랜섬웨어 초기 침투 후 24시간 내 암호화: 장기 잠복 공격까지 보는 대응 전략

서론

랜섬웨어 공격의 양상이 단순한 파일 암호화를 넘어 장기 침투와 데이터 유출로 확장되고 있습니다. 최근 카스퍼스키가 발표한 '사이버 세계 분석' 보고서에 따르면, 지난해 랜섬웨어 공격의 50.9%는 하루 이내에 종료되는 신속 공격이었고, 33%는 평균 108시간에 달하는 장기 공격이었습니다. 특히 혼합형 공격은 초기에는 단기 공격처럼 보이지만 이후 악성 행위를 지속시켜 전체 공격 기간을 약 19일로 늘리는 특징을 보였습니다.

국내 기업 보안 담당자는 이러한 다양한 공격 유형을 고려하여 대응 전략을 수립해야 합니다. 24시간 내 파일 암호화 공격에 대한 것과 동시에, 장기 잠복 공격을 탐지하고 차단하는 방어 체계를 구축하는 것이 필수적입니다.

본론

랜섬웨어 공격 유형별 특징

카스퍼스키 보고서는 랜섬웨어 공격을 크게 세 가지 유형으로 분류했습니다.

신속 공격(50.9%): 하루 이내에 종료되는 공격으로 대부분 파일 암호화로 이어진다. 공격자는 최대한 빠른 시간 내에 파일을 암호화하고 몸값을 요구한다. 이 유형은 기업이 대응할 시간이 거의 없다는 특징이 있다.

장기 공격(33%): 평균 108시간(약 4.5일)에 달하는 공격으로 파일 암호화 외에 악성코드 설치, 액티브 디렉토리(AD) 침해, 데이터 유출이 동반된다. 공격자는 기업 내부를 탐색하고, 권한을 상승시키며, 중요 데이터를 수집하는 과정을 거친다.

혼합형 공격(16.1%): 초기에는 단기 공격처럼 보이지만 이후 악성 행위를 지속시켜 전체 공격 기간을 약 19일로 늘린다. 기업이 초기 위협을 조기에 탐지했다고 판단하고 방심하는 시점에 2차, 3차 공격을 수행한다.

주요 초기 침투 경로

지난해 공격자가 가장 많이 악용한 초기 경로는 다음과 같다.

1. 외부 노출 애플리케이션 취약점(43.7%): 인터넷에 노출된 웹 애플리케이션의 취약점을 악용하여 초기 침투한다. SQL 인젝션, 취약한 인증 메커니즘, 구성 오류 등이 주요 공격 대상이다.

2. 정상 유효 계정(25.4%): 피싱이나 자격증명 스터핑 등을 통해 탈취한 정상 계정으로 접근한다. 기업 보안 시스템이 정상 사용자의 접근으로 인식하기 때문에 탐지가 어렵다.

3. 협력사 및 파트너 신뢰 관계(15.5%): 협력사와의 연결망을 악용하여 침투한다. 공급망 공격의 일환으로, 협력사의 보안 수준이 낮을 경우 기업으로의 침투 경로가 된다.

지난 7년간 상위 3개 초기 공격 벡터는 비교적 안정적으로 유지되었습니다. 유효 계정과 외부 노출 애플리케이션 취약점 공격은 지속적으로 가장 중요한 침투 경로로 나타났습니다. 과거 주요 벡터였던 악성 이메일은 2021년 처음 등장한 신뢰 관계 공격에 의해 대체되었고, 2023년 상위 3위권에 진입했습니다.

국내 기업 보안 리스크 및 영향

국내 기업의 경우 다음과 같은 리스크를 고려해야 합니다.

대응 시간 부족: 신속 공격에 대한 24시간 대응 체계가 없으면 파일 암호화가 발생한 이후에는 복구가 어렵다. 특히 밤이나 주말에 발생하는 공격은 대응 인력 부족으로 피해가 확대될 수 있다.

장기 침투 미탐지: 장기 공격과 혼합형 공격은 기업 내부에 잠복하는 기간이 길다. 탐지 시스템이 일시적으로 경고를 포착더라도 위협으로 분류하지 않고 넘어가면, 공격자는 장기간 기업 내부에서 활동할 수 있다.

데이터 유출로 인한 2차 피해: 장기 공격은 데이터 유출을 동반한다. 기업의 중요 데이터가 유출되면 파일 암호화 피해 이후에도 법적 책임, 신뢰 하락, 경쟁사에 정보 유출 등 2차 피해가 발생할 수 있다.

공급망 취약점: 협력사 및 파트너 신뢰 관계가 주요 침투 경로라는 점은, 기업 자체 보안 수준이 높더라도 협력사의 보안 수준이 낮으면 침투에 취약하다는 것을 의미합니다. 국내 기업의 경우 협력사 관리가 체계적으로 이루어지지 않는 경우가 많아 추가적인 대비가 필요합니다.

대응 전략 및 체크리스트

랜섬웨어 공격의 다양한 유형에 대비하기 위해서는 사후 대응 방식이 아니라 실시간 위협 모니터링과 지속 탐지를 운영 전반에 통합한 선제적 보안 체계가 필요합니다.

