[랜섬웨어 예방 가이드 ④] 랜섬웨어가 훔쳐가도 못 쓰게 만드는 BitLocker 전략

[랜섬웨어 예방 가이드 ④] 랜섬웨어가 훔쳐가도 못 쓰게 만드는 BitLocker 전략

[핵심요약] 공격자가 서버에 침투해 파일을 훔쳐가도 BitLocker로 미리 암호화해두면 복구 키 없이는 무용지물이 돼요. 다만 BitLocker를 거꾸로 무기화하는 공격과 최근 발견된 우회 취약점까지 함께 챙겨야 진짜 방어가 완성돼요.

지난 회차에서는 RDP라는 외부 통로를 걸어 잠그는 법을 다뤘어요. 이번 4화에서는 그 통로마저 뚫려 공격자가 서버 안으로 들어왔을 때, 훔쳐간 데이터 자체를 못 쓰게 만드는 마지막 방어선인 BitLocker 이야기를 해볼게요.

2026년 5월 12일, 한 보안 연구자가 윈도우 복구 환경(WinRE)의 허점을 이용해 BitLocker 전체 볼륨 암호화를 우회하는 'YellowKey' 익스플로잇(CVE-2026-45585)을 깃허브에 공개했어요. USB로 특수 제작한 폴더 구조를 옮긴 뒤 컨트롤 키를 누른 채 복구 메뉴로 진입하면, 복구 키 없이도 윈도우 11과 윈도우 서버 2022·2025의 암호화된 내용을 그대로 읽어낼 수 있는 방식이었죠. 마이크로소프트가 곧바로 완화 패치를 배포했지만, '켜두기만 하면 안전하다'고 믿었던 BitLocker 신화에 균열이 생긴 사건이었어요.

BitLocker, 방어 무기일까 공격 무기일까

사실 BitLocker는 이미 공격자들이 먼저 써먹고 있는 도구이기도 해요. 보안업체들이 추적해온 ShrinkLocker 계열 랜섬웨어는 관리자 권한을 확보한 뒤 오히려 BitLocker를 새로 활성화해 정상 사용자를 자신의 PC에서 몰아내고, 복구 키를 인질로 잡아 몸값을 요구해요. 즉 같은 암호화 기능이 누가 먼저 열쇠를 쥐느냐에 따라 방어 무기도 되고 공격 무기도 되는 셈이에요. 공격자가 선수를 치기 전에 조직이 먼저 BitLocker를 전략적으로 선점해둬야 하는 이유가 바로 여기에 있어요.

왜 위험한가 — AI가 암호화·복구 방해 기법을 얼마나 빨리 진화시키나

여기에 AI가 가세하면서 상황은 더 급박해지고 있어요. 보안업체 Sysdig가 2026년 보고한 '제이드퍼퍼(JadePuffer)'는 정찰부터 암호화, 협박 메시지 작성까지 공격 전 단계를 AI 에이전트가 스스로 처리하는 첫 완전자율형 랜섬웨어로 꼽혀요. 크라우드스트라이크의 2026년 위협 보고서는 AI를 활용한 공격이 전년 대비 89% 늘었고, 침투 후 내부 확산까지 걸리는 시간이 평균 29분, 빠르면 27초에 불과하다고 밝혔어요. 코드 생성형 AI로 만든 랜섬웨어는 실행될 때마다 스스로 코드를 바꿔 쓰는 다형성(폴리모픽) 특성까지 갖춰 백신 시그니처 탐지를 피해가요. 사람이 대응 여부를 판단하기도 전에 암호화와 복구 방해가 끝나버리는 시대라, 사후 대응보다 사전에 데이터를 못 쓰게 선점해두는 전략의 가치가 더 커지고 있어요.

비슷한 조직이 대비하려면

가장 먼저 운영체제(C:) 드라이브에는 BitLocker를 필수로 적용해야 해요. 이렇게 해두면 공격자가 부팅 영역을 파괴하거나 디스크를 통째로 암호화하는 스크립트 공격을 시도해도, 애초에 암호화된 볼륨이라 훔쳐가 봐야 읽을 수 없는 데이터가 돼요.

데이터(D:) 드라이브는 대용량 DB처럼 성능에 민감한 시스템이라면 선별적으로 적용해도 괜찮아요. 다만 개인정보나 설계도면처럼 유출 시 피해가 큰 자료가 있는 볼륨은 성능 이슈보다 보호를 우선하는 게 맞아요.

가장 중요한 건 복구 키 보관이에요. 키를 서버 내부나 같은 네트워크에 저장해두면 공격자가 관리자 권한을 얻는 순간 키까지 함께 탈취당해요. 복구 키는 반드시 서버와 물리적으로 분리된 USB나 별도 문서고에 보관하고, YellowKey 사례처럼 WinRE 자체의 우회 경로가 계속 발견되는 만큼 관련 보안 패치도 주기적으로 확인해야 해요.

• OS 드라이브(C:)에 BitLocker가 실제로 켜져 있고 상태가 '암호화 완료'인지 확인해 보세요.
• 복구 키가 서버 내부나 같은 네트워크 공유 폴더에 저장돼 있지 않은지 점검해 보세요.
• 복구 키를 보관한 USB가 서버실이 아닌 별도 장소에 물리적으로 분리 보관되고 있는지 확인해 보세요.
• 윈도우 복구 환경(WinRE) 관련 최신 보안 패치(CVE-2026-45585 포함)가 적용됐는지 점검해 보세요.
• 낯선 시간대에 BitLocker 관리 정책이나 암호화 상태가 변경된 이력이 있는지 이벤트 로그를 확인해 보세요.
• 개인정보·설계도면 등 중요 자료가 있는 데이터(D:) 드라이브에도 암호화 적용 여부를 재검토해 보세요.

Q. BitLocker를 켜두면 오히려 랜섬웨어 공격에 당했을 때 우리 데이터도 못 여는 거 아닌가요?

정상적인 운영이라면 복구 키를 안전하게 별도 보관해두는 한 문제없어요. 오히려 복구 키를 관리하는 쪽은 우리 조직이고 공격자는 그 키에 접근할 수 없다는 게 핵심이에요. 위험한 건 키 관리를 소홀히 해서 공격자가 먼저 그 키나 권한을 쥐는 경우예요.

Q. 전산 인력이 소규모인 중소기업도 BitLocker 정책을 바로 적용할 수 있나요?

네, 윈도우 서버·프로 에디션에 기본 내장된 기능이라 별도 구매 없이 그룹 정책(GPO)만으로 적용할 수 있어요. 다만 복구 키를 어디에 보관할지 규칙을 미리 정해두는 절차가 더 중요해요.

BitLocker는 공격자가 훔쳐간 데이터를 무용지물로 만드는 가장 손쉬운 선제 방어 수단이지만, 복구 키 관리 하나만 어긋나도 거꾸로 공격자의 무기가 될 수 있어요. YellowKey 같은 우회 기법이 계속 나오는 걸 보면 암호화 기능 하나에만 기대는 것도 위험하다는 걸 알 수 있어요. 결국 중요한 건 암호화 자체보다 그 열쇠를 누가 어떻게 쥐고 있느냐예요.

그런데 복구 키를 아무리 잘 보관해도, 관리자 권한이 뚫리면 백업 서버 자체가 암호화되거나 삭제되는 건 막을 수 없어요. 그래서 관리자 권한이 털려도 백업까지는 절대 손대지 못하는 구조가 따로 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 바로 그 역할을 해줘요.