랜섬웨어란? 사례, 예방 및 탐지

2024년 전 세계 조직이 겪은 랜섬웨어 공격은 5,414건을 넘어 전년 대비 11% 증가했습니다. 범죄자들이 사기 행위에 악용하는 피싱, 익스플로잇 키트, 취약한 클라우드 서비스가 이러한 증가의 원인입니다. 규모에 관계없이 모든 기업이 침입, 데이터 손실, 장기적인 운영 중단 위험에 노출되어 있으며, 이로 인해 막대한 손실이 발생합니다. 따라서 기업은 랜섬웨어에 대한 이해를 높이고 랜섬웨어 공격에 대응할 방안을 마련해야 합니다.

이 글에서는 랜섬웨어가 무엇이며 기업 조직에 어떤 위협을 가하는지 정의합니다. 이어서 조직에 미치는 영향을 살펴보고, 랜섬웨어의 역사를 설명하며, 다양한 감염 경로를 소개합니다. 이 섹션에서는 랜섬웨어의 유형과 사이버 범죄자들이 사용하는 기법, 잘 알려진 랜섬웨어 공격 사례를 알아봅니다. 마지막으로 랜섬웨어 공격이 무엇인지 설명하고, 랜섬웨어 공격을 예방하는 방법과 SentinelOne이 각 예방 조치를 어떻게 강화하는지 살펴봅니다.

랜섬웨어란?

랜섬웨어는 피해자의 파일을 잠그거나 암호화한 뒤 복호화 키를 제공하는 대가로 금전을 요구하는 악성코드입니다. 랜섬웨어는 단순한 화면 잠금형부터 데이터를 체계적으로 훔친 뒤 유출하겠다고 위협하는 정교한 최신 암호화형까지 다양해졌습니다. 2024년 전 세계 랜섬웨어 몸값 요구액은 평균 $2.73 million으로 추정되며, 기업은 데이터 손실과 거액의 몸값 지불 사이에서 선택을 강요받고 있습니다.

침투는 공격자가 대상 소프트웨어의 취약점이나 사용자 습관을 악용하는 공격 행위입니다. 랜섬웨어는 조직의 운영을 마비시킬 뿐 아니라 고객의 신뢰까지 무너뜨리는 위협입니다. 랜섬웨어를 제대로 이해하려면 초기 침투부터 여러 단계의 암호화에 이르는 영향을 살펴봐야 합니다. 다음 섹션에서 자세히 알아보겠습니다.

랜섬웨어가 기업에 미치는 영향

랜섬웨어 공격 한 번으로 조직에 심각한 피해가 발생할 수 있습니다: 생산 중단, 데이터베이스에 저장된 데이터의 잠금, 직원의 애플리케이션 접근 차단. 평균 몸값 요구액이 증가했다는 사실은 범죄자들이 거액을 받아낼 수 있다는 확신이 커졌음을 보여줍니다. 고객 정보 유출이든 비즈니스 운영을 마비시키는 서비스 중단이든, 그 영향은 단순한 금전적 손실을 넘어섭니다. 기업이 랜섬웨어 공격을 당했을 때 겪는 네 가지 주요 손실은 다음과 같습니다:

1. 운영 중단: 중요 파일이나 서버가 잠기면 직원은 고객 영업, 직원 기록 또는 공급망 관리 애플리케이션을 사용할 수 없고 생산 라인도 멈춥니다. 아무리 작은 중단이라도 주문 지연이나 서비스 취소로 이어져 고객의 신뢰를 잃게 됩니다. 백업이 오래되었거나 백업 데이터까지 암호화된 경우 랜섬웨어 복구에는 며칠 또는 몇 주가 걸릴 수 있습니다. 그 사이 기업은 심각한 평판 손상과 매출 손실을 겪을 수 있습니다.
2. 데이터 손실 및 침해 사실 공개: 최근 랜섬웨어 공격에는 데이터 탈취도 포함되는 경향이 있습니다. 공격자는 고객이나 파트너에 관한 특정 정보를 공개하지 않는 대가로 표적 조직에 금전을 요구합니다. 정보가 유출되면 의무 공개 규정이 적용되어 규제 조치와 벌금으로 이어질 수 있습니다. 침투와 공개 유출이 결합되면 랜섬웨어가 초래할 수 있는 위협은 더욱 커집니다.
3. 재정 및 평판 피해: 몸값으로 인한 직접적인 금전적 손실 외에도 이러한 사이버 공격에는 막대한 포렌식 비용과 시스템 재구축 비용이 들고, 경우에 따라 집단 소송으로 이어질 수 있습니다. 고객은 앞으로 비슷한 문제가 발생하지 않을 것으로 보이는 다른 기업으로 옮겨갈 수 있으며, 투자자는 경영진의 위험 관리 능력을 의심할 수 있습니다. 이러한 침해를 막기 위해 보험사는 보험료를 인상하거나 보험 계약을 해지할 수도 있습니다. 결국 손상된 브랜드 이미지를 회복하는 데는 시간이 걸리며, 때로는 수년이 걸립니다.
4. 이해관계자 및 고객 신뢰 하락: 침해가 탐지되면 이사회, 규제 기관 또는 주요 고객이 보안 수준을 의심하기 시작합니다. 신뢰를 잃으면 큰 대가를 치를 수 있으며, 계약 해지나 파트너의 요구 사항 강화로 이어질 수 있습니다. 이들을 안심시키려면 강화된 보안 통제, 지속적인 스캔, 그리고 무엇보다 적절한 직원 교육을 입증해야 합니다. 조직이 강력한 랜섬웨어 대응을 위한 사이버 보안에 투자하면 장기적으로 더 큰 신뢰를 얻습니다.

