랜섬웨어
Ransomware
랜섬웨어란?
- 파일을 암호화하고 돈 요구
- 기업에 치명적
- 백업·교육이 최선 방어
랜섬웨어 사고의 본질은 데이터가 사라지는 게 아니라 시간이 사라지는 것입니다. 생산관리시스템이 잠기면 라인이 멈추고, ERP가 잠기면 세금계산서 발행과 급여 지급이 밀리며, 출하 지연은 그대로 거래처 클레임으로 돌아옵니다. 그래서 경영진이 먼저 답해야 할 질문은 '뚫렸느냐'가 아니라 며칠 만에 다시 돌릴 수 있느냐입니다. 복구 목표 시간(RTO)과 감내할 수 있는 데이터 유실 범위(RPO)를 미리 숫자로 정해두지 않으면, 사고 당일 회의실에서 할 수 있는 일은 몸값을 낼지 말지 손드는 것뿐입니다.
요즘 공격은 파일을 잠그는 데서 끝나지 않습니다. 암호화에 앞서 설계도면·고객정보·계약서를 먼저 빼낸 뒤 '돈을 안 내면 공개하겠다'고 압박하는 이중 갈취가 일반화됐고, 거래처와 언론에 직접 연락해 압박 강도를 높이는 방식까지 등장했습니다. 공격 도구를 빌려주고 수익을 나누는 서비스형(RaaS) 구조 탓에 기술이 없는 범죄자도 가담합니다. 여기서 경계선을 하나 그어야 합니다. 암호화만 당했다면 복구의 문제지만, 데이터가 외부로 빠져나간 순간부터는 개인정보 유출 신고 의무와 거래처 고지 책임이 동시에 발생하는 법적 사건이 됩니다.
대비 수준은 백업의 '유무'가 아니라 백업의 연결 상태에서 갈립니다. 운영망에 상시 물려 있는 NAS는 서버와 함께 암호화되기 때문에, 3벌 복제·2종 매체·1벌 외부 보관이라는 3-2-1 원칙과 덮어쓰기가 불가능한 불변(immutable) 저장이 기본선이 됩니다. 관리자 계정 다중인증, 원격 접속 포트 차단도 같은 묶음입니다. 다만 분기 1회 실제 복구 테스트로 몇 시간 만에 업무 화면이 뜨는지 재보지 않았다면, 그 백업은 있다고 말하기 어렵습니다.
현장에서 가장 자주 어긋나는 지점은 초동 대응입니다. 감염 PC를 급한 마음에 포맷하거나 재부팅해 버리면 침입 경로와 흔적이 함께 지워져, 어디가 뚫렸는지 모른 채 같은 문으로 다시 당합니다. 몸값을 내면 끝난다는 생각도 위험합니다. 공격자가 준 복구 도구가 부실해 파일 일부만 살아나는 경우가 흔하고, 이미 유출된 자료는 회수되지 않으며 신고 의무도 사라지지 않습니다. 사이버보험 역시 손실을 나중에 메울 뿐 멈춘 라인을 돌려주지는 못합니다. 협상력은 결국 어젯밤에 떠 둔 백업에서 나옵니다.
1980년대 후반 초기 사례가 등장했고, 암호화폐 확산과 함께 2010년대에 급증해 세계적 위협이 됐습니다.
가상의 사례로 살펴보겠습니다. 임직원 210명, 연매출 740억 원의 자동차 부품 제조사 A사는 금요일 밤 11시에 생산관리(MES) 서버와 파일서버가 동시에 잠겼습니다. 월요일 첫 출하분 3억 원어치가 걸려 있었는데, 백업용 NAS까지 같은 스위치에 물려 있어 함께 암호화된 상태였습니다.
- 토요일 새벽 1시, 생산팀장이 "현장 PC 화면에 영문 메모장만 떠 있다"고 전화했고, 정보시스템팀장은 확산을 막으려 공장 네트워크 스위치 12대를 즉시 물리적으로 분리했습니다.
- 다들 포맷하자고 했지만 정보시스템팀장이 "지금 밀면 경로를 영영 못 찾습니다"라며 감염 PC 4대를 봉인했고, 외부 보안업체와 로그를 뜯어 협력사 VPN 계정이 뚫린 것을 확인했습니다.
- 대표이사는 토요일 오전 긴급회의에서 몸값 지불 대신 복구를 택했고, 3개월 전 외장 테이프로 떠 둔 백업으로 MES를 되살리되 재고 데이터 3주치는 수기 대조로 메우기로 했습니다.
- 재무팀은 ERP가 멈춘 닷새 동안 세금계산서 1,200건을 엑셀로 임시 관리했고, 영업팀장은 거래처 38곳에 직접 전화해 "납기는 이틀 밀리지만 물량은 맞춥니다"라고 먼저 알렸습니다.
- 이후 백업을 운영망에서 끊어 불변 저장소로 옮기고 협력사 VPN 계정 47개 중 31개를 정리한 결과, 6개월 뒤 복구 모의훈련에서 MES 재가동 시간이 사고 당시 5일에서 4시간으로 줄었습니다.