[랜섬웨어 예방 가이드 ⑦] 백업이 있어도 뚫리는 이유, KISA 3-2-1 전략과 골든타임 대응법

[랜섬웨어 예방 가이드 ⑦] 백업이 있어도 뚫리는 이유, KISA 3-2-1 전략과 골든타임 대응법

[핵심요약] 랜섬웨어 공격의 96%가 백업 저장소까지 노리는 시대예요. KISA가 권고하는 3-2-1 백업 전략과, 감염 직후 몇 분 안에 담당자가 실제로 해야 할 4가지 초기 대응을 정리했어요.

백업만 있으면 랜섬웨어에 걸려도 복구하면 그만이라고 생각하기 쉬운데요, 실제로는 그렇지 않아요. 

국내 데이터 사건 분석 보도에 따르면 최근 랜섬웨어 공격의 96%가 백업 저장소를 직접 겨냥하고 있고, KISA 조사에서도 피해 기업의 44.4%가 백업 데이터까지 함께 감염·파괴된 것으로 나타났어요. 

공격 그룹 입장에서는 몸값을 받아내려면 피해 기업이 백업으로 스스로 복구할 수 없게 만드는 게 가장 확실한 방법이거든요. 2026년 상반기 국내 랜섬웨어 신고 건수도 전년 동기 대비 76.8%나 급증했어요. 

지난 6화에서는 사용자망·서버망·백업망을 나누는 네트워크 분리와 제로트러스트 백업의 개념을 다뤘는데요, 이번 7화에서는 그 백업이 실제 감염 상황에서 왜 뚫리는지와, KISA가 권고하는 3-2-1 백업 전략, 그리고 감염 직후 5분 골든타임에 무엇을 해야 하는지를 다뤄볼게요.

왜 백업이 있어도 뚫리는가

가장 흔한 원인은 백업 서버가 운영 서버와 같은 계정 체계를 쓰는 경우예요. 백업 서버가 운영망의 Active Directory(AD) 도메인에 그대로 조인돼 있으면, 해커가 운영 서버 관리자 권한 하나만 탈취해도 백업 서버까지 같은 계정으로 로그인할 수 있어요. 

여기에 백업이 네트워크로 상시 연결된 NAS나 스토리지에만 저장돼 있으면, 랜섬웨어가 운영 서버를 암호화하는 김에 연결된 백업 볼륨까지 그대로 훑고 지나가요. 실제로 최근 공격 그룹들은 데이터를 암호화하기 전에 먼저 백업 스냅샷과 백업 관리 콘솔부터 찾아 삭제하는 순서로 움직이는 경우가 많아요. 백업을 만들어 두는 것과, 그 백업이 공격자 손이 닿지 않는 곳에 있는 것은 완전히 다른 이야기라는 뜻이에요.

지금 특히 위험한 이유

여기에 AI가 공격뿐 아니라 협상 단계까지 자동화하면서 골든타임을 더 짧게 만들고 있어요. 보안업계에서는 2026년을 'AI 에이전트 해킹 원년'으로 부르는데요, 공격자 쪽 AI 봇이 표적 탐색과 침투는 물론 피해 기업과의 몸값 협상까지 사람 없이 자율적으로 수행하는 사례까지 등장했어요. 

사람이 대응팀을 소집하고 상황을 파악하는 사이, 공격자 쪽은 이미 다음 단계로 넘어가 있는 셈이에요. 앞서 6화에서 다룬 JadePuffer 사례처럼 침투부터 내부 이동, 백업 스냅샷 삭제, 암호화까지 전 과정을 AI 에이전트가 자동으로 처리하는 흐름과 맞물리면, 사람이 이상 징후를 알아채고 매뉴얼을 꺼내 드는 그 5분 사이에 이미 백업까지 손이 닿아 있을 수 있다는 뜻이에요. 

대응 속도 자체를 사람의 반응 시간이 아니라 자동화된 시스템 기준으로 다시 설계해야 하는 이유가 여기에 있어요.

KISA 3-2-1 전략과 골든타임 대응, 이렇게 준비하세요

KISA가 권고하는 데이터 백업 보안수칙의 핵심은 3-2-1 전략이에요. 원본 1개에 백업본 2개 이상을 더해 총 3개의 사본을 유지하고, 이 사본들을 디스크(NAS)·테이프·클라우드처럼 물리적 특성이 다른 2가지 이상의 매체에 나눠 보관하는 거예요. 

그리고 그중 1개는 반드시 네트워크가 완전히 끊긴 오프사이트 또는 오프라인 상태의 물리적 에어갭 사본이어야 해요. 아무리 여러 곳에 백업해 둬도 전부 네트워크로 상시 연결돼 있다면, 공격자 입장에서는 결국 하나의 표적이나 마찬가지예요. 여기에 정기적으로 실제 데이터를 복구해 보는 RTO(복구 목표 시간) 훈련까지 병행해야 "백업이 있다"가 아니라 "백업으로 실제 복구된다"는 걸 증명할 수 있어요.

