은 이 조합을 이중 갈취(double extortion)라고 부르며, 암호화 없이 데이터 유출만으로 협박하는 경우도 있다고 설명합니다. 좋은 백업도 이미 새어 나간 데이터까지는 되돌리지 못하므로, 대비할 때 이 점을 따로 따져 봐야 합니다. 영국 국가사이버보안센터(NCSC)는 랜섬웨어인 척하지만 돈을 내도 복호화해 주지 않는 와이퍼(wiper) 악성코드도 경고합니다.

랜섬웨어 감염 경로: 자주 쓰이는 침입 통로

FBI, CISA, NCSC의 안내는 같은 통로를 반복해서 꼽습니다.

어느 경우든 뛰어난 해커는 필요 없습니다. 부주의한 클릭 한 번, 돌려 쓴 비밀번호 하나, 놓친 업데이트 하나면 충분합니다.

랜섬웨어 예방 수칙 체크리스트

랜섬웨어는 한 가지 제품만으로는 막을 수 없습니다. 공격의 모든 단계가 적어도 하나의 방어 습관과 마주치도록 여러 겹으로 쌓아야 합니다(그림 2).

• 자동 업데이트를 켜 둡니다. 운영체제, 브라우저, 오피스 앱, 공유기 펌웨어가 대상이며, 보안 패치는 나오는 대로 설치합니다.
• 다단계 인증(MFA, 2단계 인증 포함)을 씁니다. 이메일, 클라우드 저장소, 원격 접속에 적용하고 비밀번호는 계정마다 다르게 씁니다. CISA는 가능하면 패스키나 보안 키 같은 피싱 저항형 MFA를 권장합니다.
• 원격 데스크톱을 인터넷에 노출하지 않습니다. 원격 접속이 필요하면 MFA를 요구하는 VPN이나 원격 접속 서비스를 거칩니다.
• 매크로는 꺼 둡니다. 메일로 받았거나 내려받은 문서가 대상입니다. CISA는 비밀번호가 걸린 ZIP 파일도 검사를 피하려는 용도로 자주 쓰인다며 주의를 당부합니다.
• 평소에는 표준 사용자(비관리자) 계정으로 작업합니다. 악성코드가 실행돼도 확산하거나 보호 기능을 끌 권한이 줄어듭니다.
• 제어된 폴더 액세스를 켭니다. 메뉴는 Windows 보안 > 바이러스 및 위협 방지 > 랜섬웨어 방지 관리 > 제어된 폴더 액세스입니다. 신뢰할 수 있는 앱만 보호된 폴더의 파일을 바꿀 수 있으며, 정상 앱이 막히면 그 앱만 개별 허용합니다.
• 오프라인 백업이나 버전 관리 백업을 유지하고, 아래 설명처럼 복원 연습까지 해 둡니다.

오프라인 백업: 랜섬웨어에도 살아남는 백업 설계

랜섬웨어는 백업을 적극적으로 찾아 없앱니다. 백업이 사라질수록 피해자가 돈을 낼 가능성이 커지기 때문입니다. CISA의 #StopRansomware 가이드가 중요한 데이터를 오프라인에 암호화해 보관하고 정기적으로 시험하라고 권하는 이유입니다. 흔한 두 가지 방식은 이 기준을 통과하지 못합니다(그림 3).

OneDrive, Google 드라이브, Dropbox, iCloud Drive 같은 동기화 서비스는 변경 사항을 그대로 반영합니다. PC의 파일이 암호화된 버전으로 바뀌면 서비스가 그 파일도 그대로 업로드한다고 NCSC는 지적합니다. 이전 버전을 보관하고 그 시점으로 되돌릴 수 있어야만 복구가 가능합니다. USB 외장하드를 계속 꽂아 두는 방식도 마찬가지로, 악성코드에게는 암호화하거나 지울 드라이브가 하나 더 있을 뿐입니다. 견딜 수 있는 설계는 다음과 같습니다.

1. 서로 다른 방식으로 만든 사본을 두 개 이상 둡니다. 외장하드 한 개와 클라우드 백업 서비스 한 개처럼 말입니다. 한 드라이브 안의 사본 두 개나 한 클라우드 계정 안의 사본 여러 개로는 부족합니다.
2. 백업이 끝나면 외장하드를 바로 뽑아 컴퓨터에서 떨어진 곳에 보관합니다.
3. 클라우드 사본은 버전 기록(이전 날짜로 복원) 기능이 켜져 있는지, 얼마나 과거까지 되돌릴 수 있는지 확인합니다.
4. 백업 계정에는 별도의 강력한 비밀번호와 MFA를 설정해, PC에서 유출된 계정 정보로 백업을 지우지 못하게 합니다.
5. 몇 달에 한 번은 복원을 시험해 봅니다. 복원해 본 적 없는 백업은 희망 사항일 뿐입니다.
6. 공격을 당한 뒤에는 복원 전에 백업을 검사합니다. 악성코드가 한동안 숨어 있다가 백업에까지 복사되었을 수 있습니다.

