"우리 회사는 규모가 작아서 표적이 안 될 거야"
랜섬웨어 공격자는 회사 규모를 보지 않습니다. 열려 있는 문을 봅니다. 인터넷에 노출된 원격 접속 포트 하나, 직원이 무심코 연 첨부파일 하나면 충분합니다. 표적을 정해 두고 뚫는 게 아니라, 자동화된 스캐너가 인터넷 전체를 훑다가 취약한 서버를 발견하면 그때 들어옵니다.
특히 보안 담당 인력이 없는 중소기업, 사내 공용 NAS를 인터넷에 그대로 연결해 쓰는 회사, 오래된 서버를 패치 없이 방치한 곳이 먼저 뚫립니다. 국내 침해사고 사례에서도 인터넷에 노출된 공용 NAS와 원격 접속 포트(RDP 3389 등)가 랜섬웨어의 대표적인 침투 경로로 반복해서 확인됩니다.
감염되면 업무 파일, 회계 데이터, 고객 정보가 한순간에 암호화됩니다. 그리고 화면에 뜨는 건 "비트코인을 보내라"는 협박 메시지 하나뿐입니다.
왜 중요한가 — 백업이 없으면 선택지가 사라진다
랜섬웨어의 무서움은 파일이 잠기는 것 자체가 아니라, 복구할 방법이 없어지는 것입니다. 백업이 없거나 백업까지 함께 암호화됐다면, 남는 선택지는 사업 중단이거나 범죄자에게 돈을 보내는 것뿐입니다. 그리고 돈을 보내도 복구된다는 보장은 없습니다.
더 큰 문제는 그다음입니다. 고객 개인정보가 유출·암호화됐다면 개인정보보호법상 신고 의무가 생기고, 거래처 신뢰와 계약이 흔들립니다. 방치하면 한 번의 감염이 폐업으로 이어질 수 있습니다. 반대로, 제대로 백업하고 접근을 통제한 회사는 감염돼도 짧은 시간 안에 복구하고 정상 영업을 이어갑니다. 차이는 사전 준비 하나입니다.
지금 해야 할 대비 — 5가지
- 감염 경로부터 막기: 감염의 대부분은 세 갈래입니다. ① 피싱 메일 첨부파일(문서 아이콘으로 위장한 .exe 주의), ② 인터넷에 노출된 원격 접속(RDP 3389, SSH 22, DB 1433 등), ③ 패치 안 된 취약점. 불필요한 외부 포트를 닫고, VPN 뒤로 숨기고, 서버·NAS·플러그인을 최신으로 유지하는 것만으로 진입로 대부분이 사라집니다.
- 3-2-1 백업 원칙: 데이터 사본 3개, 서로 다른 매체 2종, 그중 1개는 오프라인·오프사이트에 보관합니다. 핵심은 마지막 하나입니다. 네트워크에 상시 연결된 백업은 원본과 함께 암호화됩니다. 물리적으로 분리된(에어갭) 백업이나 변경 불가(불변) 저장소가 있어야 랜섬웨어가 원본을 잠가도 복구 카드가 남습니다.
- 최소권한 원칙: 모든 직원에게 관리자 권한을 주지 마세요. 계정별로 꼭 필요한 폴더·시스템에만 접근을 허용하면, 한 계정이 뚫려도 피해가 그 범위에 갇힙니다. 기본 관리자 비밀번호는 반드시 복잡하게 변경하고, 관리자 계정에는 다중 인증(MFA)을 겁니다.
- 망분리·세분화: 핵심 서버와 백업 시스템을 일반 업무망과 분리하면, 직원 PC 한 대가 감염돼도 옆으로 번지지 못합니다. 완전한 물리 분리가 어렵다면 최소한 VLAN·방화벽으로 구간을 나누세요.
- 감염 시 대응 절차 준비: 발생하면 순서가 정해져 있어야 합니다. ① 격리(감염 PC의 랜선을 뽑아 즉시 네트워크 분리, 단 전원은 끄지 말 것 — 휘발성 메모리 증거 보존) → ② 신고(KISA 118, 필요 시 경찰, 개인정보 유출 시 개인정보보호위원회 등 관계기관) → ③ 복구(백업에서 복원, 협상·지불 전 반드시 전문가 상담). 이 순서를 미리 문서로 만들어 두면 실제 상황에서 시간을 벌 수 있습니다.
자가점검 체크리스트
- ☐ 인터넷에 열려 있는 원격 포트(3389/22/1433 등)를 확인했고, 불필요한 건 닫았다
- ☐ 백업이 3-2-1 원칙을 지키고, 그중 1개는 네트워크와 분리돼 있다
- ☐ 최근 3개월 안에 백업 복원 테스트를 실제로 해봤다
- ☐ 서버·NAS·업무용 SW·플러그인이 최신 패치 상태다
- ☐ 관리자 계정에 다중 인증(MFA)이 걸려 있다
- ☐ 기본 비밀번호를 모두 복잡한 값으로 변경했다
- ☐ 감염 시 격리·신고·복구 절차가 문서로 정리돼 있다
공격자가 AI로 랜섬웨어를 만들거나 실행할 때 무엇이 달라지는지, 섀도 복사본 삭제·보안 도구 중지·대량 외부 전송 같은 행동으로 잡는 탐지 점검은 AI 랜섬웨어 실제 사례와 행위 기반 탐지·복구 점검 9가지에 정리했습니다.
수동 확인은 되지만, 판단이 애매합니다
포트가 열렸는지, 패치가 밀렸는지는 직접 확인할 수 있습니다. 문제는 "이 정도면 안전한가"의 판단입니다. 열린 포트가 실제로 외부에서 악용 가능한지, 백업이 랜섬웨어 상황에서 정말 복구되는지, 계정 권한 구조에 우회로가 없는지는 공격자 관점에서 실제로 찔러봐야 드러납니다. 체크리스트는 통과했는데 뚫리는 경우 대부분이 이 지점에서 갈립니다.
뚫리기 전에, 공격자 관점으로 먼저 점검하세요
보안 전문 기업 SENTRIX는 해킹대회 수상 경력과 레드팀 운영, 보안 실무 10년의 경험으로 랜섬웨어 침투 경로를 실제 공격자 시점에서 진단합니다. 예방 진단·모의해킹으로 뚫릴 곳을 미리 찾고, 이미 감염됐다면 침해대응으로 격리·복구·재발방지까지 지원합니다.
전문가 진단이 필요하면 지금 문의하세요 → sentrix.co.kr/contact/
우선 외부에 노출된 위험만 30초 만에 확인하고 싶다면, 무료 스캔으로 시작하세요 → codescan.kr