월요일 아침, 출근한 직원들이 PC를 켜는 순간 화면에 나타나는 붉은 경고문. "Your files have been encrypted." 파일 확장자는 전부 알 수 없는 문자열로 바뀌어 있고, 공유 폴더의 문서들은 하나도 열리지 않습니다. 경영진은 즉시 해결을 요구하고, 직원들은 업무가 마비된 채 불안에 떨고 있습니다. 이것이 바로 수많은 중소기업 IT 담당자들이 실제로 마주하는 랜섬웨어 감염의 현실입니다.
문제는 이 순간 무엇을 먼저 해야 하는지 모른다는 것입니다. 감염된 PC의 전원을 꺼야 할까, 네트워크 케이블을 뽑아야 할까? 랜섬 비용을 지불해야 할까? 경찰에 신고는 언제 하나? 개인정보보호법에 따른 유출 통지 의무는? 이런 질문들에 대한 답을 감염 이후에 찾기 시작하면 이미 늦습니다. 보안 전문가들은 랜섬웨어 대응의 골든타임을 감염 인지 후 최초 수 시간 이내로 봅니다. 이 시간을 어떻게 활용하느냐에 따라 피해 규모가 수십 배 달라질 수 있습니다.
이 글에서는 랜섬웨어 감염 후 IT 담당자가 시간순으로 반드시 수행해야 할 대응 절차를 체크리스트 형태로 정리합니다. 즉각 대응부터 복구, 사후 관리까지 빠짐없이 다루겠습니다.
1단계: 즉각 대응 — 감염 인지 후 첫 1시간
랜섬웨어를 인지한 순간부터 가장 중요한 것은 확산 차단입니다. 랜섬웨어의 상당수는 네트워크를 통해 횡적으로 이동(Lateral Movement)하며 공유 폴더, 네트워크 드라이브, 심지어 연결된 클라우드 스토리지까지 암호화합니다. 첫 1시간 동안의 조치가 감염 범위를 한 대의 PC로 제한할 수도 있고, 전사 시스템으로 확대시킬 수도 있습니다.
- 감염 시스템의 네트워크 즉시 격리: 랜선을 물리적으로 분리하고, Wi-Fi를 비활성화합니다. 이때 전원을 끄지 마십시오. 메모리에 남아 있는 암호화 키나 악성 프로세스 정보가 포렌식에 결정적 단서가 될 수 있습니다.
- 추가 감염 여부 즉시 확인: 동일 네트워크 세그먼트의 다른 PC와 서버에서 동일 증상이 있는지 빠르게 점검합니다. 파일 공유 서버, NAS, 도메인 컨트롤러를 우선 확인하십시오.
- 전사 네트워크 세분화(가능 시): VLAN 단위로 네트워크를 분리하거나, 의심되는 세그먼트의 스위치 포트를 비활성화하여 추가 확산을 막습니다.
- 초기 증거 보존: 감염 화면(랜섬 노트)을 사진으로 촬영하고, 암호화된 파일의 확장자, 랜섬 노트 파일명(예: README.txt, DECRYPT_INSTRUCTIONS.html 등)을 기록합니다. 이 정보는 랜섬웨어 변종을 식별하는 데 핵심적입니다.
- 보안 담당자·경영진 즉시 보고: 사내 보안 담당자, CISO(있는 경우), 경영진에게 즉시 보고합니다. 의사결정 지연은 피해를 키웁니다.
감염된 시스템의 전원을 끄거나 재부팅하면 메모리에 남아 있는 복호화 키가 소실될 수 있습니다. 또한 일부 랜섬웨어는 재부팅 시 추가 암호화 루틴을 실행합니다. 전원은 유지한 채 네트워크만 격리하는 것이 원칙입니다.
2단계: 상황 파악과 피해 범위 분석 — 1~6시간
초기 격리가 완료되면 본격적으로 피해 규모를 파악하고 복구 전략을 수립해야 합니다. 이 단계에서의 정확한 판단이 이후 복구 과정의 효율성을 결정합니다.
랜섬웨어 변종 식별
랜섬 노트의 내용, 암호화된 파일 확장자, 악성 파일의 해시값 등을 수집하여 랜섬웨어 변종을 파악합니다. ID Ransomware(id-ransomware.malwarehunterteam.com)나 No More Ransom(nomoreransom.org) 프로젝트에 샘플을 업로드하면 변종을 식별하고, 이미 알려진 복호화 도구가 있는지 확인할 수 있습니다. 일부 오래된 변종의 경우 무료 복호화 도구가 존재하므로, 이 단계를 건너뛰지 마십시오.
