몸값을 냈는데도 파일이 돌아오지 않는다. 이건 이미 알려진 얘기다. 근데 최근엔 한 술 더 뜬다. 특정 코딩 오류로 인해 128KB를 초과하는 파일은 애초에 복구 불능 상태로 파괴되어버리는 랜섬웨어까지 나왔다. Tom’s Hardware 보도를 보면, 돈을 내든 안 내든 파일은 그냥 사라진다. 읽으면서 솔직히 좀 아찔했다. 랜섬웨어가 ‘암호화 → 인질’ 공식에서 ‘그냥 다 부숴버리기’로 진화하고 있다는 얘기다.
랜섬웨어, 이제는 암호화도 아니다
원래 랜섬웨어의 공식은 이랬다. 파일을 잠그고, 돈을 받으면 키를 준다. 범죄자 입장에서도 ‘신뢰’가 필요했으니까. 근데 그 공식이 깨지고 있다. 최근 보안 업계 보고서들을 보면 몸값 지불 후에도 복구 키가 아예 안 오는 경우가 늘었고, 기술적 결함으로 인해 파일 자체를 되살릴 수 없는 상태로 만들어버리는 변종도 확인됐다. 128KB 초과 파일을 죄다 망가뜨리는 랜섬웨어가 그 예다. 이 경우엔 몸값을 내도 아무 의미가 없다. 처음부터 복구가 불가능하니까.
결론은 단순하다. 감염되지 않는 게 최선이고, 감염됐을 때 살아남으려면 백업밖에 없다.
감염 전에 해야 할 것들
예방의 핵심은 세 가지다. 백업, 업데이트, 의심.
- 3-2-1 백업 규칙: 가장 확실한 방어선이다. 데이터 복사본 3개, 서로 다른 저장 매체 2개(PC 내장, 외장하드, 클라우드 조합), 그리고 그 중 1개는 반드시 오프라인에. 평소엔 외장하드를 PC에서 분리해놔야 한다. 랜섬웨어는 네트워크로 연결된 장치를 싹 다 감염시키기 때문이다.
- 3개: 원본 포함 최소 3벌 보관
- 2개: 다른 매체에 분산 — 내장 드라이브, 외장 SSD, 클라우드 중 2가지 이상
- 1개: 네트워크 미연결 오프라인 보관. 이게 핵심이다
- OS·소프트웨어 업데이트: 귀찮아도 해야 한다. OS, 웹 브라우저, 오피스, 백신 소프트웨어 — 전부 최신 버전으로 유지해야 랜섬웨어 침투 경로를 막는다. 업데이트 미루는 습관이 보안 구멍을 열어두는 거다.
- 이메일 첨부파일 주의: 랜섬웨어 감염 경로의 상당 부분이 이메일이다. .exe, .zip, .js, .vbs 확장자 파일은 발신자를 먼저 의심해라. 링크도 클릭 전에 URL을 확인하는 습관이 필요하다.
- 강력한 비밀번호 + 2단계 인증: 계정이 털리면 끝이다. 복잡한 비밀번호에 MFA(다단계 인증)를 더하면 계정 탈취 위험이 크게 줄어든다.
- 방화벽 + 불필요한 포트 차단: 외부에서 들어오는 무단 접근을 막는 기본이다. 공유기 비밀번호를 기본값으로 쓰고 있다면 지금 당장 바꿔야 한다.
감염됐다 싶으면 이 순서대로
아무리 조심해도 감염될 여지는 있다. 그때 초기 대응이 피해 규모를 가른다.
- 네트워크 즉시 차단: 의심스러우면 일단 Wi-Fi를 끄거나 랜 케이블을 뽑아라. 랜섬웨어가 다른 기기로 번지는 걸 막고, 추가 암호화도 멈출 수 있다. 속도가 중요하다.
- 전원은 끄지 마라: 당황해서 강제 종료하면 오히려 복구 시도에 필요한 메모리 내 정보가 사라질 수 있다. 네트워크만 끊고 기기는 켜둔 채로 전문가를 기다리는 게 낫다.
- 증상 기록: 어떤 파일이 암호화됐는지, 확장자가 뭐로 바뀌었는지, 랜섬웨어 메시지는 뭐라고 나오는지 — 스크린샷이든 메모든 남겨둬라. 복구 전문가나 수사기관에 도움이 된다.
