[랜섬웨어 예방 가이드 ③] RDP, 열어두셨나요?

[랜섬웨어 예방 가이드 ③] RDP, 열어두셨나요?

[핵심요약] RDP 포트를 인터넷에 그대로 열어두면 하루 수만 건의 무차별 대입 공격에 노출돼요. NLA·IP 화이트리스트·VPN·계정 잠금 4중 방어로 외부 통로부터 확실히 걸어 잠그는 법을 정리했어요.

지난 회차에서는 관리자 계정이 뚫렸을 때 MFA와 Credential Guard가 왜 마지막 방어선이 되는지 살펴봤어요. 이번에는 그 관리자 계정을 노리는 공격자가 애초에 어디로 들어오는지, 즉 RDP(원격 데스크톱)라는 통로 자체를 짚어볼게요.

2026년 2월 19일부터 20일까지 약 27시간 동안 국내의 한 네트워크를 대상으로 총 2만 6,751건의 로그인 실패가 발생한 사례가 있어요. 시간당 평균 979회, 분당 16회꼴로 인증 시도가 쏟아진 셈이에요. 흥미로운 건 공격자가 무작위 문자열이 아니라 'pacs', 'spectra'처럼 의료기관이나 연구소에서 실제로 쓰는 계정명 목록을 준비해 왔다는 점이에요. 특정 산업군을 노리도록 설계된 봇넷이 라트비아발 IP(AS59711)에서 돌아가고 있었던 거예요. RDP 포트 하나를 무심코 열어둔 대가가 이렇게 구체적이고 집요한 공격으로 돌아온다는 걸 보여주는 사례예요.

RDP가 왜 해커들의 첫 관문이 될까요

원본 매뉴얼이 처음 정리될 당시 RDP 무차별 대입 공격의 대표 주자로 꼽히던 랜섬허브(RansomHub)는 2025년 4월 와해됐어요. 하지만 그 자리를 흡수한 킬린(Qilin)을 비롯해 아키라(Akira), 블랙수트(BlackSuit) 같은 후계 조직들도 여전히 RDP를 1순위 침투 경로로 쓰고 있어요. 이유는 단순해요. 방화벽이나 EDR 같은 정교한 우회 기법 없이도, 그냥 포트가 열려 있고 계정이 뚫리면 곧바로 서버 안으로 들어갈 수 있기 때문이에요.

여기에 AI가 이 과정을 훨씬 빠르게 만들고 있어요. 2026년 보안 업계 인시던트 리포트에 따르면 침투 후 내부망 확산까지 걸리는 평균 시간이 29분, 가장 빠른 경우는 27초에 불과했어요. LLM을 결합해 로그인 폼을 자동으로 분석하고 다중 스레드로 계정을 뚫는 'BruteForceAI' 같은 공격 도구까지 등장했고, 전 세계 브루트포스 시도는 하루 약 1억 8,500만 건, 월 56억 건 규모로 집계돼요. 아키라와 킬린 같은 조직이 AI 에이전트를 붙여 취약점 스캔부터 계정 대입까지 자동화하면서, 예전에는 며칠 걸리던 침투-확산 사이클이 이제 사람이 알아차리기도 전에 끝나버리는 경우가 늘고 있어요.

비슷한 조직이 대비하려면

가장 먼저 할 일은 RDP 포트(3389)를 인터넷에 직접 노출하지 않는 거예요. NLA(네트워크 수준 인증)를 활성화해 화면이 뜨기 전 단계에서 인증을 강제하고, 방화벽에는 인가된 관리자 IP만 등록해요. 'Any'나 '0.0.0.0' 같은 전체 허용 규칙이 남아 있는지 지금 바로 확인해 볼 가치가 있어요.

그다음은 VPN을 통한 접근 의무화예요. 관리자가 반드시 VPN 터널을 거쳐야만 내부망에 닿을 수 있게 하면, 설령 RDP 계정 정보가 유출돼도 공격자가 곧바로 서버에 붙을 수 없어요.

내부로 한 발 들어왔더라도 확산을 늦추는 장치가 필요해요. 인증 실패가 몇 번 이상 반복되면 계정을 일정 시간 잠그도록 그룹 정책(GPO) 수준에서 강제해두면, 자동화된 대입 공격이 아무리 빨라도 다음 시도까지 시간을 벌 수 있어요. 여기에 이제는 쓸 이유가 없는 구형 SMBv1을 아예 꺼버리고, 공유 폴더 트래픽에 서명(Signing) 검증을 걸어 위변조된 패킷을 걸러내면, 한 대가 뚫려도 옆 서버로 자동 확산되는 속도 자체가 크게 느려져요.

• 방화벽 규칙에 'Any' 또는 '0.0.0.0'으로 열린 RDP 포트가 남아 있는지 확인해 보세요.
• 최근 접속 로그에 새벽 시간대나 낯선 해외 IP에서의 로그인 시도가 반복되는지 살펴보세요.
• 일정 횟수 이상 로그인에 실패하면 계정이 자동으로 잠기도록 정책이 실제 작동하는지 테스트해 보세요.
• 이벤트 뷰어의 4625(로그인 실패) 이벤트가 평소보다 급증한 구간이 있는지 확인해 보세요.
• 구형 SMBv1이 남아 있는 서버나 서명 검증이 꺼진 공유 폴더가 있는지 점검해 보세요.
• 관리자 계정이 VPN 없이 RDP 포트로 직접 접속되는 경로가 있는지 다시 확인해 보세요.

Q. VPN을 쓰고 있으니 RDP를 직접 노출한 건 아니라서 안전한가요?

VPN을 거친다고 해서 완전히 안전한 건 아니에요. VPN 장비 자체의 취약점이나 유출된 VPN 계정 정보를 노리는 공격도 많아서, VPN 뒤에서도 NLA와 계정 잠금 정책, IP 화이트리스트를 함께 적용해야 실제 방어 효과가 나요.

Q. 전산 인력이 소규모인 중견기업도 이 설정을 다 할 수 있나요?

네, 여기서 소개한 항목 대부분은 별도 장비 구매 없이 방화벽 규칙과 그룹 정책(GPO) 설정만으로 반나절 안에 적용할 수 있어요. 비용보다 담당자가 이 항목들의 존재를 알고 있는지가 더 중요해요.

RDP는 편리하지만, 그 편리함이 그대로 공격자의 편리함이 되는 통로예요. 포트 하나 열려 있는 것만으로도 자동화된 봇넷과 AI 도구가 하루에도 수만 번씩 문을 두드리는 시대라는 걸 이번 사례가 보여줘요. NLA와 IP 화이트리스트, VPN, 계정 잠금이라는 네 겹의 자물쇠를 지금 다시 점검해 보세요.

이렇게 외부 통로를 다 걸어 잠가도 내부자 실수나 새로운 취약점으로 뚫릴 가능성은 남아 있어요. 그래서 관리자 권한이 뚫려도 백업까지는 손대지 못하는 구조가 함께 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 바로 그 역할을 해줘요.