감염 경로 및 침투 시점 추적
감염이 어떤 경로로 발생했는지 파악하는 것은 추가 감염 방지와 재발 방지에 필수적입니다. 주로 확인해야 할 사항은 다음과 같습니다:
- 이메일 첨부 파일 또는 악성 링크 클릭 여부 (메일 서버 로그 확인)
- RDP(원격 데스크톱) 포트가 외부에 노출되어 있었는지 (방화벽 로그 확인)
- VPN 계정 탈취 또는 취약한 비밀번호 사용 여부
- 최근 설치된 소프트웨어, 패치 미적용 취약점 존재 여부
- 공급망을 통한 감염 가능성 (외부 협력업체 VPN 연결 등)
피해 범위 목록화
감염된 시스템, 암호화된 파일 범위, 영향받은 업무 시스템을 목록으로 정리합니다. 특히 개인정보가 포함된 데이터가 영향받았는지를 반드시 확인해야 합니다. 한국의 개인정보보호법에 따르면 개인정보 유출이 확인되거나 의심되는 경우 정보주체 통지 및 개인정보보호위원회 신고 의무가 발생할 수 있습니다.
최근 랜섬웨어 공격은 단순 암호화를 넘어 데이터 탈취 후 유출 협박(이중 갈취) 방식이 일반화되고 있습니다. 따라서 암호화 피해뿐 아니라 데이터 유출 가능성도 함께 조사해야 합니다. 네트워크 로그에서 대량의 외부 전송 트래픽이 있었는지 확인하십시오.
3단계: 복구 실행과 법적 의무 이행 — 6~72시간
피해 범위가 파악되면 복구 작업에 착수하면서 동시에 법적·행정적 의무를 이행해야 합니다. 이 두 가지는 병행해서 진행되어야 합니다.
백업을 통한 시스템 복구
랜섬웨어 대응에서 가장 확실한 복구 방법은 감염 전 시점의 백업으로 복원하는 것입니다. 다만 백업 자체가 감염되지 않았는지 반드시 검증해야 합니다. 복구 시 주요 고려사항은 다음과 같습니다:
- 백업 무결성 확인: 백업 데이터가 암호화되지 않았는지, 악성코드가 백업에 포함되어 있지 않은지 검증합니다.
- 격리된 환경에서 우선 복원: 네트워크에서 격리된 환경에서 먼저 복원을 테스트하여 안전성을 확인한 후 본 환경에 적용합니다.
- 복구 우선순위 설정: 모든 시스템을 동시에 복원할 수 없으므로, 비즈니스 연속성에 가장 중요한 시스템(ERP, 메일 서버, 핵심 DB 등)부터 순차적으로 복원합니다.
- OS 및 애플리케이션 재설치 고려: 감염 경로가 불분명하거나 루트킷이 의심되는 경우, OS부터 클린 설치 후 데이터만 백업에서 복원하는 것이 더 안전합니다.
실제 시나리오: 백업이 없었던 중소 제조업체
국내 한 보안 컨설팅 업체에 따르면, 랜섬웨어에 감염된 중소 제조업체가 백업을 전혀 보유하고 있지 않아 생산 관련 설계 도면 수년 치를 모두 잃은 사례가 있었다고 합니다. 해당 기업은 랜섬 비용 지불을 고려했으나, 공격자와의 협상 과정에서 요구 금액이 계속 상승했고, 결국 비용을 지불하고도 일부 파일만 복구할 수 있었습니다. 이후 이 기업은 이미지 기반 백업 솔루션을 도입하고 오프사이트 백업 정책을 수립했습니다. 백업은 선택이 아니라 생존의 문제라는 교훈을 남긴 사례입니다.
랜섬 비용 지불에 대한 판단
결론부터 말하면, 보안 전문가들과 수사기관은 일관되게 랜섬 비용 지불을 권장하지 않습니다. 그 이유는 명확합니다:
- 비용을 지불해도 복호화 키를 받지 못하거나, 키가 작동하지 않는 경우가 적지 않습니다.
- 지불 자체가 해당 기업을 "돈을 내는 타깃"으로 표시하여 재공격의 대상이 됩니다.
- 범죄 조직의 자금원이 되어 더 큰 규모의 공격을 가능하게 합니다.
법적 의무 이행
한국에서 랜섬웨어 감염 시 아래 법적·행정적 조치를 반드시 검토해야 합니다:
- 개인정보 유출 신고 (개인정보보호법 제34조): 개인정보가 유출된 경우, 지체 없이 정보주체에게 통지하고 개인정보보호위원회에 신고해야 합니다.
- 사이버 침해 신고 (정보통신망법): KISA(한국인터넷진흥원) 침해사고 신고 센터(118)에 신고합니다.
- 수사기관 신고: 경찰청 사이버수사국에 피해 사실을 신고하여 수사를 의뢰할 수 있습니다.
- 포렌식 증거 보존: 향후 수사 및 보험 청구를 위해 감염 시스템의 디스크 이미지, 로그 파일, 랜섬 노트 등 모든 증거를 보존합니다.
