랜섬웨어가 백업부터 노린다? 침투 24시간 만에 끝나는 공격의 실체

최근 클라우드 백업 전문업체인 에이센스(Acens Cloud & Backup)가 랜섬웨어 조직 '글로벌 시크릿 그룹(Global Secret Group)'의 공격을 받은 사실이 확인됐다. 백업을 서비스로 판매하는 회사조차 표적이 된 셈이다. 같은 시기 신흥 랜섬웨어 조직 '스파이럴즈(Spirals)'는 기업 내부망 침투부터 데이터 탈취, 암호화 완료까지 전 과정을 24시간 이내에 끝낸 사례가 보고됐다. 2025년 4월부터 2026년 3월까지 1년간 새로 등장한 랜섬웨어 조직만 61개, 2026년 6월 기준 활동 중인 조직은 146개에 달한다. 평균 일주일에 한 개꼴로 새 공격 조직이 생겨나는 셈이다. 공격 속도는 빨라지고 조직 수는 늘어나는데, 정작 탐지와 대응에 필요한 시간은 그대로다. 특히 전산 인력이 소수인 중견기업이라면 이 속도 차이가 곧바로 피해 규모로 이어진다.

왜 백업 서버가 랜섬웨어의 1차 표적이 되는가?

랜섬웨어 조직은 더 이상 파일을 무작정 암호화하지 않는다. 관리자 권한을 확보하면 가장 먼저 찾는 것은 복구 수단, 즉 백업 시스템이다. 복구할 방법이 없어야 피해자가 몸값 협상에 나설 수밖에 없기 때문이다.

수법도 점점 은밀해지고 있다. 일부 공격 조직은 정상적인 백업 도구인 Restic을 'winupdate.exe'처럼 운영체제 업데이트 파일로 위장해 실행하면서, 정상 백업 트래픽으로 위장한 채 데이터를 그대로 빼돌린다. 보안팀이 정상 프로세스로 오인하기 쉬운 방식이다.

• 백업 서버가 운영 네트워크와 상시 연결돼 있으면, 공격자는 파일 서버와 백업 서버를 동시에 장악할 수 있다.
• 백업 소프트웨어의 관리자 계정이 탈취되면 스냅샷과 복제본까지 함께 삭제되는 경우가 흔하다.
• 클라우드 백업이라도 상시 동기화 구조라면, 감염된 파일이 그대로 복제돼 백업본까지 오염될 수 있다.

에이센스 사례가 보여주듯, 백업을 전문으로 하는 기업조차 이런 구조적 약점에서 자유롭지 않다.

침투부터 암호화까지 24시간, 대응 속도가 왜 중요한가?

과거 랜섬웨어 공격은 초기 침투 후 실제 암호화까지 며칠에서 길게는 몇 주가 걸렸다. 그 사이 이상 징후를 포착해 대응할 여유가 있었다는 뜻이다. 그러나 스파이럴즈처럼 하루 안에 침투, 탈취, 암호화를 모두 끝내는 조직이 등장하면서 이 여유는 사실상 사라지고 있다. 퀼린(Qilin)과 젠틀맨(Gentlemen) 같은 상위권 조직들도 한 달 내내 공격 건수 1위 자리를 두고 경쟁할 만큼 활동량이 늘었다.

이런 환경에서는 '침해를 완전히 막는다'는 목표보다 '침해가 생겨도 복구 수단만은 지킨다'는 목표가 더 현실적이다. 생산라인을 운영하는 제조업체라면 특히 그렇다. 설비 제어 시스템(OT)까지 IT망과 얽혀 있는 경우, 대응이 몇 시간만 늦어도 피해가 사무망을 넘어 공장 전체로 번질 수 있다. 24시간 안에 공격이 끝난다는 것은, 그만큼 사고 발생 당일의 백업 상태가 복구 성패를 가른다는 의미이기도 하다.

지금 점검할 수 있는 백업 방어 원칙

모든 기업이 대규모 보안관제센터를 운영할 필요는 없다. 오히려 핵심은 평소 백업 시스템에 대한 접근을 얼마나 원천적으로 좁혀두었는가에 있다.

• 제로트러스트 백업: 백업 시스템에 접근할 때마다 매번 인증을 거치고, 평소에는 어떤 계정도 자동으로 신뢰하지 않는 구조.
• 불변 스토리지(WORM, Write Once Read Many): 한 번 기록된 백업 데이터는 관리자 권한으로도 수정하거나 삭제할 수 없게 만드는 방식.
• 물리적 에어갭: 백업 시스템을 운영 네트워크에서 물리적으로 분리해, 랜섬웨어가 접근할 경로 자체를 없애는 방식.

세 가지 모두 서로 배타적이지 않으며, 조합해서 적용할 수 있다. 중요한 것은 '항상 연결돼 있어야 편리하다'는 기존 전제를 의심하는 것이다. 백업만큼은 평소에 닫혀 있고 필요할 때만 열리는 구조로 바꾸는 것이, 24시간 만에 끝나는 공격 앞에서 가장 현실적인 방어선이다.

자주 묻는 질문

Q. 전산팀이 1~2명뿐인 중견기업도 24시간 이내에 끝나는 공격에 대응할 수 있나요?
A. 실시간 대응만으로는 한계가 있습니다. 그래서 평소 백업 시스템을 운영망에서 분리해두는 사전 조치가 더 중요합니다. 사고 당일 몇 시간 안에 막지 못하더라도, 감염되지 않은 백업본만 있으면 복구는 가능합니다.

Q. 이미 쓰고 있는 백업 솔루션을 꼭 교체해야 하나요?
A. 반드시 교체할 필요는 없습니다. 기존 솔루션을 유지하면서도 접근 구조(상시 연결 여부, 계정 권한, 네트워크 분리)를 먼저 점검하는 것만으로 상당한 위험을 줄일 수 있습니다.

Q. 탐지가 늦어져 이미 감염된 것 같다면 어떻게 해야 하나요?
A. 가장 먼저 감염 의심 구간과 백업 시스템의 네트워크 연결을 즉시 차단해야 합니다. 그다음 감염되지 않은 시점의 백업본이 남아있는지 확인하는 것이 복구 속도를 좌우합니다.

백업 시스템을 물리적으로 분리하는 구조가 실제로 어떻게 랜섬웨어를 막아내는지는 에어갭이 랜섬웨어를 막는 원리에서 더 자세히 다뤘다.

랜섬웨어 조직의 수는 늘고 공격 속도는 빨라지고 있다. 백업을 파는 회사조차 표적이 되는 지금, 완벽한 차단보다 '뚫려도 백업만은 지킨다'는 전제로 시스템을 다시 점검할 시점이다.