랜섬웨어의 역사

랜섬웨어의 기원은 1980년대 후반 등장한 단순한 금전 갈취형 트로이 목마로 거슬러 올라갑니다. 이후 더 발전된 암호화 기반 공격으로 진화했습니다. 정교한 암호화 기술과 은밀한 전략을 활용하면서 사이버 범죄의 주요 위협 중 하나가 되었습니다. 다음 섹션에서는 범죄자의 전략이 어떻게 진화했는지 네 단계로 살펴봅니다.

1. PC Cyborg 트로이 목마(1980년대 후반): 1989년에 개발된 “AIDS Trojan” 또는 “PC Cyborg”는 컴퓨터를 감염시킨 뒤 정상 기능을 복구하려면 비용을 지불하라고 요구했습니다. 이는 특정 데이터를 암호화하고 대가를 요구하는 소프트웨어라는 랜섬웨어 공격의 정의를 바꾼 최초의 기록된 사례였습니다. 오늘날의 기준으로 보면 비교적 단순했지만, 현대적인 금전 갈취 방식의 개념적 토대가 되었습니다. 공격 경로는 매우 단순했습니다. 컨퍼런스 참가자들에게 배포한 감염된 플로피 디스크를 통해 바이러스가 퍼졌습니다.
2. 암호화형 랜섬웨어(2000년대 초반): 2000년대 초에는 RSA나 AES 같은 현대적 알고리즘으로 데이터를 암호화하는 더 정교한 랜섬웨어가 등장했습니다. 당시에는 백신의 탐지 속도가 느려 이러한 랜섬웨어를 피하기 어려웠습니다. 공격자들은 초기 디지털 결제 수단이나 은행 송금으로 대금을 요구해 법 집행 기관이 자금의 흐름을 추적하기 어렵게 만들었습니다. 이로 인해 다른 유형의 보안 위협도 등장했으며, 보안 전문가들은 복잡한 알고리즘과 관련된 ‘암호화 랜섬웨어’ 같은 용어로 이를 부르기 시작했습니다.
3. 새로운 금전 갈취 수법: 2010년대에는 범죄 수법이 더욱 발전했으며, 그중에는 2017년 WannaCry 랜섬웨어가 있습니다. 이 웜 기반 공격은 몇 시간 만에 전 세계 병원과 기업의 운영을 중단시켰습니다. 사이버 범죄자들은 NSA에서 탈취한 익스플로잇을 사용해 막강한 조직조차 랜섬웨어 공격의 거센 확산을 막기 어렵다는 사실을 보여주었습니다. 또한 RaaS(서비스형 랜섬웨어)가 등장하면서 경험이 없는 사람도 랜섬웨어 범죄에 뛰어들 수 있게 되었습니다.
4. 이중 갈취 및 지정학적 활용(2020년대부터 2025년까지): 오늘날 사이버 공격자는 먼저 데이터를 탈취하고, 요구를 들어주지 않으면 이를 공개하겠다고 위협합니다—이른바 이중 갈취입니다. 이 때문에 조직은 백업을 갖추고 있어도 데이터 유출 시 발생할 수 있는 비용을 고려해야 합니다. 그러나 국가가 지원하는 공격 캠페인에서는 첩보 활동이나 파괴를 목적으로 랜섬웨어를 사용하기도 해, 금전적 목적과 정치적 목적을 구분하기 어렵습니다. 현재는 은닉 기법, AI, 특정 목적에 맞춘 도구를 사용하면서 위협이 이전보다 더욱 정교해졌습니다.

랜섬웨어는 어떻게 확산되나요?

랜섬웨어 감염 경로는 첨부 파일이 있는 스팸 이메일부터 침해된 클라우드 서비스까지 다양합니다. 랜섬웨어는 여러 경로를 통해 시스템에 침투할 수 있습니다.

사이버 범죄자들은 보안이 취약한 서버나 속기 쉬운 직원 등 표적의 약점에 맞춰 전략을 바꿉니다. 범죄자가 랜섬웨어 코드를 전달하고 조직 인프라에 침투시키는 다섯 가지 경로는 다음과 같습니다:

1. 피싱 이메일 및 악성 첨부 파일: 피싱 이메일은 직원을 속여 악성 문서를 열거나 해커의 웹사이트로 연결되는 링크를 클릭하게 합니다. 매크로가 실행되거나 스크립트 취약점이 악용되면 암호화가 시작되거나 백도어 셸이 활성화됩니다. 직원들이 이메일의 링크를 클릭하거나 개인정보를 제공하지 않도록 교육받았지만, 범죄자들은 여전히 피싱을 통해 기업 네트워크에 침입합니다. 콘텐츠 필터와 고급 이메일 게이트웨이를 사용하는 기업은 이러한 침입률을 크게 낮춥니다.
2. 소프트웨어 취약점 악용: 랜섬웨어는 취약한 프레임워크와 운영 체제, 제거되지 않은 개발/ 테스트 인터페이스를 노립니다. 범죄자는 정교하게 구성한 패킷이나 명령으로 제어권을 확보하고 코드를 실행해 사용자 모르게 랜섬웨어를 설치합니다. 적시에 패치를 적용하고 취약점을 스캔하며 네트워크를 분할하면 이러한 침투 경로를 차단할 수 있습니다. 패치 하나를 놓치는 것만으로도 전체 시스템이 마비될 수 있으며, 대규모 공격에서 실제로 이런 사례가 확인되었습니다.
3. 원격 데스크톱 프로토콜(RDP) 공격: 부실하거나 재사용된 세션에 대한 부적절하거나 재사용된 자격 증명은 공격자가 세션에 침투하거나 무차별 대입 공격을 가능하게 합니다. 네트워크에 침투하면, 공격자는 빠르게 랜섬웨어를 여러 공유 또는 도메인 컨트롤러로 확산시킵니다. 다중 인증, RDP 접근을 VPN으로 제한, 외부 RDP 비활성화 등으로 위험을 크게 줄일 수 있습니다. 이 조합은 도난 또는 추측된 비밀번호만으로 접근하는 것을 불가능하게 만듭니다. 세션 자격 증명은 공격자가 추측이나 무차별 대입으로 세션에 침입할 기회를 줍니다. 네트워크에 침투한 공격자는 빠르게 이동하며 여러 공유 리소스나 도메인 컨트롤러로 랜섬웨어를 확산시킵니다. 다중 인증을 사용하고 RDP 접근을 VPN으로 제한하거나 외부 RDP를 비활성화하면 위험을 크게 줄일 수 있습니다. 이러한 조치를 함께 적용하면 탈취하거나 추측한 비밀번호만으로는 접근할 수 없습니다.
4. 드라이브 바이 다운로드 및 악성 광고: 피싱 웹사이트나 악성코드에 감염된 광고 서버는 업데이트되지 않은 브라우저에 악성 페이로드를 전달합니다. 사용자가 감염된 페이지를 방문하거나 광고를 우연히 보기만 해도 숨겨진 스크립트가 실행되어 랜섬웨어가 다운로드됩니다. 엔드포인트의 백신이나 최신 브라우저는 이러한 스크립트를 악성으로 탐지하지만, 업데이트하지 않은 시스템이나 이를 사용하는 직원은 공격에 취약합니다. 정교한 콘텐츠 필터링을 함께 적용하면 드라이브 바이 방식의 침투 가능성을 크게 줄일 수 있습니다.
5. 공급망 침해: 범죄자는 벤더의 소프트웨어 업데이트를 변조해 감염된 패치나 라이브러리 종속성을 배포하기도 합니다. 조직이 “공식” 업데이트를 받으면 숨겨진 악성코드가 실행됩니다. 이러한 침투 방식은 특히 영향력이 큰 공급망 침해 사고에서 크게 증가했습니다. 공급망 침해를 예방하려면 각 소프트웨어 패키지를 검증하고 코드 서명을 확인하며 새로 도입한 라이브러리를 스캔해야 합니다.

랜섬웨어의 유형

랜섬웨어는 진화해 왔으며 유형마다 암호화, 침투 또는 금전 갈취 방식이 다릅니다. 화면을 잠그는 유형도 있고 정보를 유출하는 유형도 있습니다. 이러한 차이를 알면 적절한 방어 체계를 구축하는 데 도움이 됩니다. 다음 섹션에서는 랜섬웨어의 발전과 다양화를 보여주는 주요 유형 일곱 가지를 살펴봅니다.

1. 암호화형 랜섬웨어: 이 유형은 강력한 알고리즘으로 사용자 데이터를 암호화하고 피해자에게 복호화 키를 구매하도록 강요합니다. 범죄자는 피해를 극대화하기 위해 전체 디렉터리나 중요한 비즈니스 공유 리소스를 감염시키려 합니다. 백업까지 영향을 받거나 백업 자체가 없다면 복구 가능성은 매우 낮습니다. 널리 알려진 대규모 침투 공격 중 상당수는 암호화 기반 금전 갈취에 집중되어 있습니다.
2. 화면 잠금형 랜섬웨어: 암호화로 사용자가 시스템에 접근하지 못하게 되는 경우와 달리, 락커 유형은 운영 체제를 잠급니다. 파일이 암호화되지 않았더라도 정상적인 접근을 복구하려면 비용을 지불해야 한다는 위협을 가합니다. 하지만 시스템 기능이 마비되면 직장과 개인, 기업 모두에 심각한 피해가 발생할 수 있습니다. 이러한 변종은 파일을 암호화하지 않으므로, 고급 포렌식 기법으로 잠금을 해제하면 일부 데이터를 복구할 수도 있습니다.
3. 이중 갈취 랜섬웨어: 사이버 범죄자들은 데이터를 암호화하기 전에 훔친 뒤 요구를 들어주지 않으면 이를 공개하거나 판매하겠다고 위협합니다. 백업만으로는 데이터의 공개 유출을 막을 수 없어 피해 조직이 받는 압박이 커집니다. 범죄자들은 유출 사이트에 데이터 샘플을 게시해 조직에 평판 손상과 법적 책임에 대한 압박을 가합니다. 이중 갈취에서는 피해자가 몸값을 지불하더라도 범죄자가 약속을 어길 수 있으므로 데이터가 비공개로 유지된다고 확신할 수 없습니다.
4. 서비스형 랜섬웨어(RaaS): RaaS 모델에서는 숙련된 위협 행위자가 기술 역량이 낮은 제휴자에게 랜섬웨어 키트를 제공합니다. 제휴자는 표적을 공격하고 갈취한 금액의 일부를 해당 그룹에 전달하며 감염 대상의 범위를 넓힙니다. 이러한 협업은 초기 접근 브로커부터 협상 담당자까지, 전문화된 침투 역할을 중심으로 활발한 경제 생태계를 형성합니다. 공격에 필요한 기술 수준이 낮아지면서 전 세계적으로 랜섬웨어 공격이 증가합니다.
5. 파일리스 랜섬웨어: 파일리스 유형은 주로 메모리에서 작동하며 리소스를 많이 사용하지 않아 디스크에 데이터를 거의 기록하지 않습니다. 이러한 프로세스 중 일부는 기존 백신이나 스캔 프로그램으로 탐지하지 못할 수 있습니다. 악성코드 제작자는 PowerShell 같은 시스템 유틸리티를 이용해 암호화 명령을 은밀하게 전달합니다. 이러한 침투 경로에 대응하려면 정교한 행동 기반 탐지와 스크립트 접근 제한이 필요합니다.
6. 모바일 랜섬웨어: 스마트폰과 태블릿을 겨냥해 설계된 이 변종은 사용자가 기기에 접근하지 못하게 하거나 기기에 저장된 파일을 암호화합니다. 사이버 범죄자는 서드파티 앱 마켓을 이용하거나 업데이트에 악성 앱을 포함해 유포할 수 있습니다. 기기에 저장된 개인 데이터나 업무용 로그인 정보를 악용해 복구 비용을 지불하도록 압박합니다. 앱 다운로드를 엄격히 통제하고 기기를 정기적으로 백업하면 모바일 기기 침투를 크게 줄일 수 있습니다.
7. 와이퍼 랜섬웨어: 파괴적인 유형으로, 비용을 지불해도 복호화하지 않고 데이터를 삭제하거나 손상시킵니다. 일반적인 랜섬웨어처럼 금전을 요구하더라도 실제 목적은 파괴나 혼란 조성일 수 있습니다. 사이버 범죄자는 와이퍼 변종으로 기업 운영을 방해하거나 핵심 인프라를 파괴할 수도 있습니다. 복구 키가 없으므로 데이터 복구를 위해서는 백업과 철저한 사고 대응 계획이 필요합니다.

