랜섬웨어는 피해자의 데이터 접근을 막고 복구 대가로 금전을 요구하는 사이버 보안 위협이다.[1][2] 개인과 조직 모두에 영향을 주며, 예방과 백업이 핵심 대응 수단으로 꼽힌다.[1][4]

1. 개요

랜섬웨어는 디바이스의 파일을 암호화하거나 기기 사용 자체를 막아 데이터 가용성을 떨어뜨리는 악성코드다.[1] 공격자는 복호화 도구나 접근 회복을 대가로 금전을 요구하며, 피해자는 파일이 잠긴 상태로 남는다.[2]

공격은 이메일 첨부파일, 취약한 원격 접속, 악성 링크처럼 다양한 경로로 시작될 수 있다.[1] 공격이 성공하면 사용자는 네트워크에서 분리하고 감염 범위를 줄이는 한편, 증거를 보존하며 사고 대응 절차를 시작해야 한다.[4]

2. 작동 원리

랜섬웨어는 보통 대상 시스템에서 파일을 암호화한 뒤 열 수 없게 만들고, 복호화에 필요한 키를 공격자만 쥔 구조를 만든다.[1] 일부 변종은 화면 잠금, 권한 상승, 백업 삭제처럼 복구를 어렵게 하는 기능을 함께 사용한다.[1][3]

파일 암호화가 끝나면 몸값 메모가 표시되거나, 외부 사이트와 익명 연락처가 제시되는 경우가 많다.[1] 그러나 몸값을 지불해도 복구가 보장되지 않고, 오히려 추가 피해나 재공격 위험이 남는다.[2][3]

3. 피해와 범위

피해는 개인의 컴퓨터와 휴대전화에 그치지 않고, 조직의 업무 시스템과 저장소 전체로 확산될 수 있다.[1] 기업 환경에서는 서비스 중단, 경제적 손실, 고객 데이터 접근 불능이 동시에 발생해 가용성이 크게 훼손된다.[4]

랜섬웨어는 단순한 파일 잠금 문제를 넘어 사이버 보안과 정보 보안 전반의 문제로 다뤄진다. 특히 중요한 데이터가 암호화되면 별도 백업이 없는 한 즉시 복구하기 어렵기 때문에 예방이 가장 낮은 비용의 대응으로 평가된다.[1][4]

4. 대응 원칙

가장 중요한 대응은 정기적인 보안 패치 적용, 신뢰할 수 없는 링크와 첨부파일 회피, 오프라인 또는 분리된 백업 유지다.[1][4] 조직은 감염 탐지, 네트워크 분리, 복구 우선순위 정리, 외부 보고 체계를 포함한 사고 대응 절차를 미리 준비해야 한다.[4]

복구가 필요할 때는 No More Ransom 같은 공개 복구 자원을 먼저 확인하는 것이 일반적이다.[3] 다만 모든 변종에 해독 도구가 있는 것은 아니므로, 감염 전 백업과 사전 훈련이 실제 복구 가능성을 좌우한다.[2][3]

5. 같이 보기

관련 항목은 예방과 복구를 함께 볼 때 이해가 쉽다.[4]

6. 관련 문서

7. 인용 및 각주

[1] Wwww.ncsc.gov.uk(새 탭에서 열림)

[2] Ssecurity.berkeley.edu(새 탭에서 열림)

[3] Wwww.nomoreransom.org(새 탭에서 열림)

[4] Wwww.kisa.or.kr(새 탭에서 열림)