사전 준비 vs 사후 대응: 비용과 시간 비교
많은 기업이 보안 투자를 "비용"으로만 바라보지만, 실제 랜섬웨어 사고가 발생했을 때의 손실과 비교하면 사전 대비 비용은 극히 일부에 불과합니다. 아래 표는 사전 준비가 되어 있는 기업과 그렇지 않은 기업의 대응 차이를 보여줍니다.
| 항목 | 사전 준비가 된 기업 | 사전 준비가 없는 기업 |
|---|---|---|
| 감염 인지 시간 | 실시간 모니터링으로 수 분 이내 탐지 | 직원 신고 등으로 수 시간~수 일 후 인지 |
| 네트워크 격리 | 사전 정의된 절차에 따라 즉시 실행 | 절차 부재로 혼란 속 지연 |
| 데이터 복구 방법 | 검증된 백업에서 복원 | 랜섬 지불 고려 또는 데이터 영구 손실 |
| 업무 중단 기간 | 수 시간 ~ 1일 이내 | 수 일 ~ 수 주, 경우에 따라 폐업 |
| 법적 대응 | 사전 계획된 신고 절차 즉시 이행 | 의무 인지 부족으로 추가 법적 리스크 |
| 재발 방지 | 포렌식 분석 후 취약점 즉시 보완 | 원인 불명으로 재감염 위험 지속 |
4단계: 사후 관리와 재발 방지 — 72시간 이후
복구가 완료된 후에도 대응은 끝나지 않습니다. 사실상 이 단계가 가장 중요합니다. 같은 사고를 반복하지 않기 위한 체계적인 사후 관리가 필요합니다.
- 사고 대응 보고서 작성: 감염 경위, 대응 타임라인, 피해 범위, 복구 과정, 교훈을 문서화합니다. 이 보고서는 향후 유사 사고 대응의 기초 자료가 됩니다.
- 감염 경로 취약점 완전 제거: RDP 포트 노출, 미패치 취약점, 취약한 비밀번호 등 확인된 감염 경로를 완전히 차단합니다.
- 모든 계정 비밀번호 변경: 도메인 관리자 계정, 서비스 계정, VPN 계정 등 모든 자격 증명을 변경합니다. 공격자가 이미 계정 정보를 탈취했을 가능성이 높습니다.
- 백업 정책 재검토: 3-2-1 백업 원칙(데이터 3카피, 2종류 미디어, 1카피 오프사이트)이 제대로 이행되고 있는지 점검하고, 백업의 정기적 복원 테스트 절차를 수립합니다.
- 직원 보안 교육 실시: 피싱 메일 식별, 의심스러운 파일 처리 방법, 보안 사고 발생 시 신고 절차 등에 대한 교육을 전 직원 대상으로 실시합니다.
- 엔드포인트 보안 솔루션 강화: 시그니처 기반 탐지뿐 아니라 행동 기반 탐지, 안티랜섬웨어 전용 기능이 포함된 솔루션 도입을 검토합니다.
- 사고 대응 계획(IRP) 수립 또는 업데이트: 이번 경험을 바탕으로 랜섬웨어 사고 대응 계획을 수립하거나, 기존 계획을 업데이트하고 정기적으로 모의 훈련을 실시합니다.
랜섬웨어 대응에서 가장 효과적인 투자는 "사고가 발생하기 전"에 하는 것입니다. 이미지 기반 전체 백업, AI 기반 행동 탐지, 엔드포인트와 백업의 통합 관리를 하나의 플랫폼에서 수행할 수 있는 솔루션을 갖추면, 감염 자체를 차단하거나 감염되더라도 수 시간 내 비즈니스를 정상화할 수 있습니다.
마무리: 준비된 기업만이 살아남습니다
랜섬웨어는 더 이상 대기업만의 문제가 아닙니다. 오히려 보안 투자가 부족하고 전담 인력이 없는 중소기업이 더 쉬운 표적이 되고 있습니다. 하지만 위에서 살펴본 것처럼, 체계적인 대응 절차를 사전에 수립하고, 적절한 백업 및 보안 솔루션을 갖추면 피해를 최소화하고 빠르게 복구할 수 있습니다.
핵심을 다시 정리하면:
- 첫 1시간: 네트워크 격리, 증거 보존, 확산 차단
- 1~6시간: 변종 식별, 감염 경로 추적, 피해 범위 분석
- 6~72시간: 백업 복원, 법적 의무 이행, 수사기관 신고
- 72시간 이후: 사고 보고서 작성, 취약점 제거, 재발 방지 체계 구축
Acronis Cyber Protect는 이미지 기반 백업과 복원, AI 기반 안티랜섬웨어 탐지, 엔드포인트 보안을 하나의 통합 플랫폼에서 제공하여, 랜섬웨어의 사전 차단부터 감염 시 신속한 복구까지 전 과정을 지원합니다. KDSys는 Acronis 공인 파트너로서 한국 중소기업 환경에 최적화된 도입 컨설팅, 초기 설정, 백업 정책 수립, 운영 교육까지 원스톱으로 지원합니다.
랜섬웨어 사고가 터진 뒤 허둥지둥하는 기업이 되지 마십시오. 지금 바로 KDSys에 무료 상담을 요청하시어, 귀사의 보안 체계를 점검하고 실질적인 대응 역량을 갖추시기 바랍니다.