자세히 알아보기: 랜섬웨어 공격 유형

주요 랜섬웨어 공격 경로

랜섬웨어는 피싱이나 패치되지 않은 앱 외에도 다양한 경로로 침투하고 권한을 확대합니다. 공격자는 탈취한 로그인 자격 증명과 악용 가능한 파트너 연결을 비롯해 기업의 취약점을 지속적으로 탐색합니다. 여기서는 가장 흔한 침투 경로 다섯 가지와 공격자가 초기 침해에서 데이터 암호화로 나아가는 과정을 살펴봅니다.

1. 피싱 및 사회공학적 공격: 랜섬웨어를 실행하는 가짜 웹사이트 링크나 매크로에 감염된 첨부파일이 포함된 이메일로 직원을 노립니다. 메시지는 인사팀, 재무팀 또는 익숙한 공급업체가 보낸 것처럼 꾸밉니다. 코드가 실행되면 악성코드는 로컬 디렉터리나 매핑된 공유 폴더를 대상으로 빠르게 확산됩니다. 스팸 필터, 사용자 보안 교육, 2단계 인증으로 침투 성공률을 낮출 수 있습니다.
2. 크리덴셜 스터핑 및 패스워드 스프레이: 인터넷에 대량의 계정 정보가 유출되면 사이버 범죄자는 같은 자격 증명으로 기업 VPN이나 원격 액세스에 침입을 시도합니다. 표적을 확인한 뒤 네트워크에 악성코드를 주입하고, 대부분 정상 사용자로 위장합니다. 강력한 암호 문구 정책이나 짧은 주기의 강제 비밀번호 변경 같은 조치도 침투 경로를 줄입니다. 또한 MFA 적용과 기기 컨텍스트 축소는 비밀번호 기반 공격의 성공률에 영향을 미칩니다.
3. 익스플로잇 키트 및 악성 광고: 공격자는 자신이 통제하는 광고나 웹사이트에 익스플로잇 코드를 삽입한 뒤 사용자를 원하는 곳으로 리디렉션합니다. 이후 취약한 브라우저나 플러그인에서 랜섬웨어가 실행됩니다. 광고 네트워크가 침해되면 신뢰할 만한 뉴스 사이트나 전자상거래 사이트에도 악성 광고가 게재될 수 있습니다. 콘텐츠 필터를 사용하고 브라우저를 패치하며 플러그인 사용을 제한하면 이러한 침투를 차단할 수 있습니다.
4. 원격 데스크톱 서비스 및 VPN 취약점: 알려진 CVEs가 있는 RDP나 구형 VPN은 여전히 잘못 구성된 경우가 많아 주요 공격 경로가 됩니다. 공격자는 이러한 엔드포인트에 무차별 대입 공격을 가하거나 취약점을 악용해 대상 서버에 랜섬웨어를 직접 다운로드하고 실행합니다. 계정 잠금이나 펌웨어 업데이트 같은 보안 설정이 없으면 침투가 쉽습니다. RDP를 MFA가 적용된 기업 VPN 뒤에 배치하면 보호 계층을 추가해 보안 허점을 줄일 수 있습니다.
5. 공급망 침해: 범죄자는 신뢰할 수 있는 공급업체나 라이브러리의 소프트웨어 업데이트를 변조해 조직 환경에 악성 모듈을 주입합니다. 업데이트가 패치 시스템이나 빌드 파이프라인에 통합되면 코드가 실행됩니다. RaaS 그룹은 침해된 공급업체로부터 접근 권한을 구매해 더 큰 기업으로 침투 범위를 넓히기도 합니다. 공급업체 위험 평가, 코드 서명 확인 및 스캔으로 이러한 숨겨진 침투 경로를 차단할 수 있습니다.

랜섬웨어는 어떻게 작동하나요?

랜섬웨어의 작동 방식을 자세히 알면 어떻게 숨어들고, 얼마나 빠르게 확산되며, 왜 위험한지 이해할 수 있습니다. 공격자는 다양한 침투 기법과 암호화 절차를 악명 높은 금전 요구와 결합합니다. 금전 요구는 실체가 모호해도 강력한 압박 수단이 될 수 있습니다. 아래에서는 이 악순환을 설명하는 핵심 과정 다섯 가지를 살펴봅니다:

