서버 파일들이 낯선 확장자로 바뀌어 있고 폴더마다 안내문이 놓여 있다면 랜섬웨어입니다. 이때 몇 분 안에 내리는 판단이 복구 가능 여부를 가릅니다. 그런데 급한 마음에 하는 행동들이 오히려 복구를 어렵게 만드는 경우가 많아요.
먼저 네트워크에서 분리하세요
랜섬웨어는 감염된 서버에 머물지 않고 연결된 다른 장비로 번집니다. 특히 공유 폴더나 백업 서버로 퍼지면 피해가 걷잡을 수 없어져요. 그래서 첫 조치는 해당 서버를 네트워크에서 끊는 것입니다.
다만 전원을 내리는 건 신중해야 합니다. 메모리에만 남아 있는 흔적이 있고, 경우에 따라 복호화에 필요한 정보가 거기 있을 수도 있어요. 네트워크 케이블을 뽑거나 방화벽에서 차단하는 방식으로 격리하되, 서버는 켜둔 채로 두는 편이 낫습니다.
그리고 암호화된 파일을 지우지 마세요. 나중에 복호화 도구가 나오는 경우가 있는데, 파일을 지워버리면 그 가능성마저 사라집니다. 용량이 부담되면 다른 저장소로 옮겨두는 게 좋습니다.
돈을 보내도 돌아온다는 보장이 없습니다
가장 흔한 유혹입니다. 하지만 돈을 보내도 복호화 키를 받지 못하는 사례가 적지 않고, 받아도 일부 파일만 풀리는 경우가 있어요. 지불 이력이 남으면 같은 조직의 재공격 대상이 되기도 합니다.
대신 한국인터넷진흥원(KISA) 인터넷침해대응센터(국번없이 118)에 신고하고 상담받으시길 권합니다. 알려진 랜섬웨어라면 공개된 복호화 도구가 있을 수 있고, 대응 절차도 안내받을 수 있습니다.
파일이 잠긴 것과 정보가 샌 것은 별개예요
랜섬웨어 피해를 파일이 열리지 않는 문제로만 보면 대응이 늦어질 수 있어요. 미국 사이버보안·인프라보안청(CISA)은 파일을 암호화하면서 자료도 빼내고, 이를 공개하겠다고 압박하는 방식을 ‘이중 갈취’라고 설명합니다. 암호화 없이 정보 공개 위협만으로 돈을 요구하는 공격도 있어요. 그래서 복구 가능성과 별도로, 외부에 어떤 자료가 넘어갔는지 확인하는 절차가 필요합니다. 파일을 다시 열 수 있게 됐다는 사실만으로 고객 정보까지 안전하다고 판단하면 안 됩니다.
이때는 공격자의 안내문만 믿고 피해 범위를 정하지 마세요. 국제 랜섬웨어 대응 협의체(CRI)의 2024년 지침은 도난당했다는 자료의 종류와 양을 검증하고, 정보의 민감도를 평가하라고 권고합니다. 서버에 어떤 고객 자료와 업무 문서가 있었는지 정리한 뒤 보안 담당자에게 비정상적인 외부 전송 흔적을 확인해달라고 요청하세요. CISA가 제시한 조사 단서에는 평소와 다른 대량의 외부 전송, 예상하지 못한 프로그램 설치와 예약 작업 등이 있습니다. 이런 흔적은 조사 출발점이지, 하나만으로 유출 여부를 단정하는 기준은 아니에요.
개인정보가 관련되면 서비스 장애 안내 외에 유출신고 기준도 확인해야 해요. 2026년 10월 기준 개인정보보호위원회 안내는 1천명 이상의 개인정보 유출, 민감정보·고유식별정보 유출, 외부의 불법적인 접근에 따른 개인정보 유출 중 어느 하나에 해당하면 72시간 이내 신고하도록 설명합니다. 특히 외부 침입으로 유출됐다면 피해 인원이 적다는 이유만으로 신고 대상에서 빠지는 것은 아니에요. 감염됐다는 사실과 개인정보가 유출됐다는 사실을 구분하고, 신고 담당자가 자료 항목·규모·경위와 피해 최소화 조치를 함께 확인하도록 하세요.
