'건라(GUNRA)' 랜섬웨어, SGI서울보증 뚫고 전세계 확산…경찰청·FBI 합동경보

2026년 8월 10일(현지시간), 미국 사이버보안·인프라보안청(CISA)과 FBI, 국방부 사이버범죄센터(DC3), 국가안보국(NSA), 비밀경호국(Secret Service), 그리고 한국 경찰청이 '건라(GUNRA)' 랜섬웨어를 겨냥한 합동 보안 권고문(AA26-222A)을 발표했다. 건라는 2025년 4월 처음 포착된 랜섬웨어로, 2022년 유출된 콘티(Conti) 소스코드를 기반으로 만들어진 이중 탈취형 악성코드다. 올해 초부터는 다크웹 포럼에서 제휴 조직을 모집하는 '서비스형 랜섬웨어(RaaS)'로 사업 모델을 확장했다. 국내에서는 신용보증기관 SGI서울보증이 이미 건라의 공격을 받았고, 일본·이탈리아·이집트·아르헨티나의 부동산·의료·전자·음료 제조 기업까지 피해가 이어졌다. 미국 정부기관과 한국 경찰이 나란히 이름을 올린 공동 경보는 이례적인 일로, 그만큼 사안을 심각하게 보고 있다는 뜻이다.

무슨 일이 있었나

건라 조직이 내부망에 처음 발을 들이는 경로는 크게 세 가지다. 악성 매크로가 담긴 문서를 여는 피싱 이메일, 패치되지 않은 VPN·방화벽 장비의 알려진 취약점(CVE-2024-5559, CVE-2025-24472), 그리고 인터넷에 그대로 노출된 원격 데스크톱(RDP)에 대한 비밀번호 무차별 대입 공격이다. 세 경로 모두 새로운 기법이 아니라, 이미 패치나 접근 통제로 막을 수 있는 오래된 구멍이라는 점이 이번 권고문의 핵심 경고다. 일단 내부에 들어오면 건라는 다중 스레드로 파일을 빠르게 암호화하면서 동시에 백신·보안 프로세스와 서비스를 강제로 종료하고, 네트워크 공유 폴더를 훑어 암호화 대상을 넓힌다 — 콘티가 쓰던 방식을 그대로 물려받은 부분이다. 암호화에 앞서 데이터를 먼저 빼돌리는 이중 탈취 수법도 병행한다. 협상은 Tor 기반의 전용 협상 포털을 통해 이뤄지며, 돈을 내지 않으면 탈취한 자료를 다크웹의 전용 유출 사이트(DLS)에 공개하겠다고 압박한다. SGI서울보증이 이런 방식으로 피해를 입었고, 한 달 앞서 두바이의 한 종합병원도 같은 조직에 뚫린 것으로 확인됐다.

왜 위험한가

건라가 특히 위험한 이유는 침투 경로가 특별하지 않다는 데 있다. 제로데이 취약점이 아니라 이미 공개되고 패치까지 나온 CVE를 노린다는 것은, 보안 업데이트를 몇 주만 미뤄도 공격 표면이 그대로 열려 있다는 뜻이다. 여기에 RaaS 구조까지 더해지면서 코드를 직접 짤 능력이 없는 범죄자도 제휴 프로그램에 가입해 건라를 사용할 수 있게 됐고, 그만큼 동시다발적인 공격 시도가 늘어난다. 실제로 권고문이 지목한 피해 업종도 의료·금융·정부·전문서비스로 폭넓다 — 특정 산업만 노리는 게 아니라 방어가 허술한 곳이면 어디든 표적이 될 수 있다는 의미다. 게다가 데이터를 먼저 빼돌린 뒤 암호화하는 이중 탈취 방식은, 설령 백업으로 시스템을 복구하더라도 유출 자료 공개라는 두 번째 협박 카드가 그대로 남는다는 점에서 대응을 훨씬 까다롭게 만든다.

