랜섬웨어 대응 — 걸린 다음이 아니라 걸리기 전에 정하는 것들

랜섬웨어(Ransomware)는 시스템의 파일을 암호화해 인질로 잡고 돈을 요구하는 악성코드다. 그런데 이 글에서 하고 싶은 이야기는 "랜섬웨어가 무엇이냐"가 아니다. 진짜 중요한 건 걸린 다음의 대응이 아니라, 걸리기 전에 미리 정해두는 원칙이다. 불이 난 뒤에 소화기 사용법을 배우는 사람은 이미 늦었다.

랜섬웨어 사고에서 조직의 운명을 가르는 건 방어벽의 높이가 아니라 복구 준비의 깊이다. 아무리 잘 막아도 언젠가 뚫린다는 걸 인정하고, 그때 얼마나 빨리, 얼마나 온전히 되살아나느냐를 미리 설계해둔 조직이 살아남는다. 나는 이 태도를 "언젠가 걸린다고 가정하고 준비하기"라고 부른다.

몸값을 내면 되지 않냐는 착각

가장 먼저 깨야 할 생각이 이거다. "돈 주고 풀면 되잖아." 현실은 훨씬 지저분하다. 돈을 냈다고 해서 파일이 온전히 돌아온다는 보장이 없다. 복호화 도구를 받아도 일부만 풀리거나 데이터가 손상되는 경우가 흔하다. 게다가 한 번 돈을 낸 조직은 "지불 의사가 있는 먹잇감"으로 표시돼 재차 노려지기 쉽다. 더 나아가 요즘 공격자는 파일을 암호화하기 전에 먼저 데이터를 훔쳐 나간다. 그러곤 "돈을 안 내면 유출하겠다"고 이중으로 협박한다. 복호화 열쇠를 사도 이미 빠져나간 데이터는 돌아오지 않는다.

그래서 몸값은 해결책이 아니라 마지막의 마지막에나 검토할 나쁜 선택지다. 진짜 지렛대는 다른 곳에 있다. 공격자가 인질로 삼은 데이터의 복사본을 내가 이미 안전하게 갖고 있다면, 협상 자체가 성립하지 않는다.

백업의 3-2-1 원칙

랜섬웨어 대비의 심장은 백업이다. 그런데 "백업 돌리고 있어요"만으로는 부족하다. 오랫동안 검증돼온 3-2-1 원칙을 지켜야 한다.

• 3벌 — 중요한 데이터는 최소 세 벌의 복사본을 둔다. 원본 하나에 백업 둘.
• 2가지 매체 — 서로 다른 종류의 저장 매체에 나눠 담는다. 한 종류가 통째로 망가져도 다른 하나가 살아남게.
• 1벌 격리 — 그중 최소 하나는 네트워크에서 떨어뜨려 보관한다. 오프라인이거나, 지울 수 없게 잠긴 형태로.

여기서 세 번째 항목이 랜섬웨어 시대의 핵심이다. 요즘 공격자는 침투하면 백업부터 찾아 지운다. 인질을 잡았는데 대체 사본이 있으면 협박이 안 통하니, 그 사본을 먼저 없애려 든다. 그래서 백업 중 하나는 반드시 공격자의 손이 닿지 않는 곳, 즉 온라인 상태의 네트워크와 분리되어 있거나 한 번 쓰면 수정·삭제가 불가능한 불변(immutable) 형태여야 한다.

백업은 복구를 해봐야 백업이다

가장 흔하고 뼈아픈 실수가 이거다. 백업은 성실하게 돌렸는데, 정작 복구를 한 번도 해본 적이 없다. 그러다 진짜 사고가 터지면 백업 파일이 손상됐거나, 복구에 며칠이 걸리거나, 실은 중요한 데이터가 백업 대상에서 빠져 있었다는 걸 그제야 발견한다. 검증 안 된 백업은 백업이 아니라 백업이라는 착각이다. 정기적으로 실제 복구를 연습해, 얼마나 걸리고 무엇이 되살아나는지 눈으로 확인해야 한다.

사고 대응 계획 — 미리 정해두는 것들

기술만큼 중요한 게 사람과 절차다. 사고가 터진 순간은 공황과 혼란의 도가니다. 그때 "누가 뭘 하지?"를 처음 고민하면 이미 늦다. 그래서 평온할 때 미리 정해둔다.

감염을 발견하면 가장 먼저 할 일은 확산을 막는 격리다. 감염된 기기를 네트워크에서 떼어내 랜섬웨어가 옆으로 번지는 걸 끊는다. 그다음 누가 상황을 지휘하고, 어떤 시스템부터 되살릴지, 외부에는 언제 어떻게 알릴지가 계획서에 적혀 있어야 한다. 이 계획도 백업처럼 한 번쯤 모의 훈련으로 돌려봐야 실전에서 작동한다.

결국은 사고 전에 결정된다

랜섬웨어 대응의 진실은 다소 김빠질 수 있다. 극적인 실시간 방어전이 승부를 가르는 게 아니다. 승부는 아무 일 없던 평온한 날들에, 백업 원칙을 지키고 복구를 연습하고 대응 계획을 다듬어둔 조직이 이미 이겨놓은 상태로 시작한다. 침입 자체를 줄이는 기본기(다중 인증, 신속한 보안 패치, 최소 권한, 직원 교육)는 물론 중요하다. 하지만 그 방어가 언젠가 뚫린다는 걸 받아들이고 복구를 준비한 조직만이, 랜섬웨어를 재난이 아니라 극복 가능한 사고로 바꿔낼 수 있다.

자주 묻는 질문

랜섬웨어에 걸리면 몸값을 내야 하나요?

권장하지 않습니다. 돈을 내도 데이터가 온전히 복구된다는 보장이 없고, 지불 의사가 있는 대상으로 표시돼 재차 노려질 수 있습니다. 게다가 이미 유출된 데이터는 열쇠를 사도 돌아오지 않습니다. 깨끗한 백업을 갖추는 것이 유일하게 확실한 지렛대입니다.

백업만 있으면 안전한가요?

백업이 공격자의 손이 닿지 않는 곳에 있고, 실제로 복구가 되는지 검증했을 때만 안전합니다. 온라인에 연결된 백업은 공격자가 먼저 지웁니다. 그래서 최소 한 벌은 네트워크와 분리하거나 삭제 불가능한 형태로 두고, 정기적으로 복구를 연습해야 합니다.

이중 협박이 뭔가요?

파일을 암호화하기 전에 데이터를 먼저 훔쳐 나간 뒤, "돈을 안 내면 유출하겠다"고 추가로 협박하는 수법입니다. 이 경우 복호화 열쇠를 사도 이미 빠져나간 데이터는 회수할 수 없습니다. 그래서 예방과 백업뿐 아니라 데이터 유출 자체를 막는 대비도 함께 필요합니다.

작은 조직도 대응 계획이 필요한가요?

규모가 작을수록 오히려 한 번의 사고가 치명적일 수 있어 더 필요합니다. 거창할 필요는 없습니다. 누가 지휘하는지, 감염 기기를 어떻게 격리하는지, 무엇부터 복구하는지, 외부에 언제 알리는지를 한 장으로 정리하고 한 번 훈련해보는 것만으로 큰 차이가 납니다.