이미지 출처: Pexels (Pixabay) · Pexels License
랜섬웨어라고 하면 보통 이런 장면을 떠올립니다. 어느 날 컴퓨터를 켰더니 파일이 전부 열리지 않고, 화면에 "돈을 보내면 풀어 주겠다"는 메시지가 떠 있는 장면입니다.
그런데 요즘 공격은 그 장면과 점점 멀어지고 있습니다. 파일을 아예 잠그지 않고도 돈을 요구하는 사건이 빠르게 늘고 있기 때문입니다. 무슨 일이 벌어지고 있는지, 그리고 개인과 작은 회사는 무엇을 하면 되는지 처음 듣는 분도 이해할 수 있게 정리하겠습니다.
랜섬웨어가 대체 뭔가요?
랜섬웨어(ransomware)는 남의 컴퓨터에 몰래 들어가 데이터를 인질로 잡고 돈을 요구하는 악성 프로그램입니다. 몸값을 뜻하는 랜섬(ransom)과 소프트웨어(software)를 합친 말입니다.
쉽게 — 도둑이 집에 들어왔다고 생각해 봅시다. 예전 랜섬웨어는 **집 안 물건을 전부 금고에 넣고 잠근 뒤 "열쇠값을 내라"**고 하는 도둑이었습니다. 요즘 랜섬웨어는 **물건을 통째로 복사해 들고 나간 뒤 "돈을 안 주면 동네에 다 뿌리겠다"**고 하는 도둑입니다. 잠그느냐 마느냐보다, 가져갔다는 사실 자체가 무기가 된 것입니다.
이 차이가 왜 중요한지는 다음 장에서 바로 드러납니다.
예전 랜섬웨어와 무엇이 달라졌나요?
가장 큰 변화는 협박의 무기가 "자물쇠"에서 "복사본"으로 옮겨 갔다는 점입니다.
| 구분 | 예전 방식(암호화형) | 요즘 방식(갈취형) |
|---|---|---|
| 공격의 핵심 | 파일을 암호화해 못 열게 함 | 파일을 밖으로 복사해 감 |
| 협박 문구 | "열쇠를 사라" | "돈을 안 주면 공개하겠다" |
| 백업이 있으면 | 복구하면 대체로 해결 | 복구해도 유출은 그대로 |
| 눈치채는 시점 | 파일이 안 열리는 즉시 | 한참 뒤(조용히 빠져나감) |
| 추가 피해 | 업무 중단 | 업무 중단 + 고객 정보 유출·법적 책임 |
여기서 꼭 짚고 넘어갈 점이 있습니다. 백업은 여전히 필수지만, 이제 백업만으로는 충분하지 않습니다. 파일을 되살려도 이미 밖으로 나간 복사본은 되돌릴 수 없기 때문입니다. 방어의 목표가 "빨리 복구하기"에서 "애초에 빠져나가지 못하게 하기"로 한 칸 옮겨 간 셈입니다.
실제로는 어떤 순서로 벌어지나요?
공격은 한순간에 벌어지지 않습니다. 대체로 아래 네 단계를 거칩니다.
- 침투 — 피싱 메일의 첨부 파일, 비밀번호가 허술한 원격 접속, 패치되지 않은 장비의 알려진 취약점이 흔한 입구입니다.
- 확산 — 곧바로 일을 벌이지 않습니다. 내부를 조용히 돌아다니며 더 높은 권한과 더 중요한 서버를 찾습니다. 이 기간이 수일에서 수주에 이르기도 합니다.
- 탈취 — 고객 명부, 계약서, 설계 도면처럼 값나가는 파일을 공격자 쪽 서버로 복사합니다. 겉으로는 아무 일도 일어나지 않은 것처럼 보입니다.
- 협박 — 그제서야 모습을 드러냅니다. 파일을 잠그기도 하고, 잠그지 않은 채 "공개하겠다"고만 하기도 합니다.
요즘 늘고 있는 것이 바로 4번에서 자물쇠를 생략하는 방식입니다. 암호화는 시끄럽습니다. 파일이 안 열리는 순간 피해자도, 보안 프로그램도 즉시 알아차립니다. 반면 조용히 복사만 해 가면 들킬 확률이 낮고, 협박의 효과는 크게 떨어지지 않습니다. 공격자 입장에서 더 싸고 덜 위험한 방법을 고른 결과입니다.
이 대목이 이번 변화에서 가장 눈여겨볼 지점이라고 봅니다. 기술이 더 정교해져서가 아니라, 경제성 계산이 바뀌어서 공격 방식이 바뀌었기 때문입니다.
자주 하는 오해 3가지
단골 오해 — 짚고 넘어갑시다
① "백업만 잘해 두면 랜섬웨어는 안 무섭다" → 절반만 맞습니다. 백업은 업무를 되살리는 데 결정적이지만, 유출된 데이터는 백업으로 되돌아오지 않습니다. 백업은 복구 대책이지 유출 대책이 아닙니다.
② "돈을 주면 해결된다" → 권장되지 않습니다. 국내외 보안 당국은 대체로 지불하지 말 것을 권고합니다. 돈을 줘도 데이터를 삭제했다는 보장이 없고, 실제로 같은 데이터로 다시 협박당하는 사례가 보고됩니다. 지불은 다음 공격의 자금이 되기도 합니다.