1. 초기 접근 및 페이로드 전달: 범죄자는 피싱, 익스플로잇 키트 또는 탈취한 로그인 정보로 진입점을 찾아 악성코드를 주입합니다. 페이로드는 시스템 아키텍처, 백신 설치 여부, 사용자 권한을 확인하는 경우가 많습니다. 유리한 환경을 발견하면 하위 모듈을 확장하거나 새로 생성합니다. 이 단계에서 조기에 탐지하면 침투 과정 전체를 차단할 수 있습니다.
2. 권한 상승 및 측면 이동: 공격자는 대상 시스템에 들어온 뒤 보안 허점이나 기본 비밀번호를 악용해 사용자 권한을 관리자 권한으로 높입니다. 그런 다음 네트워크를 이동하며 공유 폴더, 백업 서버 또는 도메인 컨트롤러를 찾습니다. 보안 로그나 EDR 에이전트를 비활성화해 침투 과정을 숨깁니다. 이처럼 여러 활동을 결합해 암호화를 시작하기 전에 침투 범위를 넓히고 피해를 극대화합니다.
3. 데이터 유출 및 이중 갈취: 최근 공격에서는 암호화에 앞서 민감한 데이터를 외부 서버로 유출합니다. 사이버 범죄자는 훔친 정보를 공개하지 않는 대가로 피해 조직에 금전을 요구합니다. 데이터 유출 가능성이 있다면 백업만으로는 대응할 수 없어 협상 압박이 커집니다. 침투와 갈취를 결합해 피해 조직이 운영 손실과 평판 훼손을 모두 고려하도록 만듭니다.
4. 암호화 및 접근 차단: 악성코드가 자리 잡으면 AES나 RSA 같은 강력한 암호화 알고리즘으로 대상 파일을 암호화해 접근을 막습니다. 공격자는 암호화폐 결제를 요구하는 금전 요구 메시지를 남기며, 대개 기한도 설정합니다. 백업이 연결되어 있음을 발견하면 백업까지 암호화할 수 있습니다. 시간이 지나면서 공격은 더 거세지고, 코드 검사 시스템의 자체 복구 노력도 방해하기 시작합니다.
5. 금전 요구 협상 및 복호화 가능성: 피해 조직에는 금전을 지불하거나 백업에서 복구하는 선택지만 남습니다. 범죄자는 대금을 받은 뒤 복호화 도구를 제공하는 경우가 많지만, 도구가 제대로 작동한다는 보장은 없습니다. 데이터를 그대로 유출하거나 작동하지 않는 키를 제공해 상황을 악화시키기도 합니다. 오프라인 또는 에어갭 백업을 마련하고 복구 계획을 테스트하면 범죄자에게 금전을 지불하지 않고도 대응할 수 있습니다.

랜섬웨어 공격 단계

침투 방식은 랜섬웨어 변종이나 공격 환경에 따라 다르지만, 대부분의 랜섬웨어 공격은 공통된 단계를 거칩니다. 따라서 첫 취약점 악용 시도를 차단하는 등 초기에 공격을 막으면 피해 확대를 방지할 수 있습니다. 아래에서는 정찰부터 최종 갈취까지의 주요 단계와 공격자가 체계적으로 암호화에 이르는 과정을 살펴봅니다.

1. 정찰: 공격자는 네트워크를 탐색하고, 데이터 침해로 유출된 비밀번호를 확보하거나 LinkedIn에서 직원 프로필을 조사합니다. 패치되지 않은 서버, 열린 포트, 데이터 접근 권한이 있는 직원 등 취약한 대상을 찾습니다. 이를 통해 재무 데이터베이스나 도메인 컨트롤러 같은 고가치 자산을 파악합니다. 환경을 면밀히 분석해 조직에 침투할 방법을 마련합니다.
2. 초기 침해: 공격자는 정찰 결과를 바탕으로 악성코드를 실행하거나 로그인 정보를 확인합니다. 직원을 사칭하거나 소프트웨어의 알려진 취약점을 악용하기도 합니다. 데스크톱 같은 첫 진입점을 침해한 뒤에는 환경에 관한 정보를 더 수집합니다. 이를 발판으로 더 깊이 침투하거나 측면 이동합니다.
3. 권한 상승 및 측면 이동: 공격자는 로컬 취약점이나 단순한 무차별 대입 공격으로 도메인 또는 루트 권한을 확보합니다. 매핑된 드라이브, 네트워크 공유 폴더 또는 클라우드 API에서 가치가 높은 정보도 찾습니다. 보안 로그를 통제하거나 우회해 탐지 도구에 침투 사실이 드러나지 않도록 합니다. 마이크로 세그멘테이션이 없다면 사용자 한 명의 계정 침해가 전체 네트워크 세그먼트에 영향을 줄 수 있습니다.
4. 데이터 유출: 범죄자는 관리자 권한으로 정보를 기업 네트워크 외부의 서버에 은밀히 전송합니다. 금전을 지불하지 않으면 데이터를 공개하겠다고 협박하는 이중 갈취를 준비하는 단계입니다. 유출한 데이터의 민감도를 파악하고 요구할 금액을 정하는 데도 활용합니다. 피해 조직은 금전 요구 메시지를 받거나 비정상적인 트래픽을 탐지할 때까지 데이터 유출을 알아채지 못하는 경우가 많습니다.
5. 암호화 및 금전 요구: 마지막으로 코드는 강력한 키로 중요 파일을 암호화하고, 파일 복호화 방법과 필요한 금액을 안내하는 메시지를 기록합니다. 위협 행위자는 보통 암호화폐로 대금을 요구하고, 짧은 지불 기한을 정하거나 탈취한 데이터를 공개하겠다고 위협합니다. 백업까지 손실되었거나 담당자가 대응할 준비가 되지 않았다면, 그 영향으로 하루 종일 운영이 마비됩니다. 공격을 탐지해 차단하거나 감염된 시스템을 신속히 오프라인으로 백업하지 않으면, 이 마지막 단계에서 침투가 성공으로 굳어집니다.

