랜섬웨어 감염 확인·복구·예방, 파일이 열리지 않을 때 먼저 할 일
퇴근 전까지 잘 열리던 문서가 다음 날 갑자기 열리지 않고, 파일 이름 뒤에 낯선 문자가 붙어 있다면 당황하기 쉽습니다. 바탕화면에는 돈을 보내라는 안내문까지 나타날 수 있습니다. 개인 컴퓨터뿐 아니라 회사의 공유 폴더와 웹서버에서도 비슷한 일이 생깁니다.
이 글을 읽으면 랜섬웨어가 무엇인지, 감염이 의심될 때 어떤 순서로 기기를 격리해야 하는지, 복구 프로그램과 백업을 어떻게 구분해 살펴봐야 하는지 알게 됩니다. 특히 돈을 보내기 전에 확인할 점과 웹사이트 운영자가 놓치기 쉬운 보안 설정도 함께 살펴보겠습니다.
랜섬웨어는 파일을 인질로 삼는 악성 프로그램
랜섬웨어는 컴퓨터나 서버에 저장된 파일을 읽지 못하게 만든 뒤, 파일을 되돌려 주겠다며 금전을 요구하는 악성 프로그램입니다. 문서, 사진, 데이터베이스뿐 아니라 연결된 공유 폴더까지 영향을 받을 수 있습니다.
대표적인 방식은 파일 암호화입니다. 암호화는 파일 내용을 특별한 자물쇠로 잠그는 과정이라서, 파일 이름을 바꾸는 것만으로는 원래 상태로 돌아오지 않습니다. 최근 공격은 파일을 잠그는 데 그치지 않고 자료를 외부로 복사한 뒤 공개하겠다고 협박하는 경우도 있습니다.
- 암호화형: 문서나 사진을 열 수 없게 만듭니다.
- 화면 잠금형: 컴퓨터 사용을 막고 결제를 요구합니다.
- 유출 협박형: 자료를 훔친 뒤 공개나 판매를 빌미로 압박합니다.
- 서버 공격형: 웹사이트, 데이터베이스, 백업 장치를 함께 노릴 수 있습니다.
감염 경로는 가짜 배송 안내나 세금계산서 메일의 첨부파일, 불법 프로그램, 보안이 약한 원격 접속, 오래된 서버 프로그램 등 다양합니다. 파일 하나만 실행했다고 생각해도 공격자가 내부의 다른 컴퓨터로 이동할 수 있어 초동 대응이 중요합니다.
감염이 의심될 때 확인할 신호
파일 확장자가 갑자기 바뀌거나 폴더마다 결제 안내문이 생겼다면 의심해야 합니다. 다만 확장자 하나만 보고 종류를 단정해서는 안 됩니다. 같은 확장자를 여러 악성 프로그램이 사용할 수 있고, 일부 파일은 손상이나 동기화 오류 때문에 열리지 않을 수도 있습니다.
- 여러 폴더의 문서와 사진이 동시에 열리지 않는가
- 파일 이름 뒤에 평소 보지 못한 문자나 확장자가 붙었는가
- 바탕화면이나 폴더에 협박 문서가 새로 생겼는가
- 컴퓨터가 느려지고 저장장치 사용량이 갑자기 높아졌는가
- 공유 폴더, 서버, 다른 직원의 컴퓨터에서도 같은 현상이 나타나는가
확인 과정에서 의심스러운 파일을 여러 번 열거나 백신 프로그램을 무작정 삭제하지 마세요. 파일명, 발생 시각, 협박 문서, 변조된 확장자를 사진이나 별도 메모로 남기면 보안 담당자와 상담할 때 도움이 됩니다. 단, 증거 확보를 위해 감염된 장치를 계속 켜 두라는 뜻은 아닙니다.
복구 방법은 백업·복호화 도구·전문 대응으로 나뉩니다
| 방법 | 언제 살펴볼까 | 주의할 점 |
|---|---|---|
| 백업 복원 | 감염 전 정상 파일이 따로 있을 때 | 백업 저장소까지 감염되지 않았는지 먼저 확인 |
| 복호화 도구 | 해당 랜섬웨어용 공개 도구가 있을 때 | 모든 변종을 지원하지 않으며 복사본으로 시험 |
| 전문 대응 | 서버·업무 자료·개인정보가 관련될 때 | 기록 보존과 신고 필요성을 함께 검토 |
| 금전 지급 | 공식적인 복구 방법으로 보기 어려움 | 복구나 자료 삭제가 보장되지 않음 |
복호화 도구는 특정 악성 프로그램의 잠금 방식을 풀도록 만든 프로그램입니다. 이름이 비슷하다고 아무 도구나 실행하면 안 됩니다. 감염 종류, 변조된 확장자, 협박 문서의 특징을 먼저 대조하고, 원본 파일이 아닌 복사본으로 시험하는 편이 안전합니다. 공개 도구의 지원 범위와 사용 조건은 배포 기관의 공식 안내에서 다시 확인해야 합니다.
