랜섬웨어란? 공격 방식, 몸값을 내는 사람들, 그리고 자신을 보호하는 방법

랜섬웨어란 무엇인가요?

미국 사이버보안·인프라보안청(CISA)은 랜섬웨어를 기기의 파일을 암호화해 파일과 그에 의존하는 시스템을 쓸 수 없게 만든 뒤, 범죄자들이 복호화의 대가로 몸값을 요구하도록 설계된 악성 코드로 정의합니다^[1]. 여기서 암호화란 공격자만 가진 키로 파일을 뒤섞어 버리는 것을 뜻합니다. 영국 국가사이버보안센터(NCSC)는 컴퓨터 자체가 잠길 수도 있고, 데이터가 도난, 삭제 또는 암호화될 수도 있으며, 2017년 5월 NHS를 강타한 WannaCry처럼 네트워크의 다른 컴퓨터로 퍼지는 랜섬웨어도 있다고 지적합니다^[3].

피해자는 대개 익명 이메일 주소나 웹페이지를 통해 공격자에게 연락하고 비트코인 같은 암호화폐로 지급하라는 요구를 받습니다^[2]. Microsoft는 감염이 대개 창이나 앱, 전체 화면 메시지가 돈을 요구할 때까지 드러나지 않으며, 그때는 이미 파일이 암호화된 뒤인 경우가 많다고 설명합니다^[7].

이중 갈취란 무엇인가요?

시간이 흐르면서 공격자들은 피해자의 데이터를 복사해 두고 공개하겠다고 위협해 몸값 지급을 압박하기도 했습니다. 암호화와 유출 위협을 함께 쓰는 것을 이중 갈취라고 합니다^[1]. 범죄자들이 암호화를 아예 건너뛰고 훔친 데이터만을 유일한 압박 수단으로 쓰는 경우도 있습니다^[1].

랜섬웨어 공격은 어떻게 이루어지나요?

NCSC는 전형적인 공격 과정을 이렇게 설명합니다^[2].

1. 공격자들은 네트워크에 접근해 통제권을 확보하고 악성 암호화 소프트웨어를 심습니다. 유출 위협에 쓰기 위해 데이터를 복사하기도 합니다^[2].
2. 악성 코드가 작동해 네트워크 전반의 기기를 잠그고 데이터를 암호화합니다^[2].
3. 화면에 몸값과 지급 방법을 설명하는 안내문이 뜨며, 대개 익명 웹페이지를 통해 암호화폐로 지급하라고 요구합니다^[2].

공격자들은 어떻게 침투하나요?

CISA는 가장 흔한 초기 침투 경로를 인터넷에 노출된 취약점과 잘못된 설정, 탈취된 자격 증명, 피싱, 이전의 악성 코드 감염, 고도의 사회공학, 그리고 제3자나 관리형 서비스 제공업체로 분류합니다^[1]. NCSC는 원격 데스크톱 프로토콜(RDP) 같은 노출된 서비스나 패치되지 않은 원격 접속 장비를 통해 원격 접근 권한을 얻은 공격자들이 랜섬웨어를 배포하는 경우가 늘고 있다고 말합니다^[3]. 가정 사용자의 경우 Microsoft는 이메일, 소셜 미디어, 메신저 앱, SMS에서 예상치 못한 첨부 파일이나 악성 링크를 여는 것을 흔한 경로로 꼽습니다^[7].

누가 그 배후에 있나요?

블록체인 분석 기업 Chainalysis에 따르면 랜섬웨어는 이제 접근 권한, 인프라, 결제 서비스가 서로 연결된 시장처럼 운영됩니다^[5]. 주요 ‘서비스형 랜섬웨어’(RaaS) 조직들은 2025년 다수의 더 작은 독립 행위자로 쪼개졌으며, 일부 분석은 활동 중인 갈취 집단을 85개까지 추적하고 있습니다^[5]. 초기 접근 브로커(IAB)는 침해된 네트워크로 들어갈 수 있게 해 주어, 실제로 랜섬웨어를 배포하는 범죄자인 제휴 조직이 비교적 쉽게 공격할 수 있도록 돕습니다. Chainalysis는 IAB 활동이 급증하면 대개 약 30일 뒤에 랜섬웨어 지급과 유출이 늘어난다는 사실을 발견했습니다^[5].

랜섬웨어 문제는 얼마나 심각한가요?

FBI 인터넷 범죄 신고 센터(IC3)는 2025년 랜섬웨어 신고 3,611건을 접수해 2024년의 3,156건보다 늘었으며, 신고된 피해액은 32,320,105미국 달러였습니다^[4]. FBI는 이 피해액에 영업 손실, 시간, 임금, 파일, 장비 손실이나 제3자 복구 비용이 대개 포함되지 않고, 일부 피해자는 피해액을 전혀 신고하지 않기 때문에 결과적으로 피해 규모가 인위적으로 낮게 나온다고 경고합니다^[4]. 2025년 가장 많이 신고된 변종은 Akira, Qilin, INC./Lynx/Sinobi, BianLian, Play였으며, 피해를 가장 많이 입은 상위 열 개 분야에는 핵심 제조업, 보건 및 공중보건, 정부 시설이 포함되었습니다^[4]. IC3는 이 해에 새로운 변종 63개를 확인했습니다^[4].

