랜섬웨어

왜 배우는가: 랜섬웨어는 피해 규모가 커서 정보보안 실무 전반에서 다뤄진다. 시험에서는 개념 정의, 사업 모델(RaaS), 대응 체계를 함께 묻는 방식으로 반복 출제된다. 정의와 대응 방안을 나눠 답안을 쓸 수 있어야 한다.

출제 이력: 제128회 1교시 12번, 제113회 3교시 3번

1. 한 줄 정의와 핵심 키워드

랜섬웨어는 데이터나 시스템을 암호화하거나 잠가 복구 대가로 금전을 요구하는 악성코드이다.

핵심 키워드

• 랜섬웨어(Ransomware)
• 암호화(Encryption)
• 이중협박(Double Extortion)
• 하이브리드 암호 방식
• RaaS(Ransomware as a Service)
• 운영자(Operator)와 제휴자(Affiliate)

2. 개념 풀이

쉽게 말하면 랜섬웨어는 파일을 볼모로 잡고 돈을 요구하는 악성코드다. 과거의 바이러스가 데이터 파괴를 목적으로 했다면, 랜섬웨어는 금전 획득을 목적으로 한다. 피해자 입장에서는 인질범과 비슷한 구조로 작동한다.

정식으로 정의하면 다음과 같다. 랜섬웨어는 피해자의 파일을 암호화하거나 시스템 접근을 차단한 뒤, 복호화나 복구의 대가로 금전을 요구하는 악성코드다. 파일만 잠그는 방식과 시스템 전체를 잠그는 방식이 있다.

공격 기법의 핵심은 하이브리드 암호 방식이다. 공격자는 무작위 대칭키로 파일을 암호화한다. 그 대칭키를 공격자 공개키로 다시 암호화한다. 짝이 되는 개인키가 없으면 대칭키를 복원할 수 없으므로 피해자가 스스로 복호화하기 어렵다.

최근에는 암호화에 더해 데이터 유출을 협박 수단으로 쓰는 이중협박(Double Extortion)이 일반화되었다. 백업으로 복구가 가능하더라도 유출 위협이 남는다. 이 점이 몸값 압박의 근거가 된다.

RaaS(Ransomware as a Service)는 랜섬웨어를 서비스 형태로 제공하는 분업형 사이버범죄 모델이다. 개발자는 운영자(Operator)로서 도구, 인프라, 몸값 협상 절차를 제공한다. 제휴자(Affiliate)는 유포와 침투를 맡는다. 수익은 성공한 몸값 지불에 연동되어 나눈다. 제휴자는 악성코드를 직접 만들 기술이 없어도 공격을 수행할 수 있다.

3. 등장 배경과 필요성

랜섬웨어가 급증한 배경은 세 가지로 정리된다. 첫째, 공격 목적이 파괴에서 금전 획득으로 바뀌었다. 둘째, 공격 경로가 다양해졌다. 웹에서는 드라이브바이 익스플로잇과 악성 광고가 쓰이고, 이메일에서는 피싱, 스피어피싱, 악성 첨부파일이 쓰인다.

셋째, RaaS로 공격의 진입장벽이 낮아졌다. 기술이 부족한 공격자도 검증된 도구를 빌려 공격할 수 있게 되었다. 그 결과 공격 건수가 늘고 공격자 층도 넓어졌다.

감염 이후에는 횡적 이동이 일어난다. 한 시스템을 장악한 뒤 연결된 다른 시스템과 서버로 확산한다. 많은 공격자는 피해자의 로컬 백업과 NAS의 백업까지 삭제를 시도한다. 따라서 네트워크에 연결된 백업만으로는 방어가 부족하다.

피해 비용도 크다. 포브스 보고서 인용에 따르면 2021년 기준 회복 평균 총비용은 몸값의 약 10배에 달했다. 2026년 국내 보안 행사에서는 AI가 피싱 메일 작성에 쓰이며 공격이 정교해졌다는 분석도 나왔다.

랜섬웨어 피해는 암호화에 그치지 않는다. 생산 설비와 서비스 중단, 정보 유출, 기업 신뢰 하락으로 이어진다. 따라서 사전 예방, 감염 시 확산 차단, 사후 복구를 기술과 관리 측면에서 함께 갖춰야 한다. 이 세 단계를 묶어 설명하는 것이 답안의 기본 구조다.