랜섬웨어 공격 수법

범죄자는 직원의 업무 방식과 행동을 다양한 각도에서 노리는 침투 및 갈취 수법을 사용합니다. 조직은 이러한 랜섬웨어 수법을 분석해 각 침투 지점의 방어를 강화할 수 있습니다. 다음 다섯 가지 사례는 최근 공격자들이 얼마나 다양한 방식으로 공격하는지 보여줍니다:

1. 악성 스팸 및 스피어 피싱: 이메일은 현재까지 가장 흔한 침투 수단이며, 특히 대량 또는 표적 이메일 공격은 악성 첨부 파일을 다운로드하거나 링크를 클릭하는 보안 인식이 부족한 직원을 노립니다. 스피어 피싱은 범죄자가 소셜 미디어나 이전 해킹을 통해 확보한 정보를 담은 메시지를 보내는 방식입니다. 매크로나 익스플로잇 킷이 실행되면, 암호화 또는 데이터 유출 루틴이 시작됩니다. 이에 대응하려면, 고급 이메일 필터와 직원의 보안 인식, 링크 검사로 침투를 조기에 차단해야 합니다.
2. 익스플로잇 키트 및 드라이브 바이 침해: 공격자는 대상 웹사이트나 침해된 웹사이트, 또는 악성 광고를 통해 악성코드를 주입합니다. 직원이 사이트에 접속하면 최신 패치가 적용되지 않은 브라우저나 플러그인이 침투 경로가 됩니다. 대형 광고 네트워크도 때로는 정상 사이트에 악성 광고를 전달할 수 있습니다. 엄격한 패치 관리와 플러그인 사용 제한으로 이러한 침투 경로를 크게 줄일 수 있습니다.
3. 원격 서비스 및 RDP 공격: 해커는 기본 자격 증명이나 발견된 CVE를 악용하기 위해 RDP 엔드포인트나 SSH 연결을 적극적으로 탐색합니다. 공격자가 도메인 관리자 권한이나 운영 체제의 루트 수준 접근 권한을 얻으면, 시스템 수준에서 암호화 루틴을 설치할 수 있습니다. MFA를 적용하거나 VPN 또는 제로 트러스트로 보호되는 리소스에 대한 원격 접근을 제한하면 사이버 공격의 성공 가능성이 크게 줄어듭니다. 로그에서 유사한 항목이 반복되는지 확인하는 것도 무차별 대입 공격 시도를 조기에 식별하는 방법입니다.
4. 트로이목마화된 소프트웨어 및 서드파티 침해: 악성 행위자는 드라이버, 플러그인 또는 라이브러리의 정상적인 소프트웨어 업데이트에 침투해 랜섬웨어 코드를 삽입합니다. 피해자는 공급업체나 미러 사이트에서 다운로드한 업데이트라고 믿고 실행해 침투 절차를 시작합니다. 이는 공급망 침해가 어떻게 광범위한 피해로 이어지는지 보여줍니다. 코드 서명 확인, 철저한 공급업체 위험 관리 및 파이프라인 스캔으로 이러한 은밀한 침투 경로를 차단할 수 있습니다.
5. 다른 악성코드에서 시작되는 측면 이동: 때로는 눈에 잘 띄지 않는 트로이 목마나 키로거가 침투의 시작점이 됩니다. 이들은 사용자 이름이나 비밀번호를 몰래 수집합니다. 공격자는 가치 있는 데이터를 파악한 뒤 실제 암호화를 시작합니다. 직원이 이상 징후를 알아차리기 전에 랜섬웨어 암호화가 시작됩니다. 행동 기반 EDR 솔루션은 비정상적인 이동을 탐지해 최종 공격 전에 침투를 차단합니다.

랜섬웨어 공격 사례

랜섬웨어 공격자는 운영을 마비시키거나 복구 대가로 수백만 달러를 요구할 수 있습니다. 따라서 자원이 풍부한 조직도 침투 경로 하나를 방치하면 기습 공격을 당할 수 있습니다. 다음 네 가지 사례는 침투의 심각성과 기업의 대응, 그 결과를 보여줍니다.

1. LoanDepot(2024): 1월, 최대 규모의 주택담보대출 기관 중 하나인 LoanDepot은 1월 3일부터 5일까지 발생한 랜섬웨어 공격을 보고했습니다. 이 공격으로 데이터가 암호화되고 민감한 고객 정보가 탈취돼 소비자 1,660만 명이 서비스 중단을 겪었습니다. Alphv/BlackCat은 이번 공격이 자신들의 소행이라고 주장했으며, 이 조직의 대규모 침해 이력에 또 하나의 사례가 추가됐습니다. 최근 LoanDepot 공격은 방대한 사용자 데이터를 보유한 금융 기업이 금전 갈취를 노리는 공격자들에게 특히 매력적인 표적임을 보여줍니다.
2. Veolia(2024): 수자원 및 에너지 재활용 기업인 Veolia North America는 랜섬웨어 공격으로 일부 백엔드 시스템을 사용할 수 없게 되었다고 밝혔습니다. 수처리 운영에는 차질이 없었지만, 청구 서비스가 영향을 받아 고객들이 불편을 겪었습니다. 일부 데이터가 유출되면서 사용자에게 통지가 이루어졌습니다. 이는 신속한 몸값 지급을 강요하기 위해 핵심 인프라 제공업체를 표적으로 삼는 공격이 늘고 있음을 보여줍니다.
3. Ascension(2024): 세인트루이스에 본사를 둔 의료 시스템 Ascension은 5월에 랜섬웨어로 전자 건강 기록(EHR)과 일부 전화 회선이 영향을 받았다고 밝혔습니다. 한 달 넘게 환자들은 진료 예약에 차질을 겪고 의약품 처방 과정에서 혼란을 겪었습니다. 일부 시설에서는 직원들이 사상 가장 바쁜 한 주를 보내는 동안 구급차를 다른 곳으로 돌리기까지 했습니다. 이러한 복합적인 영향은 랜섬웨어로 인한 위험한 사태가 필수 의료 서비스를 어떻게 마비시키는지 보여줍니다. 이는 병원의 안정성뿐 아니라 환자의 생명까지 위협합니다.
4. Cleveland City Government(2024): 6월에 해커들이 클리블랜드시의 운영을 마비시켰습니다. 공격으로 요금 청구 시스템과 공식 행정 절차에 차질이 생겨 시청은 11일간 문을 닫았습니다. 직원들은 서둘러 영향을 받은 컴퓨터를 격리하고 복사본에서 데이터를 복구하려 했습니다. 시 당국은 데이터 도난 여부를 확인하지 못했지만 몸값은 지불하지 않겠다고 밝혔습니다. 이러한 복합적 영향은 랜섬웨어 같은 악성 공격이 주민의 일상에 영향을 미치며 모든 지방자치단체 서비스를 마비시킬 수 있음을 보여줍니다.