Chainalysis는 랜섬웨어 행위자들이 2025년 온체인 지급으로 8.2억 미국 달러 넘게 받은 것으로 추정합니다. 이는 갱신된 2024년 추정치 8.92억 달러보다 약 8% 적은 수치이지만, 같은 기간 공격 주장 피해자 수는 50% 늘어 역대 가장 활발한 해를 기록했습니다^[5]. Chainalysis는 몸값을 지급하는 피해자의 비율이 역대 최저인 28%까지 떨어졌을 수 있다고 봅니다^[5]. 동시에 지급액 중앙값은 12,738달러에서 59,556미국 달러로 368% 올랐습니다^[5]. 이 수치들은 블록체인 추적에 따른 추정치로, 더 많은 지급 건이 확인되면 수정될 수 있습니다^[5].

단 한 건의 사고로도 막대한 비용이 들 수 있습니다. Chainalysis는 2025년 Jaguar Land Rover에 대한 사이버 공격을 예로 드는데, 이 공격은 생산 라인을 멈춰 세웠고 약 19억 파운드의 경제적 피해를 낸 것으로 추정되어, 영국 역사상 가장 큰 비용이 든 사이버 사건이 되었습니다^[5].

몸값을 내야 할까요?

공식 지침은 한결같습니다. 피할 수 있다면 내지 마십시오. CISA와 협력 기관들은 몸값을 내도 데이터가 복호화된다는 보장이 없고, 시스템이 더 이상 침해되지 않는다는 보장도, 데이터가 유출되지 않는다는 보장도 없기 때문에 지급을 권하지 않습니다^[1]. NCSC는 영국 수사 기관이 몸값 지급을 장려하거나 지지하거나 용인하지 않는다고 말하며, 지급하더라도 접근이 보장되지 않고 다시 표적이 될 가능성이 커진다고 경고합니다^[3]. 또한 일부 악성 코드는 랜섬웨어인 척할 뿐 실제로는 와이퍼 악성 코드여서, 몸값을 내도 파일이 복호화되지 않는다고 덧붙입니다^[3].

법적 위험은 무엇인가요?

2021년 9월 미국 재무부 해외자산통제실(OFAC)은 랜섬웨어 지급을 돕는 행위의 잠재적 제재 위험에 관한 권고를 갱신하면서, 미국 정부가 사이버 몸값 지급을 강력히 만류한다는 점을 강조하고 피해자들에게 공격을 신고하라고 권했습니다^[10]. CISA의 지침도 몸값 지급에 제재 위험이 따를 수 있다고 지적합니다^[1].

영국 정부는 공개 협의를 거쳐 2025년 7월 22일, NHS, 지방 의회, 학교를 포함한 공공 부문 기관과 국가 핵심 기반시설 운영자의 몸값 지급을 금지하는 조치를 추진하겠다고 발표했습니다^[9]. 이 제안에 따르면 다른 기업들은 몸값을 지급하려는 의사를 정부에 통보해야 하며, 의무 신고 제도도 마련되고 있습니다^[9]. 2026년 11월 3일 현재 독자들은 이 조치가 법제화되었는지 GOV.UK에서 확인해야 합니다.

이 글은 일반 정보이며 법률 또는 금융 자문이 아닙니다. 몸값 요구를 받은 조직은 수사 기관, 법률 자문가, 사고 대응 업체를 참여시켜야 합니다.

가정에서는 랜섬웨어로부터 어떻게 자신을 보호하나요?

1. 소중한 것은 백업합니다. NCSC는 백업을 클라우드 저장소나 이동식 저장 매체처럼 별도의 안전한 장소에 보관한 중요 데이터의 사본으로 정의하며, 접근 권한을 잃을 수 있는 이유 가운데 하나로 랜섬웨어 같은 악성 코드를 꼽습니다^[8].
2. 최소 하나의 백업은 연결을 끊어 둡니다. NCSC는 공격자들이 연결된 백업을 노리므로 외장 드라이브나 USB 메모리 같은 백업 장치를 계속 연결해 두지 말라고 권합니다^[3].
3. 버전 기록을 활용합니다. 클라우드 서비스는 파일이 암호화된 사본으로 바뀌자마자 동기화하는 경우가 많으므로, 이전 버전을 보관하는 서비스를 고르십시오^[3]. Microsoft는 OneDrive에 랜섬웨어 탐지와 파일 버전 관리 기능이 있다고 말합니다^[7].
4. 모든 것을 업데이트합니다. Windows와 다른 소프트웨어에 패치를 적용하고 Windows 보안을 켜 두십시오^[7]. NCSC는 가능하다면 운영체제, 애플리케이션, 펌웨어에 자동 업데이트를 쓰라고 권합니다^[3].
5. 폴더 액세스 제어를 켭니다. Windows 10 또는 11에서 이 기능을 켜면 승인되지 않은 프로그램으로부터 중요한 폴더를 보호할 수 있습니다^[7].
6. 예상하지 못한 첨부 파일과 링크에 주의합니다. 메신저 앱과 SMS로 온 것도 마찬가지입니다^[7].