③ "우리는 작아서 표적이 아니다" → 오히려 반대일 수 있습니다. 공격 도구를 빌려 쓰는 RaaS(서비스형 랜섬웨어) 구조가 자리 잡으면서, 공격자는 큰 회사를 노려 정면 돌파하기보다 방어가 허술한 곳을 자동으로 훑어 찾습니다. 규모가 아니라 문이 열려 있는지가 기준입니다.
지금 어디까지 왔나요? (2026년 7월 기준)
숫자로 보면 흐름이 뚜렷합니다. 아래 수치는 조사 기관·집계 방식에 따라 차이가 있으니 경향을 보는 용도로 읽어 주시기 바랍니다.
- 구글 위협 인텔리전스 그룹(GTIG)의 분석에 따르면, 2025년 랜섬웨어 침해의 약 77%에서 데이터 유출이 함께 일어났습니다. 2024년의 약 57%에서 크게 오른 수치입니다.
- 암호화 없이 데이터 탈취만으로 협박한 사건은 2020년 전체의 약 2% 수준에서 2025년 15% 이상으로 늘었습니다.
- 국내에서도 상황은 다르지 않습니다. 안랩 ASEC이 매주 내는 랜섬웨어·다크웹 동향 보고서에는 2026년 7월 현재까지도 국내 기업의 데이터를 탈취했다고 주장하는 공격 그룹의 게시글이 꾸준히 올라오고 있습니다.
정리하면, "데이터를 잠그는 공격"에서 "데이터를 들고 나가는 공격"으로 무게중심이 옮겨 가는 중입니다. 아직 암호화형이 사라진 것은 아니고, 두 방식이 섞여 쓰이는 과도기입니다.
그래서 저는 지금 뭘 하면 되나요?
거창한 보안 장비 이야기가 아닙니다. 실제로 효과가 큰 것은 대부분 기본에 있습니다.
- 백업을 3-2-1 원칙으로 두십시오. 사본 3개, 서로 다른 매체 2곳, 그중 1개는 평소 연결이 끊긴 곳(외장 디스크나 별도 클라우드)에 둡니다. 항상 연결된 백업은 함께 암호화됩니다.
- 운영체제와 프로그램을 최신으로 유지하십시오. 침투 경로의 상당수가 이미 패치가 나와 있는 알려진 취약점입니다.
- 모든 계정에 2단계 인증을 켜십시오. 특히 원격 접속(VPN·원격 데스크톱)과 관리자 계정이 우선입니다. 가능하다면 패스키처럼 피싱에 강한 방식이 더 좋습니다.
- 모르는 첨부 파일과 링크는 열지 마십시오. 여전히 가장 흔한 입구입니다. 특히 "송장", "택배", "결제 실패" 같은 제목을 조심하십시오.
- 중요한 파일은 쌓아 두지 마십시오. 없어도 되는 오래된 개인정보를 지우는 것만으로 유출 시 피해 범위가 줄어듭니다.
- 당했다면 먼저 네트워크에서 분리하고 신고하십시오. 개인·기업 모두 KISA 보호나라(국번 없이 118)로 신고할 수 있습니다. 감염된 기기를 성급히 초기화하면 원인 분석이 어려워집니다.
한 장 정리
| 질문 | 답 |
|---|---|
| 랜섬웨어란 | 데이터를 인질로 잡고 돈을 요구하는 악성 프로그램 |
| 무엇이 달라졌나 | 자물쇠(암호화)보다 **복사본(유출)**이 협박 무기가 됨 |
| 왜 그런가 | 암호화는 즉시 들키지만, 조용히 빼가면 덜 들킴 |
| 백업이면 되나 | 업무 복구엔 필수, 그러나 유출은 못 되돌림 |
| 지금 할 일 | 3-2-1 백업 + 최신 업데이트 + 2단계 인증 + 첨부 파일 주의 |
이것만 기억하면 됩니다. ① 요즘 랜섬웨어는 잠그기보다 들고 나갑니다. ② 그래서 백업만으로는 부족하고 애초에 못 들어오게 하는 쪽이 중요해졌습니다. ③ 개인과 작은 회사가 할 수 있는 최선은 여전히 업데이트, 2단계 인증, 끊어 둔 백업이라는 기본기입니다.
기준 시점: 2026년 7월. 인용한 수치는 조사 기관과 집계 방식에 따라 달라질 수 있습니다.
참고 자료
랜섬웨어 동향과 대응 수칙은 아래 공식 기관 자료와 위협 인텔리전스 보고를 교차 참고해 직접 정리했습니다.
- KISA 보호나라 · KrCERT/CC — 국내 침해사고 신고·예방 수칙
- KISA 랜섬웨어 대응 가이드라인
- CISA StopRansomware — 미국 사이버보안·인프라보안국 종합 안내
- 안랩 ASEC — Ransom & Dark Web Issues — 주간 랜섬웨어 동향
- CyberScoop — 데이터 갈취로 이동하는 랜섬웨어 경제
이 글은 위 공식 자료와 신뢰할 수 있는 기술 매체 보도를 교차 참고해 직접 작성한 해설이며, 특정 기사·이미지를 복제하지 않았습니다. 공격 실행 방법이나 악용 절차는 다루지 않습니다.