노웨어 랜섬웨어란? EDR도 못 잡는 암호화 없는 데이터 탈취 공격의 정체

"암호화된 파일이 단 하나도 없는데 랜섬웨어 공격을 당했다"는 보고가 최근 부쩍 늘었습니다. 2026년 들어 빠르게 확산 중인 이른바 '노웨어(No-Ware) 랜섬웨어'는 파일을 잠그는 대신 데이터를 통째로 빼낸 뒤 "돈을 내지 않으면 공개하겠다"고 협박하는 방식입니다. 암호화 과정 자체가 없다 보니 백신과 EDR(엔드포인트 탐지·대응) 솔루션이 잡아내던 이상 행위 패턴이 사라지고, 침투부터 유출까지 걸리는 시간도 크게 짧아졌습니다. 이번 글에서는 이 신종 공격이 왜 제조업과 중견기업에 특히 위협적인지, 그리고 암호화 여부와 상관없이 데이터 유출 자체를 막을 수 있는 방어 원칙은 무엇인지 정리합니다.

랜섬웨어인데 암호화를 안 한다고? '노웨어 랜섬웨어'가 노리는 것

FBI는 지난 5월 경보에서 '사일런트 랜섬 그룹(Silent Ransom Group)'이 IT 직원을 사칭해 원격 접속 권한을 확보한 뒤, 파일을 암호화하지 않고 데이터만 빼가는 수법을 쓰고 있다고 밝혔습니다. 심지어 직원을 가장해 회사에 직접 방문, 저장장치를 꽂아 자료를 통째로 복사해 간 사례까지 확인됐습니다. 기존 랜섬웨어 그룹인 '헌터스 인터내셔널'도 최근 '월드 리크스(World Leaks)'로 이름을 바꾸고, 암호화 없이 유출·협박만 전담하는 전용 도구를 제휴 조직에 배포하기 시작했습니다.

암호화를 생략하는 이유는 명확합니다. 대량의 파일을 한꺼번에 암호화하는 과정은 시스템 이상 징후로 가장 쉽게 걸리는 지점이기 때문입니다. 이 과정을 아예 빼버리면 공격자 입장에서는 다음과 같은 이점이 생깁니다.

• 파일은 그대로 남아 있어 이상을 눈치채기까지 시간이 오래 걸립니다.
• 데이터를 한 번에 몰아서 보내지 않고 여러 경로로 나눠 조금씩 반출해 탐지를 피합니다.
• 몸값 요구 대신 "기한까지 응하지 않으면 자료를 공개하겠다"는 예고만 남깁니다.
• 이미 밖으로 나간 데이터는 백업을 아무리 잘 갖춰도 회수가 불가능합니다.

제조업·중견기업이 특히 취약한 이유는?

제조업은 2026년 상반기 기준 전 세계 랜섬웨어 피해 산업 중 상위권을 유지하고 있고, 유럽에서는 전체 침해 사고의 약 28%를 차지할 만큼 최다 표적이 됐습니다. 공장을 운영하는 회사일수록 설계 도면, 공정 레시피, 협력사 거래 데이터처럼 유출 시 타격이 큰 정보를 다루면서도 이를 지키는 전산 인력은 한두 명에 그치는 경우가 많아, 노웨어 랜섬웨어가 노리기 좋은 조건입니다. 생산라인 자체가 멈추지 않았다는 이유로 공격을 늦게 알아차리는 경우가 많고, 뒤늦게 발견했을 때는 이미 협력사·고객 데이터까지 함께 빠져나간 뒤인 경우가 대부분입니다.

암호화가 없어도 막을 수 있는 방어 원칙은?

결국 핵심은 '암호화를 잡아낼 것인가'가 아니라 '데이터가 밖으로 나가는 경로 자체를 통제할 것인가'로 바뀌어야 합니다. 이를 위해 최근 보안 담당자들이 주목하는 원칙은 크게 세 가지입니다.

• 네트워크 세분화: IT망과 OT(공장 설비)망을 분리해, 한쪽이 뚫려도 다른 쪽으로 데이터가 옮겨가지 못하게 막습니다.
• 제로트러스트 접근 통제: 계정마다 꼭 필요한 시스템에만 접근하도록 권한을 최소화해, 계정 하나가 털려도 통째로 데이터에 접근하지 못하게 합니다.
• 데이터 다이오드 기반 단방향 전송: 핵심 데이터베이스나 백업 저장소는 물리적으로 '들어오기만 하고 나가지는 못하는' 구조로 만들어, 유출 시도 자체가 원천적으로 불가능하게 합니다.

이 세 가지는 대체재가 아니라 계층으로 함께 작동할 때 의미가 있습니다. 특히 물리적으로 반출 경로를 차단하는 방식은 EDR 탐지 우회 수법에도 흔들리지 않아, 소프트웨어 기반 탐지만으로는 부족하다고 느끼는 조직들이 최근 눈여겨보는 방향입니다.

자주 묻는 질문

Q. 이미 쓰고 있는 백업 솔루션을 교체해야 하나요?

A. 꼭 교체할 필요는 없습니다. 노웨어 랜섬웨어의 본질은 암호화가 아니라 유출이므로, 기존 백업 체계는 그대로 두되 아웃바운드(외부 반출) 트래픽 감시와 접근 권한 최소화를 추가하는 방식이 현실적입니다. 백업은 '복구'를 위한 장치이고, 유출 방지는 별도의 계층으로 봐야 합니다.

Q. 전산팀이 1~2명뿐인 중견 제조업체도 이런 대응이 가능한가요?

A. 오히려 인력이 적을수록 사람이 매번 감시하는 방식보다 구조적으로 반출 자체가 막히는 방식이 유리합니다. 외부로 데이터를 보낼 수 있는 계정·서버 목록부터 줄이고, 가장 민감한 설계·거래처 데이터가 있는 서버만이라도 단방향 전송 구조로 바꾸는 것에서 시작하면 적은 인력으로도 최소 방어선을 유지할 수 있습니다.

Q. 공장 설비(OT망)까지 데이터를 주고받는 환경이면 어떻게 하나요?

A. OT 장비는 오래된 운영체제를 쓰는 경우가 많아 EDR 같은 소프트웨어형 방어 도구를 설치하기 어렵습니다. 이런 환경에서는 IT망과 OT망이 만나는 접점에 물리적인 단방향 전송 장치를 두는 방식이 현실적입니다. 공정 데이터는 OT에서 IT로 정상적으로 흘러가되, 반대 방향으로 들어오거나 OT 데이터가 임의로 외부까지 빠져나가는 경로는 물리적으로 차단하는 구조입니다.

암호화 기반 공격이든 노웨어 방식이든, 방어의 출발점은 결국 같습니다. "데이터가 나가는 길목을 물리적으로 통제할 수 있는가"입니다. 이 원리를 더 자세히 알고 싶다면 에어갭이 랜섬웨어를 막는 원리를 참고하세요.

노웨어 랜섬웨어의 습격

암호화 여부는 더 이상 랜섬웨어 공격의 필수 조건이 아닙니다. 오히려 눈에 보이는 피해가 없다는 점이, 발견을 늦추고 피해를 키우는 새로운 위험 요인이 되고 있습니다. 지금 우리 조직의 데이터가 나가는 경로가 어디까지 통제되고 있는지, 이번 주에 한 번 점검해 보시길 권합니다.