조직은 랜섬웨어 위험을 어떻게 줄이나요?

FBI가 2025년 기업에 권고한 사항에는 암호화되고 변경 불가능한(수정하거나 삭제할 수 없는) 오프라인 또는 외부 백업, 기본 비밀번호 제거, 불필요한 프로토콜 비활성화, 관리자 권한 제한, 웹메일, VPN, 핵심 시스템에 대한 다중 인증(MFA), 네트워크 분리, 인터넷 노출 시스템의 신속한 패치가 포함됩니다^[4].

CISA는 대부분의 랜섬웨어 행위자가 접근 가능한 백업을 찾아 삭제하거나 암호화하려 하므로, 암호화된 오프라인 백업을 유지하고 정기적으로 시험하라고 권합니다^[1]. 또한 서버를 빠르게 재구축할 수 있도록 미리 구성해 둔 시스템 템플릿인 ‘골든 이미지’를 보관하고, RDP 같은 서비스를 인터넷에 노출하지 말라고 권합니다^[1]. NCSC는 조직이 시스템을 쓸 수 없을 때 핵심 서비스를 어떻게 계속 운영할지, 몸값 요구에 어떻게 대응할지를 포함해 대응 계획을 세우고 연습해야 한다고 덧붙입니다^[3]. 영국 정부도 오프라인 백업과 함께 IT 없이 장기간 운영할 수 있도록 시험을 거친 계획을 마련하라고 촉구합니다^[9].

랜섬웨어 공격을 당하면 어떻게 해야 하나요?

1. 감염된 기기를 격리합니다. CISA는 기기의 네트워크 케이블을 뽑거나 Wi-Fi에서 분리하고, 네트워크 전체가 감염되었다면 스위치 단에서 네트워크를 오프라인으로 전환하라고 말합니다^[1].
2. 연결을 끊을 수 없을 때만 전원을 끕니다. CISA는 전원을 끄면 메모리에 있는 증거가 사라지므로 이는 차선책이라고 지적합니다^[1].
3. 대역 외 통신을 사용합니다. 공격자가 이메일과 채팅을 지켜보고 있을 수 있으므로, CISA는 대응을 조율할 때 전화 통화를 쓰라고 권합니다^[1].
4. 복원하기 전에 기기를 정리합니다. Microsoft는 파일을 복구하기 전에 보안 소프트웨어로 PC를 완전히 정리하라고 권하며^[7], NCSC는 백업에서 악성 코드를 검사하고 깨끗하다고 확인된 기기에만 연결하라고 말합니다^[3].
5. 무료 복호화 도구가 있는지 확인합니다. NCSC가 소개하는 No More Ransom 프로젝트는 일부 랜섬웨어 계열에 대한 복호화 도구를 제공하지만, 모든 유형에 해결책이 있는 것은 아닙니다^[6][3].
6. 신고합니다. 영국에서는 NCSC와 Report Fraud에 사고를 신고할 수 있으며^[3], 미국에서는 FBI가 피해자들에게 IC3에 신고하라고 요청합니다^[4]. Microsoft는 이미 몸값을 지급했다면 즉시 은행과 지역 당국에 연락하라고 말합니다^[7].

이란은 랜섬웨어 활동과 어떻게 연결되어 있나요?

2024년 8월 FBI, CISA, 국방부 사이버범죄센터는 이란 정부와 연계된 것으로 FBI가 평가하는 이란 기반 사이버 행위자 집단이 미국과 다른 나라의 네트워크에 대한 접근 권한을 확보하고, 몸값의 일정 비율을 받는 대가로 NoEscape, Ransomhouse, ALPHV(BlackCat) 등 랜섬웨어 제휴 조직과 협력하고 있다고 경고했습니다^[12]. 이 권고에 따르면 이들은 흔히 Citrix NetScaler와 F5 BIG-IP 같은 네트워크 장비의 취약점을 악용해 침투했습니다^[12].

2022년 9월 미국 재무부는 랜섬웨어를 포함한 악의적 사이버 활동을 이유로 이슬람 혁명수비대와 연계된 개인 열 명과 단체 두 곳을 제재했습니다. 재무부는 이 집단이 피해자의 네트워크에서 무단으로 Microsoft BitLocker를 활성화하고 복호화 키를 인질로 삼아 몸값을 요구했다고 밝혔습니다^[11]. 이는 미국 기관들의 조사 결과입니다. 이런 제재 지정은 OFAC가 몸값 지급에 제재 위험이 따를 수 있다고 경고하는 이유 가운데 하나입니다^[10].