- KISA 118 상담: 한국인터넷진흥원(KISA) 118 상담센터에 신고하면 랜섬웨어 피해 복구 상담을 받을 수 있다. 혼자 끙끙대다 상황을 악화시키는 것보다 훨씬 낫다.
- 몸값 절대 내지 마라: 돈을 내도 파일을 돌려주지 않는 경우가 상당하다. 관련 연구 보고서들이 반복적으로 지적하는 내용이다. 앞서 말한 128KB 결함 랜섬웨어처럼 기술적으로 복구 자체가 불가능한 경우도 있다. 돈만 날린다.
파일 되찾기, 현실적으로 가능한가
랜섬웨어에 걸리면 복구 옵션이 몇 가지 있다. 솔직히 기대치는 낮게 잡는 게 맞다.
- 백업 복원: 제대로 된 백업이 있다면 이게 답이다. 감염된 시스템을 초기화하고 백업 데이터를 올리면 끝. 백업이 없는 경우엔 이 항목 자체가 의미 없다는 게 문제지만.
- 무료 복구 툴: 일부 랜섬웨어는 보안 업체들이 복구 툴을 만들어 무료 배포한다. ‘노모어랜섬(No More Ransom)’ 사이트에서 자신이 걸린 랜섬웨어 유형을 입력하면 복구 툴이 있는지 확인 가능하다. 단, 모든 랜섬웨어에 툴이 있는 건 아니다.
- 전문 복구 업체: 백업도 없고 무료 툴도 없다면 전문 업체에 맡기는 선택지가 남는다. 비용이 상당하고 성공을 100% 보장하지도 않는다. 그냥 현실이 그렇다.
- 손실 인정: 안타깝지만, 어떤 방법으로도 복구가 안 되는 경우가 있다. 128KB 결함 랜섬웨어처럼 처음부터 파일을 파괴해버린 경우라면 더더욱. 이게 오프라인 백업을 미리 해야 하는 이유다.
기업이라면 이것도 챙겨야 한다
기업 환경에서 랜섬웨어 피해는 규모가 다르다. 영업 자료, 고객 데이터, 내부 시스템이 한꺼번에 날아가면 회사 존립이 흔들린다. 개인용 백신 하나 설치해놓고 끝낼 수준이 아니다.
- EDR/XDR 솔루션: 엔드포인트에서 이상 징후를 실시간으로 탐지하고 대응하는 도구다. 공격이 퍼지기 전에 차단하는 데 효과적이다.
- 직원 보안 교육: 결국 사람이 뚫린다. 피싱 이메일 식별, 수상한 USB 차단, 의심스러운 사이트 접속 자제 — 정기적이고 실전적인 교육이 필요하다. 1년에 한 번 클릭만 하는 e러닝으로는 부족하다.
- 취약점 점검 + 모의 해킹: 실제로 뚫릴 수 있는 구멍이 어디 있는지 주기적으로 확인해야 한다. 모의 공격으로 방어 체계를 직접 시험해보는 것도 방법이다.
- 제로 트러스트 아키텍처: ‘아무것도 신뢰하지 않는다’는 원칙 아래, 모든 접근을 엄격히 인증하고 권한을 최소화하는 구조다. 내부자 위협과 외부 침입 양쪽 모두를 막는다.
- 보안 정책 수립: 데이터 접근 권한, 백업 주기, 사고 대응 절차 — 문서로 만들고 전 직원이 지키게 해야 한다. 정책이 없으면 사고 났을 때 우왕좌왕한다.
결국 살아남는 데이터는 오프라인 백업에서 시작된다
랜섬웨어는 계속 진화한다. 암호화에서 파괴로, 이제는 기술적 결함으로 복구 자체를 막아버리는 형태까지. 첨단 보안 솔루션도 중요하지만, 결정적으로 데이터를 지키는 건 오프라인 백업이다. 3-2-1 규칙을 생활화하고, 외장하드는 평소에 분리해놓고, 주기적으로 백업 상태를 점검해라. 완벽한 방어는 없다. 하지만 백업만 제대로 돼 있으면 랜섬웨어는 그냥 ‘불편한 사건’으로 끝난다.