랜섬웨어에 감염됐을 때 대처 방법

협박 메시지가 뜨거나 파일 확장자가 낯선 것으로 바뀌었다면 다음 순서로 움직입니다.

1. 기기를 네트워크에서 분리합니다. 랜선을 뽑고 Wi-Fi를 끕니다. CISA는 분리할 수 없을 때에만 전원을 끄라고 안내합니다. 전원을 끄면 메모리의 증거가 사라지기 때문입니다.
2. 백업은 멀리 둡니다. 감염됐을 수 있는 컴퓨터에는 백업 드라이브를 연결하지 않습니다.
3. 증거를 남깁니다. 협박 메시지를 사진으로 찍고, 새 파일 확장자와 문제를 처음 알아챈 시각을 적어 둡니다.
4. 신고합니다. 한국에서는 KISA 보호나라(boho.or.kr)의 침해사고 신고 메뉴나 국번 없이 118(한국인터넷진흥원), 경찰청 사이버범죄 신고시스템(ECRM)을 이용할 수 있습니다. 미국이라면 FBI IC3(ic3.gov)에 접수합니다. 개인정보가 유출된 기관은 법적 통지·신고 의무가 있을 수 있습니다.
5. 무료 복호화 도구를 찾아봅니다. 네덜란드 경찰, 유로폴, 보안 업체들이 운영하는 No More Ransom 프로젝트는 일부 랜섬웨어 계열의 복호화 도구를 제공하며 한국어 페이지도 있습니다.
6. 재구축한 뒤 복원합니다. 영향받은 시스템은 초기화·재설치하고, 비밀번호는 깨끗한 다른 기기에서 바꾸며, 검사를 마친 백업으로 파일을 복원합니다.

돈을 내도 될까요? 미국과 영국의 법 집행 기관은 지불을 권하지 않습니다. FBI는 돈을 내도 데이터를 되찾는다는 보장이 없고, 키를 받지 못한 피해자도 있었으며, 암호화 방식에 결함이 있으면 키가 있어도 파일을 복구하지 못할 수 있다고 지적합니다. NCSC는 돈을 내도 컴퓨터는 여전히 감염된 상태이고, 그 돈이 범죄 조직의 자금이 되며, 돈을 낸 피해자가 다시 표적이 되기 쉽다고 덧붙입니다. 이미 빼돌려진 데이터도 돈을 낸다고 되돌아오지 않습니다.

자주 묻는 질문

백신만 설치하면 랜섬웨어를 막을 수 있나요?

아닙니다. 백신은 주로 실행 단계에서 도움이 되지만, 새 변종이나 탈취한 비밀번호로 정상 로그인하는 공격은 통과할 수 있습니다. 업데이트, MFA, 백업과 함께 쓰는 한 겹으로 보는 것이 맞습니다.

OneDrive나 Google 드라이브를 쓰면 랜섬웨어로부터 안전한가요?

일부만 그렇습니다. 동기화는 암호화된 파일까지 그대로 복사하므로, 이전 버전으로 복원할 수 있고 침입자가 그 버전을 지울 수 없을 때에만 보호받습니다. 클라우드 계정에는 MFA를 걸고, 복원 기능도 미리 익혀 두는 편이 좋습니다.

돈을 내지 않고 암호화된 파일을 복구할 수 있나요?

가끔은 가능합니다. 연구자들이 특정 계열의 암호화를 풀어 냈다면 No More Ransom에 무료 도구가 있을 수 있습니다. 하지만 도구가 없는 계열도 많아서, 믿을 만한 복구 수단은 결국 오프라인 백업입니다.

랜섬웨어와 바이러스는 같은 말인가요?

흔히 “랜섬웨어 바이러스”라고도 부르지만, 랜섬웨어는 악성코드의 한 종류입니다. 몸값(ransom)과 소프트웨어(software)를 합친 말로, 데이터를 암호화하거나 시스템을 잠가 돈을 요구합니다.

참고 자료: CISA #StopRansomware 가이드; 영국 NCSC 악성코드·랜섬웨어 완화 안내; FBI IC3 고위험 랜섬웨어 공지; Microsoft 지원 Windows 보안 앱 안내.

함께 읽으면 좋은 글

• 클라우드 동기화가 백업과 다른 이유: 파일 하나로 복구 연습하기
• OneDrive 동기화와 폴더 백업 차이: PC에서 지우면 클라우드에도 지워질까
• 패스키와 비밀번호·2단계 인증의 차이: 바꾸기 전에 확인할 세 가지