컴퓨터에 저장된 문서와 사진이 갑자기 열리지 않거나 파일 확장자가 알 수 없는 형태로 바뀌었다면 랜섬웨어 감염을 의심해야 한다. 화면이나 폴더에 파일 복구를 조건으로 가상자산을 요구하는 안내문이 나타나는 것도 대표적인 증상이다.
랜섬웨어에 감염됐을 때는 무작정 재부팅하거나 포맷하지 말고 네트워크 분리, 증거 보존, 신고, 원인 제거, 복구 순서로 대응해야 한다.
랜섬웨어란
랜섬웨어는 컴퓨터나 서버의 파일을 암호화한 뒤 복구 대가를 요구하는 악성프로그램이다. 최근에는 파일을 잠그기 전에 개인정보와 회사 자료를 빼내 공개하겠다고 협박하는 이중 갈취 방식도 사용된다.
따라서 백업으로 파일을 복원했더라도 개인정보와 계정정보가 외부로 유출됐는지 추가로 확인해야 한다.
감염 의심 증상
문서와 사진이 열리지 않고 여러 파일의 이름이나 확장자가 동시에 변경됐다면 감염 가능성이 있다. 바탕화면이나 폴더에 복구 방법, 공격자 이메일, 가상자산 입금 주소가 담긴 랜섬노트가 생성되기도 한다.
같은 네트워크에 연결된 다른 컴퓨터와 공유폴더, NAS에서도 파일이 연속으로 변경된다면 내부망으로 확산되고 있을 수 있다.
즉시 격리하기
랜섬웨어 감염 의심 시 랜선 분리와 와이파이 해제
가장 먼저 유선 랜 케이블을 뽑고 와이파이와 블루투스를 해제해야 한다. 외장하드, USB, NAS와 공유폴더 연결도 중단한다. 클라우드 동기화 폴더까지 암호화되고 있다면 동기화 중지도 검토해야 한다.
회사 컴퓨터라면 혼자 해결하려 하지 말고 전산·정보보안 담당자에게 즉시 알려야 한다. 여러 PC에서 동시에 이상이 발생하면 네트워크 장비 수준의 차단이 필요할 수 있다.
전원 종료 주의
네트워크 분리가 가능하다면 전원을 바로 끄는 행동은 신중해야 한다. 전원을 끄면 메모리에 남아 있는 실행 정보 등 원인 분석에 필요한 자료가 사라질 수 있기 때문이다.
다만 네트워크를 차단할 수 없고 감염이 계속 확산되는 상황이라면 전원 종료를 고려할 수 있다. 판단하기 어렵다면 KISA 118을 통해 긴급상담을 받는 것이 좋다.
증거 보존하기
랜섬노트와 감염 화면은 휴대전화로 촬영한다. 변경된 파일 확장자, 공격자의 이메일과 가상자산 지갑 주소, 감염 발견 시간도 기록해 둔다.
암호화 파일과 랜섬노트, 의심 파일을 먼저 삭제하거나 컴퓨터를 포맷하면 안 된다. 복구와 수사에 필요한 자료가 사라질 수 있다. 기업은 서버·방화벽·VPN·백신 로그와 가상서버 스냅샷도 별도로 보존해야 한다.
신고하는 방법
랜섬웨어 감염 의심 시 랜선 분리와 와이파이 해제
랜섬웨어 기술 상담은 국번 없이 118번을 누른 뒤 ARS 2번을 선택하면 된다. KISA의 해킹·바이러스 긴급상담은 365일 24시간 운영된다.
기업과 기관은 KISA 보호나라에서 침해사고를 신고할 수 있다. 공격자 수사나 금전 피해 신고가 필요하다면 경찰청 사이버범죄 신고시스템을 이용한다.
신고할 때는 랜섬노트, 피해 파일 목록, 공격자 연락처와 지갑 주소, 송금 내역 등을 준비하는 것이 좋다.
몸값 요구 대응
공격자에게 성급하게 돈을 보내서는 안 된다. 돈을 지급해도 정상적인 복호화 키를 받거나 파일 전체를 복구한다는 보장이 없다. 유출한 자료를 실제로 삭제했는지도 확인하기 어렵다.
공격자가 추가 금액을 요구하거나 같은 피해자를 다시 공격할 가능성도 있다. 금전 요구를 받았다면 개인적으로 협상하기보다 KISA와 경찰, 보안 전문가에게 먼저 상담해야 한다.
복구 가능성
일부 랜섬웨어에는 무료 복호화 도구가 공개돼 있다. 변경된 파일 확장자와 랜섬노트, 암호화 파일의 일부를 이용해 랜섬웨어 종류를 확인할 수 있다.
복호화 도구는 KISA나 No More Ransom처럼 공신력 있는 경로에서 확인해야 한다. 출처가 불분명한 복구 프로그램은 또 다른 악성코드일 수 있으므로 설치하지 않는 것이 안전하다.
KISA 118 랜섬웨어 신고와 증거 보존 후 안전한 복구
안전한 복구
백업이 있더라도 감염된 컴퓨터에 바로 연결하면 안 된다. 악성코드가 남아 있으면 백업 장치까지 암호화될 수 있다.
먼저 증거를 보존하고 감염 원인과 범위를 확인한다. 이후 깨끗한 환경에서 운영체제와 프로그램을 재설치하고 최신 보안 업데이트를 적용한다. 악성코드와 공격자의 잔존 접근이 없다는 점을 확인한 뒤 정상 백업에서 중요한 자료부터 복원해야 한다.
복구 후에는 안전한 기기에서 이메일·클라우드·VPN·관리자 계정의 비밀번호를 변경하고 다중인증을 설정하는 것이 좋다.
예방하는 방법
중요 자료는 두 개 이상의 저장매체에 보관하고, 백업 하나는 평소 네트워크와 분리해야 한다. NAS나 클라우드를 사용한다면 버전 관리와 삭제 방지 기능도 확인한다.
운영체제와 프로그램, 백신은 최신 상태로 유지한다. 출처가 불분명한 이메일 첨부파일과 링크를 열지 않고, 사용하지 않는 원격접속 기능은 비활성화한다. 관리자 계정과 일반 계정을 분리하고 공유폴더 권한도 최소화해야 한다.
기업 확인사항
기업이나 기관에서 개인정보 유출이 발생했다면 별도의 법정 신고 의무를 검토해야 한다. 외부의 불법 접근으로 개인정보가 유출된 경우 등에는 인지 후 72시간 이내 신고 대상이 될 수 있다.
KISA 침해사고 신고와 개인정보 유출 신고는 목적이 다르다. 적용 여부가 불분명하면 개인정보보호 담당자와 KISA에 확인하고 관련 시스템과 로그를 원본 상태로 보존해야 한다.
마무리
랜섬웨어가 의심되면 네트워크 분리 → 증거 보존 → 신고 → 원인 제거 → 안전한 복구 순서를 지켜야 한다. 감염 직후 포맷하거나 백업 장치를 연결하는 행동은 피해야 한다.
평소 오프라인 백업과 보안 업데이트, 다중인증을 생활화하면 감염 가능성을 낮추고 사고 발생 후의 복구 부담도 줄일 수 있다.
#랜섬웨어 #랜섬웨어감염 #랜섬웨어예방 #랜섬웨어대응 #랜섬웨어신고 #랜섬웨어복구 #KISA118 #보호나라 #사이버범죄신고 #데이터백업
답글 남기기