1. 초기 침투 경로 차단

외부 노출 애플리케이션 보안
- [ ] 인터넷에 노출된 모든 애플리케이션 목록 최신화
- [ ] 웹 애플리케이션 방화벽(WAF) 적용 및 규칙 최신화
- [ ] 웹 애플리케이션 취약점 스캐닝 정기 수행 (분기 1회 이상)
- [ ] SQL 인젝션, XSS 등 주요 웹 취약점 보안 패치
- [ ] 불필요한 포트 및 서비스 차단

계정 보안 강화
- [ ] 강력한 비밀번호 정책 적용 (8자 이상, 대소문자/숫자/특수문자 혼합)
- [ ] 다중 인증(MFA) 모든 계정에 의무 적용
- [ ] 권한 분리 및 최소 권한 원칙 준수
- [ ] 정기적인 계정 권한 재검토 (분기 1회)
- [ ] 장기 미사용 계정 자동 차단

협력사 보안 관리
- [ ] 협력사 보안 수준 평가 및 협력사 조건 명문화
- [ ] 협력사 접근 경로 분리 및 네트워크 세그멘테이션
- [ ] 협력사 계정 모니터링 및 접근 로그 분석
- [ ] 협력사와의 보안 협업서비스(SLA) 체결

2. 실시간 위협 탐지 및 모니터링

SIEM/SOC 운영
- [ ] 보안 정보 및 이벤트 관리(SIEM) 시스템 도입
- [ ] 보안 운영 센터(SOC) 24시간 운영 또는 위탁
- [ ] 침투 탐지 시스템(IDS) 및 침투 방지 시스템(IPS) 배치
- [ ] 엔드포인트 탐지 및 대응(EDR) 솔루션 모든 기기에 설치
- [ ] 로그 수집 및 분석 정책 수립

이상 징후 탐지 규칙
- [ ] 이상 로그인 시도 탐지 (비정상적인 시간, 위치, 기기)
- [ ] 대용량 데이터 전송 탐지
- [ ] 시스템 관리자 권한 상승 시도 모니터링
- [ ] 알 수 없는 프로세스 실행 탐지
- [ ] 액티브 디렉토리(AD) 이상 징후 모니터링

3. 장기 침투 대응

지속 탐지
- [ ] 내부 네트워크 분할 및 세그멘테이션
- [ ] 중요 시스템 격리 및 추가 보안 강화
- [ ] 정기적인 내부 침투 테스트 및 레드 팀 운영
- [ ] 사용자 행동 분석(UBA) 도입
- [ ] 장기 잠복 공격 시나리오 기반 훈련

악성코드 대응
- [ ] 악성코드 탐지 솔루션 최신화
- [ ] 샌드박스 환경에서의 파일 분석
- [ ] 정기적인 취약점 점검 및 패치 관리
- [ ] 알 수 없는 소프트웨어 설치 금지 정책

4. 데이터 백업 및 복구

백업 전략
- [ ] 정기적 데이터 백업 (일일 주요 데이터, 전체 데이터 주간)
- [ ] 백업 데이터 오프사이트 및 오프라인 저장 (3-2-1 원칙 준수)
- [ ] 백업 데이터 암호화
- [ ] 백업 데이터 무결성 검증
- [ ] 정기적인 복구 훈련

재난 복구 계획
- [ ] 랜섬웨어 대응 절차 수립 및 정기 시뮬레이션
- [ ] 주요 시스템 복구 우선순위 선정
- [ ] 복구 SLA 수립 및 관리
- [ ] 관계자 연락망 최신화

5. 보안 인식 및 훈련

직원 교육
- [ ] 랜섬웨어 공격 유형별 교육 정기 실시
- [ ] 피싱 이메일 식별 훈련
- [ ] 보안 사고 보고 프로세스 교육
- [ ] 보안 사고 발생 시 대응 매뉴얼 배포

결론

랜섬웨어 공격이 단순한 파일 암호화를 넘어 장기 침투와 데이터 유출로 확장되면서, 기업 보안 대응 전략도 재정립이 필요합니다. 신속 공격에 대비하여 24시간 대응 체계를 구축하는 것과 동시에, 장기 잠복 공격을 탐지하고 차단하는 방어 체계를 갖춰야 합니다.

외부 노출 애플리케이션, 정상 유효 계정, 협력사 신뢰 관계는 지속적으로 주요 침투 경로로 나타나고 있습니다. 기업은 이러한 초기 경로를 차단하기 위한 보안 강화와 함께, 실시간 위협 모니터링과 지속 탐지를 운영 전반에 통합해야 합니다.

사후 대응 방식으로는 다단계 위협을 효과적으로 방어할 수 없습니다. 국내 기업은 위협 유형별 대응 체크리스트를 점검하고, 선제적이고 예방적인 보안 체계를 구축해야 랜섬웨어 공격의 피해를 최소화할 수 있습니다.

참고자료

1. 카스퍼스키 '사이버 세계 분석' 보고서
   https://www.ddaily.co.kr/page/view/2026060109325449451

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.