초기화 전에 사고 기록부터 남겨두세요
서비스가 멈추면 서버를 초기화하거나 운영체제를 다시 설치하고 싶어집니다. 하지만 복구에 손대기 전에 조사에 필요한 자료를 어떻게 남길지 먼저 정해야 해요. CISA 대응 지침에는 피해 장비의 시스템 이미지와 관련 로그를 수집하고, 클라우드 자원은 볼륨 스냅샷을 확보하는 절차가 들어 있습니다. 여기서 시스템 이미지는 조사할 당시의 저장장치 상태를 복제한 자료예요. 정상 서비스로 되돌릴 복구용 백업과 목적이 다르므로, 사고 상태를 담은 사본을 그대로 운영 서버로 사용해서는 안 됩니다.
증거 보존은 안내문 화면을 찍는 것으로 끝나지 않아요. CISA는 보관 기간이 짧거나 쉽게 사라지는 로그를 우선 보존하라고 권고합니다. 서버 보안 로그와 방화벽 로그 등이 그 대상이에요. 호스팅 업체에 문의할 때도 ‘복구해주세요’와 함께 ‘현재 서버 상태와 관련 로그를 조사용으로 보존해주세요’라고 요청하는 편이 좋습니다. 서버를 재설치할지, 어떤 사본을 먼저 확보할지는 대응 담당자와 순서를 맞추세요. 조사에 필요한 자료 확보와 서비스 재개를 별도 작업으로 잡아두면 담당자 사이의 혼선도 줄일 수 있어요.
작업 기록은 감염되지 않은 장비나 종이에 남겨두세요. CRI 지침은 사고 대응 과정에서 내린 결정, 실행한 조치, 확보한 자료와 누락된 자료를 기록하라고 안내합니다. 발견 시각, 작업한 사람, 조치 내용과 그 이유를 한곳에 모으는 방식으로 시작하면 됩니다. 예를 들어 어느 서버에서 이상을 발견했고 누가 어떤 차단을 적용했는지를 남기는 거예요. 사고가 끝난 뒤 기억에 의존해 다시 작성하기보다 현장에서 바로 기록하세요. 사이버보험에 가입했다면 약관의 사고 보고 조건도 확인하세요. 이 기록은 이후 피해 평가와 사고 검토에 쓰이고, 보험이나 관계 기관에 대응 과정을 설명할 때도 근거가 됩니다.
결국 백업이 답입니다
현실적으로 확실한 복구 수단은 백업뿐입니다. 문제는 랜섬웨어가 백업부터 노린다는 점이에요. 서버에 마운트된 백업 스토리지나 같은 자격증명으로 접근되는 저장소는 함께 암호화됩니다.
그래서 서버에서 접근할 수 없는 백업이 하나는 있어야 합니다. 서버가 백업 저장소에 쓰기만 할 수 있고 지우거나 덮어쓸 수는 없게 하거나, 아예 분리된 자격증명으로 관리하는 방식이에요. 이 한 겹이 있느냐가 복구와 폐업을 가릅니다.
복구할 때는 백업을 되살리기 전에 침입 경로부터 막아야 합니다. 원인을 그대로 둔 채 복구하면 며칠 만에 같은 일이 반복됩니다.
들어오는 길은 몇 개 안 됩니다
감염 경로는 대부분 정해져 있습니다. 인터넷에 노출된 원격 접속 통로, 패치하지 않은 취약점, 그리고 첨부파일이나 링크를 통한 유입이에요. 앞선 글에서 다룬 원격 접속 제한과 정기 패치가 그대로 예방책이 됩니다.
여기에 계정 권한을 최소로 주는 것도 중요합니다. 관리자 권한으로 실행되면 서버 전체가 암호화되지만, 제한된 권한이면 피해 범위가 그만큼 좁아집니다. 그리고 같은 비밀번호를 여러 서버에 돌려쓰지 마세요. 하나가 뚫리면 전부 뚫립니다.
TIDC는 서버관리 서비스에서 접속 통제와 정기 패치, 분리 보관 백업까지 함께 운영합니다. 지금 구성으로 충분한지 점검이 필요하시면 편하게 문의해주세요.
파일 보관용 외장 하드, 쿠팡에서 찾기
이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다. 가격·재고는 쿠팡에서 확인하세요.