비슷한 조직이 대비하려면

가장 먼저 손봐야 할 곳은 외부에 노출된 VPN·방화벽·원격 접속 장비다. 건라가 노리는 CVE-2024-5559, CVE-2025-24472처럼 이미 패치가 나온 취약점을 방치하는 것이 가장 흔한 침입 경로이므로, 인터넷에 노출된 장비 목록을 정기적으로 점검하고 보안 업데이트 적용 주기를 앞당기는 것만으로도 상당수 공격을 막을 수 있다. RDP는 가능하면 인터넷에 직접 노출하지 말고 VPN이나 다단계 인증(MFA) 뒤에 두는 것이 원칙이다.

두 번째로는 피싱 대응 훈련이다. 건라의 또 다른 주요 진입로가 매크로가 포함된 문서 파일이므로, 출처가 불분명한 첨부파일을 열기 전에 확인하는 습관과 매크로 자동 실행 차단 정책을 함께 적용해야 한다.

마지막으로 이중 탈취 구조를 감안하면, 백업만으로는 완전한 대응이 되지 않는다는 점을 인지해야 한다. 데이터가 이미 빠져나간 뒤라면 복구 여부와 무관하게 유출 협박이 남기 때문에, 평소 어떤 데이터가 외부로 반출 가능한 경로에 있는지 파악해두고 네트워크 구간을 분리해 한 번 뚫린 지점에서 전체 망으로 확산되지 않도록 막아두는 편이 현실적인 대응이다.

• VPN·방화벽 장비에 CVE-2024-5559, CVE-2025-24472를 포함한 최신 보안 패치가 모두 적용됐는지 확인한다
• RDP가 인터넷에 직접 노출돼 있지는 않은지, MFA 없이 접속 가능한 계정은 없는지 점검한다
• 평소보다 다수의 파일이 짧은 시간에 이름이 바뀌거나 암호화 확장자로 변경되는 현상이 보이는지 살핀다
• 백신·EDR 프로세스나 보안 서비스가 갑자기 중지되거나 로그가 끊긴 구간이 있는지 확인한다
• 평소와 다른 시간대에 대량의 네트워크 공유 폴더 스캔이나 대용량 데이터 외부 전송 로그가 있는지 점검한다
• 출처 불명 문서에서 매크로 실행을 허용하도록 요구하는 알림이 최근 사내에 있었는지 확인한다

Q. 우리 회사도 이런 식으로 뚫릴 수 있는가?

건라가 노리는 진입 경로는 VPN·방화벽 취약점, 피싱 메일, 노출된 RDP로 특정 대기업만 겨냥한 고난도 기법이 아니다. 인터넷에 원격 접속 장비를 두고 있고 패치 관리가 느슨한 조직이라면 규모와 업종에 관계없이 표적이 될 수 있다.

Q. 전산 인력이 1~2명뿐인 중견기업도 해당되는가?

오히려 더 취약할 수 있다. 패치 적용이나 노출 장비 점검을 전담할 인력이 부족하면 이미 공개된 취약점조차 방치되기 쉽고, RaaS 구조 특성상 공격자는 방어가 허술한 곳을 자동으로 스캔해 찾아낸다.

Q. 백업만 잘 해두면 안전한가?

암호화 피해는 막을 수 있어도 이중 탈취 협박까지 막지는 못한다. 건라는 암호화 전에 데이터를 먼저 빼돌리기 때문에, 복구가 끝나도 유출 자료를 다크웹에 공개하겠다는 압박은 별개로 남는다.

건라는 새로운 기술을 쓰는 조직이 아니다. 이미 알려진 취약점과 피싱, 노출된 RDP라는 익숙한 통로로 들어와, 콘티에서 물려받은 빠른 암호화와 이중 탈취를 결합했을 뿐이다. 그런데도 한미 여러 기관이 이례적으로 공동 경보를 낸 것은, 그 익숙한 통로가 여전히 너무 많은 조직에서 열려 있기 때문이다. SGI서울보증부터 두바이의 병원까지, 업종과 국적을 가리지 않는 이번 확산은 '우리는 대상이 아니다'라는 전제가 더는 통하지 않는다는 걸 보여준다.