백업 체계를 아무리 잘 갖춰도 감염 초기 대응이 어긋나면 소용이 없어요. 실제로 담당자가 당황해서 자주 저지르는 실수가 있는데, 바로 놀라서 서버 전원부터 내려버리는 거예요. 이러면 메모리에 남아있던 암호 해독 실마리와 공격 흔적이 함께 날아가 버려요. 

침해 사고 대응의 원칙은 정반대예요. 우선 감염된 서버가 다른 서버로 옮겨붙지 못하도록 네트워크 케이블부터 뽑아 물리적으로 격리하고, 전원은 절대 끄지 않은 채로 그대로 둬서 메모리 속 증거를 보존해요. 그다음 연결돼 있는 외장 스토리지나 백업 장치를 즉시 물리적으로 떼어내 추가 감염을 막고, 마지막으로 스스로 복구를 시도하며 흔적을 훼손하는 대신 곧바로 KISA나 침해사고 대응 전문업체에 연락해 도움을 요청해야 해요. 이 순서는 담당자 한 명이 사고 당일 순간적으로 기억해 내기 어려운 만큼, 평소에 사내 대응 매뉴얼로 정리해 눈에 띄는 곳에 붙여 두고 누가 어떤 역할을 맡을지도 미리 정해 둬야 실제 상황에서 바로 움직일 수 있어요.

• 최근 백업이 실제로 정상 복구되는지 테스트(RTO 훈련)를 언제 했는지 기억나지 않아요.
• 백업 서버가 운영 서버와 같은 관리자 계정이나 AD 도메인을 쓰고 있어요.
• 백업 사본이 전부 네트워크로 상시 연결된 NAS나 스토리지에만 저장돼 있고, 오프라인·에어갭 사본은 따로 없어요.
• 백업 파일이 삭제되거나 수정되면 관리자에게 알림이 오도록 설정돼 있지 않아요.
• 감염 발생 시 누가 네트워크를 차단하고 누가 신고할지 정해진 담당자나 매뉴얼이 없어요.
• 감염이 의심되면 일단 서버 전원부터 꺼야 안전하다고 알고 있어요(오히려 증거와 복구 단서가 사라질 수 있어요).

Q. 백업이 3개나 있는데도 왜 위험하다는 건가요?

사본 개수보다 중요한 건 그 사본들이 서로 얼마나 격리돼 있는가예요. 세 개의 백업이 전부 같은 네트워크, 같은 관리자 계정으로 접근 가능하다면 공격자 입장에서는 사실상 하나의 표적과 다르지 않아요. 최소 1개는 네트워크가 끊긴 물리적 에어갭 상태여야 진짜 최후의 보루가 돼요.

Q. 전산이나 보안 담당 인력이 소규모인 중소, 중견기업도 3-2-1 전략을 지킬 수 있나요?

꼭 값비싼 전용 장비가 아니어도 괜찮아요. 클라우드 백업 하나와 오프라인으로 분리 보관하는 외장 스토리지 하나만 조합해도 최소한의 3-2-1 구조는 만들 수 있어요. 중요한 건 규모가 아니라, 그중 하나는 반드시 평소에 네트워크에서 물리적으로 떨어져 있어야 한다는 원칙을 지키는 거예요.

Q. 감염 초기 대응에서 가장 많이 하는 실수는 뭔가요?

단연 전원을 꺼버리는 거예요. 놀라서 서버 전원부터 내려버리면 메모리에 남아있던 복구 단서나 공격 흔적이 함께 사라질 수 있어요. 네트워크 연결만 끊어 확산을 막고, 전원은 그대로 유지한 채로 전문가의 판단을 기다리는 게 원칙이에요.

결국 랜섬웨어 방어의 마지막 단계는 늘 백업이었는데, 이제는 공격자들도 그걸 잘 알고 있어요. 백업의 개수를 늘리는 것보다, 그 백업이 운영망과 얼마나 확실히 격리돼 있는지, 그리고 실제로 복구가 되는지를 검증하는 게 훨씬 중요해졌어요. 여기에 AI가 공격 속도를 사람의 대응 시간보다 앞서게 만들고 있는 만큼, 골든타임 대응 매뉴얼도 이제는 선택이 아니라 필수예요. 다음 8화에서는 지금까지의 7개 회차를 한 번에 압축한 자가진단 체크리스트로 이 시리즈를 마무리할게요.

이런 사고를 막으려면 관리자 권한이 뚫려도 백업까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요.