랜섬웨어 공격을 예방하려면?

침투를 막으려면 더 나은 도구뿐 아니라 충분한 교육을 받은 직원, 안전한 설정, 검증된 백업이 필요합니다. 공격자는 계속 전략을 바꾸므로 한 가지 조치만으로는 충분하지 않습니다. 다음 다섯 가지 기본 조치는 침투 위험을 크게 줄이고 사고 후 복구를 앞당깁니다:

1. 전 직원 대상 보안 교육: 피싱과 사회공학적 기법은 여전히 공격자가 조직에 침투할 때 가장 많이 사용하는 방법입니다. 정기 교육과 모의 피싱 훈련을 통해 직원이 잠재적 위협을 인식하도록 하세요. 다른 보안 조치도 활용해 단순하고 추측하기 쉬운 비밀번호 대신 복잡한 암호 구문만 사용하도록 하세요. 이러한 조치를 병행하면 무심코 클릭한 링크나 재사용한 비밀번호가 전체 네트워크를 위험에 빠뜨릴 가능성이 줄어듭니다.
2. 다중 인증 의무화: 공격자가 비밀번호를 알아내거나 탈취하더라도 휴대전화로 전송되는 코드나 물리적 보안 토큰 같은 추가 인증 수단은 침입을 지연시킵니다. MFA는 원격 VPN 또는 RDP 연결을 통해 관리자나 도메인 계정에 로그인할 때 특히 권장됩니다. 이러한 조치를 병행하면 크리덴셜 스터핑 공격의 성공 가능성이 크게 줄어듭니다. 장기적으로는 상황별 정책과 결합한 SSO 같은 정교한 기술을 통해 인증의 신뢰성을 높일 수 있습니다.
3. 정기적인 패치 및 취약점 스캔: OS, 애플리케이션, 펌웨어 업데이트를 신속하게 적용해 확인된 침투 경로를 차단하세요. 정기적인 스캔으로 새로 공개된 CVE나 제로데이 취약점을 탐지하세요. 컨테이너나 개발·테스트 서버처럼 일시적으로 사용하는 리소스도 스캔 대상에 포함해야 합니다. 스캔을 파이프라인 병합 과정에 연계하면 개발 및 운영 팀이 운영 환경에 배포하기 전에 취약점을 해결할 수 있습니다.
4. 마이크로세그멘테이션 및 제로 트러스트 아키텍처: 네트워크를 분할하면 공격자가 서버, 엔드포인트 또는 클라우드 리소스에 침투하더라도 내부 확산을 막을 수 있습니다. 제로 트러스트는 모든 요청의 신원과 권한을 확인해 탈취하거나 추측한 자격 증명을 통한 무단 액세스를 차단합니다. 소프트웨어 정의 경계나 엄격한 VLAN 규칙을 적용하면 침투 가능한 범위가 최소화됩니다. 네트워크 분할과 제로 트러스트를 결합하면 침투가 전체 환경으로 확산되는 것을 막을 수 있습니다.
5. 에어갭 백업 및 재해 대응 훈련: 아무리 강력한 보안 조치를 마련해도 모든 침입을 막을 수는 없습니다. 따라서 오프라인 백업이 필수입니다. 복원 지점을 정기적으로 확인해 데이터가 최신 상태이고 손상되지 않았는지 점검하세요. 공격자가 운영 환경의 데이터를 암호화하더라도 오프라인 백업으로 몸값을 지불하지 않고 신속하게 복구할 수 있습니다. 인시던트 대응 런북을 활용하면 직원들이 실제 침입 상황에 원활하게 대응하고 혼란을 줄일 수 있습니다.

랜섬웨어 탐지 및 제거

랜섬웨어 예방 조치가 항상 완벽한 것은 아닙니다. 제로데이 취약점을 악용하거나 사회공학적 공격으로 침투할 수 있습니다. 악성코드를 조기에 탐지하면 암호화가 진행되는 도중에도 이를 중단해 전체 환경을 보호할 수 있습니다. 다음은 위험한 행동을 신속하게 파악하고 감염 후 랜섬웨어 제거를 체계적으로 진행하기 위한 다섯 가지 단계입니다:

1. 행동 기반 엔드포인트 보호: 시그니처에만 의존하는 백신은 코드가 빠르고 빈번하게 바뀌면 대응이 늦어지는 경우가 많습니다. 반면 고급 EDR 솔루션은 새 프로세스가 한 번에 많은 파일을 암호화하는 등 실행 중인 행동을 관찰합니다. 이상 징후가 알려진 침투 패턴과 일치하면 해당 프로세스를 격리합니다. 이를 통해 파일리스 악성코드는 물론 완전히 새로운 유형의 악성 프로그램도 실시간으로 탐지합니다.
2. 네트워크 이상 징후 모니터링: 정상 업무 시간 외의 데이터 전송이나 갑작스러운 대역폭 사용 급증은 데이터 유출 또는 대량 암호화의 징후일 수 있습니다. SIEM 또는 NDR 도구는 이러한 패턴을 탐지해 보안 팀에 추가 조사가 필요함을 알립니다. 트래픽 분포와 내부망 연결을 조사하면 침투 후 공격 경로를 전환하는 초기 단계를 발견할 수 있습니다. 이를 통해 공격자가 거점을 확보하고 모든 파일을 암호화하거나 탈취한 파일을 모두 전송하는 것을 막습니다.
3. 랜섬웨어 스캐너 도구: 일부 랜섬웨어 방지 소프트웨어는 특정 암호화 알고리즘, 파일 이름 변경 작업 또는 랜섬웨어가 주로 잠그는 파일 확장자를 적극적으로 검색합니다. 랜섬웨어의 부분적인 파일 쓰기나 볼륨 섀도 복사본의 변경도 확인할 수 있습니다. 탐지되면 문제를 일으킨 프로세스를 종료하거나 저널링을 사용해 변경된 파일을 복원합니다. 이러한 전용 스캐너는 일반 백신과 함께 사용하면 침투 탐지까지 걸리는 시간을 크게 줄입니다.
4. 자동 격리 및 복원: 자동화 프레임워크가 작동하면 감염된 호스트를 종료하고 네트워크 액세스를 차단해 내부 확산을 막을 수 있습니다. 일부 고급 솔루션은 시스템 상태를 기록하고 감염 이전 상태로 되돌리는 ‘롤백’ 기능을 제공합니다. 격리를 탐지 단계와 연계하면 공격자의 내부 이동이나 데이터 유출을 막을 수 있습니다. 사고 대응 시간을 확보해 전체 피해를 줄입니다.
5. 랜섬웨어 제거 및 포렌식 정리: 격리 후에도 남아 있는 악성코드를 무력화하고 시스템 파일을 검사하며 가능한 모든 실행 경로를 제거해야 합니다. 여기에는 시작 프로그램, 예약된 작업 또는 레지스트리에서 악성코드와 연결된 항목을 검사하는 작업이 포함될 수 있습니다. 파일이 일부만 암호화됐다면 백업에서 복원하거나 복호화 도구로 되찾을 수 있습니다. 사고 후 심층적인 랜섬웨어 분석을 수행하면 향후 탐지 규칙을 개선하고 침투 경로를 차단할 수 있습니다.

SentinelOne으로 랜섬웨어 공격 예방

SentinelOne의 자율 AI 위협 탐지는 조직이 악성코드, 랜섬웨어, 피싱을 비롯한 모든 형태의 사이버 위협에 대응하도록 지원합니다. 검증된 익스플로잇 경로를 활용하는 Offensive Security Engine은 이상 징후와 새로운 공격 경로를 찾아내고 악용되기 전에 위험을 완화합니다.

SentinelOne의 고급 엔드포인트 보호는 VM, 워크로드, 클라우드, 컨테이너, 사용자 및 ID를 보호합니다. Purple AI는 GenAI 사이버 보안 분석가로서 공격자와 보안 파이프라인에 관한 고유한 인사이트를 찾아냅니다. CI/CD 파이프라인 보안과 충분한 보안 범위를 확보할 수 있습니다. SentinelOne은 750+가지 유형의 시크릿을 탐지하고 클라우드 자격 증명 유출을 방지합니다.

비활성 계정이나 휴면 계정을 식별하고, 악성 프로세스가 계정을 탈취하거나 권한을 상승시키기 전에 이를 스캔할 수 있습니다. SentinelOne은 백그라운드에서 능동 및 수동 스캔을 실행하며 24/7 운영됩니다. 문제가 발생하면 자동으로 알림을 보내고 오탐을 제거합니다.

Snyk 통합 기능도 제공하며, 에이전트 없이 전방위적으로 보호하는 CNAPP을 갖추고 있습니다. SentinelOne 제품을 사용하면 SOC 2, NIST, HIPAA, CIS Benchmark 등의 규제 프레임워크를 지속적으로 준수할 수 있습니다. 조직은 이 플랫폼의 기능으로 Active Directory와 Entra ID를 겨냥한 공격에도 대응할 수 있습니다.

투어 시작

AI 기반 엔드포인트 탐지 및 대응.

결론

랜섬웨어는 데이터, 비즈니스 프로세스, 고객 신뢰를 위협하는 현대 기업의 가장 위험한 위협 중 하나입니다. 피싱, 익스플로잇 킷, 내부 이동과 같은 침투 수법은 각각 분석하고 다층 방어 체계를 구축하는 것이 훨씬 효과적입니다. 하지만 침투 차단은 방어의 한 축일 뿐입니다. 공격 중 악의적인 활동을 탐지하고 신뢰할 수 있는 백업 체계를 갖추는 것이 나머지 두 축입니다. 단기간 운영되는 클라우드 환경이든 수년간 사용해 온 온프레미스 서버든, 스캔, 직원 교육, 마이크로 세그멘테이션을 통해 침투 경로를 크게 줄일 수 있습니다.

공격자가 이중 갈취나 고급 웜 기능 도입 등 새로운 침투 전략에 적응하는 만큼 단일 조치로는 충분하지 않습니다. 하지만 명확한 정책, 검증된 백업, 적응형 EDR 솔루션을 지속적으로 개선하면 침투 위협을 통제할 수 있습니다. 전용 랜섬웨어 스캐너 또는 SentinelOne과 같은 AI 기반 엔드포인트 보호 플랫폼을 함께 사용하면 환경 전반에서 실시간 탐지와 자동 복구가 가능합니다.

AI 기반 사이버 보안

실시간 감지, 머신 속도 대응, 전체 디지털 환경에 대한 종합적인 가시성을 통해 보안 태세를 강화하세요.

데모 신청하기