4. 구성요소·원리·절차

랜섬웨어는 침투(Initial Access), 확산(Propagation), 암호화(Encryption), 요구(Extortion)의 네 단계로 동작한다. 각 단계를 끊으면 피해를 줄일 수 있으므로 대응 설계의 기준이 된다. 구성요소를 표로 나누면 다음과 같다.

표의 각 구성요소는 독립된 차단 지점이 된다. 침투 경로는 메일·웹 보안으로, 확산 모듈은 네트워크 분할로, C2 채널은 egress 필터링으로 차단한다. 이 구조를 답안에 그리면 채점에 유리하다.

원리는 하이브리드 암호 방식이다. 파일마다 무작위 대칭키로 빠르게 암호화하고, 그 대칭키를 공격자 공개키로 다시 암호화해 피해자 시스템에 남긴다. 피해자는 공격자의 개인키 없이는 대칭키를 얻을 수 없으므로 복호화가 어렵다. 최근에는 암호화 전에 데이터를 외부로 유출해 두고, 지불하지 않으면 공개하겠다고 협박하는 이중협박(Double Extortion) 방식이 일반화되었다. 이 때문에 백업만으로는 협박 대응이 불가능하다.

절차는 다음과 같다.

• 침투: 피싱 메일 첨부파일 실행, 취약한 서비스 공격, 악성 광고 클릭으로 최초 감염이 일어난다.
• 권한 상승과 횡적 이동: 관리자 계정을 탈취하고 공유 자원과 백업 서버까지 접근 범위를 넓힌다.
• 데이터 탈취: 민감 파일을 외부 서버로 복사해 협박 자료를 확보한다.
• 암호화: 로컬과 네트워크 드라이브의 파일을 일괄 암호화하고 백업 파일을 삭제 시도한다.
• 요구: 화면에 지불 안내를 띄우고 기한을 설정한다.

각 단계의 탐지 지표는 다르다. 단계 3의 대량 외부 전송, 단계 4의 짧은 시간 내 대량 파일 변경이 대표적이다. 따라서 EDR은 파일 변경 행위를, NDR은 외부 전송 이상을 함께 본다.

랜섬웨어 대응은 암호화 전 단계에서 끊는 것이 핵심이다. 암호화가 시작되면 이미 손실은 발생하고, 복구는 백업에 의존하게 된다.

5. 관련 법령·기준·표준

랜섬웨어 자체를 직접 규정한 법령은 없다. 대응은 정보보호 관리체계와 개인정보 안전성 확보조치, 침해사고 신고 제도로 이뤄진다. 기준 수치와 조건을 표로 정리하면 다음과 같다.

표의 백업 원칙은 실무 수험서에 널리 실린 기준이다.

국내 기준과 대응 체계를 함께 보면 다음과 같다. 정보보호 관리체계(ISMS-P)는 관리적 기준의 틀이고, 「개인정보 보호법」은 유출 시 통지 의무를 정한다. 기술적 기준은 개인정보 안전성 확보조치 기준과 각 기관의 보안 지침이 제시한다. 국가정보원의 N2SF(국가망 보안체계)는 공공기관 데이터 분류와 접근 통제의 방향을 정한다.

오프라인 백업 외에 네트워크 분할과 최소 권한 원칙은 확산을 막는 기본 기준이다. 해당 수치는 조직 정책에 따르므로 기준 문서와 함께 기록한다.

기준 체계는 정책 기준과 기술 기준으로 나뉜다. 정책 기준은 백업 주기와 보관 기간을, 기술 기준은 패치 주기와 탐지 규칙을 정한다. 두 기준을 함께 문서화해야 감사에서 통과할 수 있다.

백업은 복구 수단이지 업무 중단과 협박 대응의 수단이 아니다. 이 점을 답안에 함께 적어야 점수가 난다.

6. 유형과 비교

랜섬웨어는 암호화 방식, 감염 경로, 수익 모델, 협박 방식에 따라 여러 유형으로 나눌 수 있다. 기준별로 나눠 보면 대응 우선순위가 분명해진다.