랜섬웨어

랜섬웨어는 내 파일을 몰래 잠가 버리고, 풀어 주는 대가로 돈을 요구하는 악성 프로그램이에요. 도둑이 집에 들어와 서랍마다 새 자물쇠를 채우고 "열쇠값을 내라"는 쪽지를 남기는 것과 비슷해요. 이름도 몸값(ransom)과 소프트웨어(ware)를 합친 말이에요.

랜섬웨어는 어떻게 동작하나요?

보통 네 단계로 움직여요. ① 메일 첨부파일이나 열린 접속 통로로 몰래 들어와요. ② 같은 네트워크의 다른 컴퓨터로 퍼져요. ③ 복구를 막으려고 백업부터 찾아 지우거나 같이 잠가요. ④ 문서·사진·데이터베이스 파일을 암호화하고, 바탕화면에 협박문을 띄워요.

미국 사이버보안 기관(CISA)의 대응 지침도 이 점을 짚어요. 많은 랜섬웨어가 손닿는 곳의 백업을 먼저 찾아 없앤다는 거예요. 그래서 컴퓨터에 늘 연결된 외장 하드는 백업으로 믿기 어려워요.

요즘은 파일을 잠그기 전에 몰래 빼 가기도 해요. 그다음 "돈을 안 내면 인터넷에 공개하겠다"고 한 번 더 협박해요. 이걸 이중 협박이라고 불러요.

어디로 들어오나요?

CISA 지침이 꼽는 길을 정리하면 아래와 같아요. 대부분 "문을 열어 둔 곳"으로 들어와요.

걸리면 무엇부터 하나요?

CISA 지침과 국내 신고 절차를 순서대로 묶으면 이래요.

1. 네트워크에서 떼어 내기 — 랜선을 뽑고 와이파이를 꺼요. 다른 기기로 번지는 걸 막는 게 먼저예요. 끊을 수 없을 때만 전원을 꺼요.
2. 협박문 사진 찍어 두기 — 랜섬웨어 이름과 바뀐 파일 확장자가 나중에 단서가 돼요.
3. 신고하기 — KISA 보호나라 침해사고 신고 페이지나 국번 없이 118로 상담할 수 있어요.
4. 풀이 도구 찾아보기 — 경찰과 보안 회사가 함께 운영하는 No More Ransom 사이트에 일부 랜섬웨어의 복호화 도구가 올라와 있어요.
5. 백업에서 되살리기 — 감염된 기기를 깨끗이 다시 설치한 뒤, 감염 전 시점의 백업으로 돌아가요.

돈을 내는 건 권하지 않아요. No More Ransom 은 돈을 내도 풀이 키를 받는다는 보장이 없고, 범죄를 키운다고 안내해요.

백업과 스냅샷, 무엇이 있어야 하나요?

랜섬웨어에서 파일을 되찾는 가장 확실한 길은 감염 전 사본이에요. 다만 사본을 어디에 두느냐가 갈림길이에요.

CISA 는 오프라인에 암호화한 백업을 두고, 실제로 되살려 보는 연습까지 하라고 권해요. 스냅샷과 백업의 차이는 서버 스냅샷과 백업은 무엇이 다른가에 따로 정리해 두었어요.

직접 확인해 보기 — 내 PC의 랜섬웨어 방지 기능

윈도우에는 제어된 폴더 액세스라는 랜섬웨어 방지 기능이 있어요. 믿을 수 있는 앱만 문서·사진 같은 보호 폴더의 파일을 바꿀 수 있게 막는 기능이에요. 2026년 10월 29일, 서울 사무실 윈도우 11 PC에서 PowerShell로 상태만 읽어 봤어요. 설정은 바꾸지 않았어요.

# 실시간 보호가 켜져 있는지
(Get-MpComputerStatus).RealTimeProtectionEnabled
True

# 제어된 폴더 액세스 상태 (0=꺼짐, 1=차단, 2=감사)
(Get-MpPreference).EnableControlledFolderAccess
0

실시간 보호는 켜져 있었고, 제어된 폴더 액세스는 0(꺼짐)이었어요. 마이크로소프트 문서에 따르면 이 기능은 처음부터 꺼져 있는 게 기본값이에요. 즉 따로 켜지 않은 PC는 대부분 이 상태예요.

켜는 곳은 Windows 보안 → 바이러스 및 위협 방지 → 제어된 폴더 액세스 관리예요. 윈도우 버전에 따라 "랜섬웨어 방지 관리"라고 보이기도 해요. 다만 자주 쓰는 프로그램이 막힐 수 있어요.

그래서 마이크로소프트는 막지 않고 기록만 남기는 감사 모드(2)로 먼저 지켜보라고 권해요. 감사 모드는 Windows 보안 화면에는 없고, 관리자 PowerShell 에서 Set-MpPreference -EnableControlledFolderAccess AuditMode 로 켜요.

자주 하는 오해

• "백신이 있으면 안 걸려요." 백신은 알려진 것을 잘 잡지만, 새 변종이나 사람이 직접 들어와 돌리는 공격은 놓칠 수 있어요. 백업이 함께 있어야 해요.
• "클라우드에 올려 두면 백업이에요." 동기화는 바뀐 내용을 그대로 따라가요. 잠긴 파일도 같이 올라가요.
• "개인 PC만 노려요." 서버·공유 폴더·백업 장비가 더 큰 목표가 되기도 해요. 멈추면 손해가 큰 곳일수록 돈을 받아 내기 쉽기 때문이에요.
• "돈을 내면 끝나요." 키를 못 받거나, 빼 간 자료로 다시 협박받을 수 있어요.

퓨쳐인프라에서는

퓨쳐인프라 가상서버는 스냅샷을 찍어 특정 시점으로 되돌릴 수 있어요. 디스크 3중 복제는 장비 고장에 대비한 장치라서, 랜섬웨어처럼 내용이 바뀌는 사고에는 스냅샷과 따로 둔 백업을 같이 챙기는 게 좋아요.

기본 방화벽은 처음에 모든 포트가 닫혀 있어요. 웹이면 80·443만, 관리 접속은 내 IP만 열면 원격 접속이 길가에 노출되지 않아요. 올라오는 파일 검사가 필요하면 방화벽(UTM) 부가서비스에 백신이 들어 있어요(월 150,000원, 부가세 포함). 가입하면 2,000원 크레딧으로 서버를 만들어 스냅샷까지 직접 해 볼 수 있어요.

자주 묻는 질문

랜섬웨어에 걸린 파일을 되살릴 수 있나요?

감염 전 백업이나 스냅샷이 있으면 되살릴 수 있어요. 없다면 No More Ransom 에 그 랜섬웨어의 풀이 도구가 있는지 찾아보세요. 도구가 없는 종류가 더 많아요.

돈을 내면 파일을 돌려받나요?

보장이 없어요. 공식 기관과 No More Ransom 모두 돈을 내지 말라고 안내해요.

어디에 신고하나요?

KISA 보호나라 침해사고 신고 페이지나 국번 없이 118로 하면 돼요. 회사라면 IT 담당자에게 먼저 알리세요.

백업은 얼마나 자주 해야 하나요?

"얼마만큼 잃어도 괜찮은가"로 정해요. 하루치 작업을 잃기 싫으면 매일, 한 시간치도 아까우면 더 자주 해요. 가끔은 실제로 되살려 보세요.

관련 용어

• 백업 · 스냅샷 · 스냅샷과 백업의 차이
• 취약점 · 방화벽 · 2단계 인증 · VPN