[랜섬웨어 예방 가이드 ①] 2026년 랜섬웨어는 이렇게 달라졌다

[핵심요약] 2026년 1분기 랜섬웨어 피해는 이미 2,165건, 그중 44.4%는 백업 데이터까지 함께 감염됐습니다. 지금 가장 활발한 킬린·아키라 등 위협조직과 최신 공격 트렌드를 정리한 랜섬웨어 예방 가이드 1편입니다.

2026년 1분기에만 전 세계 랜섬웨어 피해 건수가 2,165건을 기록했어요. 2025년 한 해 전체 수치를 연환산한 것보다도 18.5% 더 많은 숫자예요. 그리고 KISA에 따르면 랜섬웨어 피해 기업의 44.4%는 운영 서버뿐 아니라 백업 데이터까지 동시에 감염·파괴당했다고 해요. "백업만 있으면 괜찮다"는 말이 더 이상 통하지 않는 시대가 된 거예요.

그래서 이번 편부터 몇 회에 걸쳐 랜섬웨어 예방 가이드를 연재해보려고 해요. 이미 한 번 피해를 겪은 기업이든, 아직 안 겪었지만 미리 대비하고 싶은 기업이든 실제로 따라 할 수 있는 내용으로 채울 예정이에요. 1편인 오늘은 먼저 2026년 랜섬웨어가 어떻게 달라졌는지, 지금 누가 제일 활발하게 움직이고 있는지부터 짚어볼게요.

1. 지금 랜섬웨어가 노리는 진짜 약점

요즘 랜섬웨어 조직들이 공통적으로 노리는 지점은 세 가지로 정리돼요. 

첫째, 초기 침투 방식이 다양해졌어요. AI로 만든 정교한 사칭 메일, 패치되지 않은 VPN 취약점, SaaS 서비스 자격 증명 탈취까지 여러 경로를 동시에 두드려요. 

둘째, 공격 범위가 Windows 서버에만 머물지 않아요. Linux 서버와 VMware ESXi 같은 가상화 인프라까지 한 번에 노려서, 회사 전체 시스템이 동시에 마비되는 경우가 늘고 있어요. 

셋째, 가장 중요한 부분인데요. 백업 저장소를 첫 번째 표적으로 삼아요. 운영 서버를 암호화하기 전에 백업부터 찾아서 무력화해야, 회사가 몸값 협상 테이블에 앉을 수밖에 없다는 걸 공격자들도 잘 알고 있는 거예요.

[지금 랜섬웨어가 노리는 진짜 약점]

2. 지금 가장 활발한 랜섬웨어 해킹그룹은 누구인가?

위협조직 지형도 빠르게 바뀌고 있어요. 2025년까지만 해도 가장 활발했던 조직 중 하나였던 랜섬허브(RansomHub)는 2025년 4월 인프라가 갑자기 통째로 사라졌어요. 이렇게 한 조직이 사라져도 그 소속 해커들은 없어지지 않고 다른 조직으로 옮겨가는데, 이때 대거 흡수한 곳이 바로 킬린(Qilin)이에요. 

그 결과 킬린은 2026년 들어 전 세계에서 가장 활발한 랜섬웨어형 서비스(RaaS)로 올라섰고, 한국에서도 최근 하이젠모터 같은 제조업체를 잇달아 공격했어요. 

2위는 아키라(Akira)로, VMware ESXi 등 가상화 인프라를 집중적으로 노리고 패치되지 않은 VPN 취약점을 뚫고 들어오는 방식을 주로 써요. 

록빗(LockBit)은 예전만큼의 단독 위세는 줄었지만, 2025년 9월 드래곤포스(DragonForce)가 제안한 연합에 합류하면서 여러 조직이 공격 기술과 인프라를 공유하는 '카르텔' 형태로 다시 세력을 키우고 있어요. 이렇게 조직 간 경계가 흐려지고 기술이 공유되면서, 신생 조직도 순식간에 대형 조직 수준의 공격력을 갖추는 경우가 늘고 있어요.

3. 왜 하필 지금 이렇게 심해졌나?

이런 흐름의 배경에는 두 가지가 있어요. 하나는 공격 기술의 상향 평준화예요. 카르텔처럼 조직끼리 기술과 표적 정보를 공유하다 보니, 예전이라면 몇 년에 걸쳐 쌓았을 노하우를 신생 조직도 빠르게 흡수해요. 다른 하나는 방어 쪽의 착시예요. 많은 기업이 "백업을 하고 있으니 괜찮다"고 생각하지만, 정작 그 백업이 운영망과 같은 네트워크에 물려 있거나 관리자 계정으로 접근 가능한 상태라면, 공격자 입장에서는 원본과 백업을 한 번에 처리할 수 있는 손쉬운 표적일 뿐이에요.

다음 편부터는 이 가이드를 실제로 우리 회사에 적용하는 방법을 하나씩 다룰 예정이에요. 관리자 계정 보호부터 시작해서, RDP·SMB 같은 외부 통로 차단, 리눅스 서버 경화, 네트워크 분리, 그리고 마지막엔 실제 감염됐을 때 5분 안에 해야 할 대응 순서까지요.

• 회사의 백업 서버가 운영 서버와 같은 관리자 계정으로 접근 가능한 상태는 아닌지 확인해 보세요
• 서버 관리자 계정 로그인에 다중 인증(MFA)이 걸려 있는지 확인해 보세요
• RDP(원격 데스크톱) 포트가 외부 인터넷에 그대로 노출돼 있지는 않은지 확인해 보세요
• Windows 서버뿐 아니라 Linux·가상화(ESXi) 서버도 같은 수준으로 점검하고 있는지 확인해 보세요
• 백업이 최소 한 곳이라도 네트워크와 완전히 분리된(에어갭) 형태로 존재하는지 확인해 보세요

랜섬웨어 예방 5대 체크리스트

Q. 이 연재는 어떤 순서로 진행되나요?

관리자 계정 보호, 외부 통로(RDP) 차단, 내부 확산 방지, 리눅스 서버 보안, 네트워크 분리와 백업 전략, 그리고 실제 감염 시 대응 순서까지 실무자가 바로 따라 할 수 있는 순서로 이어질 예정이에요.

Q. 전산 인력이 1~2명뿐인 중견기업도 이 내용을 적용할 수 있나요?

네, 오히려 그런 회사를 염두에 두고 구성했어요. 한 번에 모든 걸 갖추긴 어렵더라도, 매회 소개하는 항목을 하나씩만 적용해도 실질적인 방어력이 쌓여요.

랜섬웨어 조직의 이름과 수법은 계속 바뀌지만, 이들이 결국 노리는 지점은 크게 다르지 않아요. 관리자 계정, 외부에 열린 통로, 그리고 운영망과 분리되지 않은 백업이에요. 다음 편부터 이 세 가지를 하나씩 실제로 막는 방법을 다뤄볼게요.

관리자 권한이 통째로 뚫려도 손댈 수 없는 백업이 있다면 이야기가 달라져요. 물리적으로 분리된 이중 데이터 다이오드 구조로 백업망을 운영망에서 완전히 격리하는 디포트리스 같은 방식이 바로 그런 최후의 보루 역할을 해요.