백업은 외장 저장장치나 클라우드에 파일을 복사해 두는 방식입니다. 하지만 컴퓨터에 연결된 채로 항상 열려 있는 백업은 공격자가 함께 암호화할 수 있습니다. 중요한 자료는 백업 뒤 연결을 끊거나, 삭제·변경을 막는 별도 보관 방식을 검토해야 합니다.
감염이 의심될 때의 대응 순서
- 연결을 끊습니다. 인터넷 선을 뽑거나 무선 연결을 끄고, 공유 폴더와 외장 저장장치도 분리합니다. 회사라면 다른 기기로 임의 접속하지 말고 담당자에게 알립니다.
- 전파 범위를 확인합니다. 같은 계정으로 연결된 컴퓨터, 서버, 네트워크 저장장치에서 이상 징후가 있는지 확인합니다. 이미 감염된 기기를 정상 컴퓨터에 연결하지 않습니다.
- 증거를 보존합니다. 협박 문서, 파일 확장자, 발생 시각, 사용 중이던 프로그램과 계정 정보를 기록합니다. 원본 파일을 삭제하거나 이름을 바꾸지 않는 것이 좋습니다.
- 계정을 보호합니다. 감염되지 않은 별도 기기에서 관리자와 원격 접속 계정의 비밀번호를 바꾸고, 같은 비밀번호를 사용한 서비스도 점검합니다. 가능하면 다중 인증을 켭니다.
- 복구 가능성을 따집니다. 백업의 마지막 정상 시점, 복호화 도구 지원 여부, 서버의 로그와 개인정보 포함 여부를 확인한 뒤 전문가나 관련 기관에 상담합니다.
- 초기화 후 재발을 막습니다. 감염 원인을 찾지 않은 채 백업만 복원하면 다시 공격받을 수 있습니다. 운영체제와 프로그램을 최신 상태로 만들고 불필요한 원격 접속을 닫습니다.
회사나 쇼핑몰처럼 고객 정보가 있는 환경에서는 내부 보고만으로 끝내지 말고, 개인정보와 서비스 중단 여부를 기준으로 신고와 통지 필요성을 확인해야 합니다. 적용 법령과 신고 절차는 상황과 시점에 따라 달라질 수 있으므로 공식 기관 안내를 확인하세요.
자주 하는 실수와 예방 체크리스트
가장 흔한 실수는 급한 마음에 랜섬웨어 제작자가 요구한 주소로 바로 송금하는 것입니다. 송금해도 복구 키를 받는다는 보장이 없고, 추가 금액을 요구하거나 다시 공격할 가능성도 있습니다. 협박 문서는 증거로 보관하되, 링크나 첨부파일은 다시 실행하지 마세요.
두 번째 실수는 백업을 한 곳에만 두는 것입니다. 외장하드 하나에만 저장하면 고장이나 분실로 자료를 잃을 수 있습니다. 중요한 자료는 서로 다른 저장 위치에 여러 세대로 보관하고, 실제로 복원되는지 정기적으로 시험해야 합니다.
- 운영체제, 웹서버, 게시판, 플러그인을 오래된 상태로 두지 않기
- 관리자 계정에 긴 비밀번호와 다중 인증을 적용하기
- 원격 데스크톱은 필요한 사람과 시간에만 허용하기
- 출처가 불분명한 첨부파일의 매크로와 실행 파일을 차단하기
- 웹사이트의 관리자 주소, 파일 업로드 기능, 사용하지 않는 계정을 점검하기
- 백업이 실제로 열리는지 복원 시험을 해 보기
웹사이트 운영자는 홈페이지 화면만 확인해서는 부족합니다. 악성 파일이 업로드되었는지, 관리자 계정에 낯선 로그인 기록이 있는지, 방문자에게 이상한 파일을 내려받게 하는 코드가 삽입되지 않았는지 서버 로그와 파일 변경 기록을 함께 살펴야 합니다.
랜섬웨어 관련 자주 묻는 질문
파일 하나만 열리지 않아도 랜섬웨어인가요?
그렇지는 않습니다. 프로그램 오류, 저장장치 고장, 권한 문제도 원인이 될 수 있습니다. 여러 파일이 동시에 바뀌었는지, 협박 문서가 생겼는지, 확장자가 변했는지를 함께 확인해야 합니다.
감염된 컴퓨터를 바로 초기화해도 되나요?
업무 자료가 중요하거나 공격 경로를 조사해야 한다면 바로 초기화하지 않는 편이 좋습니다. 반대로 전파가 진행 중이라면 격리와 시스템 보호가 먼저일 수 있습니다. 개인 컴퓨터인지 업무 서버인지에 따라 전문가의 판단을 받으세요.
복호화 프로그램을 찾으면 파일을 모두 살릴 수 있나요?
보장되지 않습니다. 공개된 도구가 있더라도 특정 버전이나 조건에서만 작동할 수 있습니다. 변조된 파일을 별도 복사한 뒤 도구의 제작 기관, 지원 대상, 사용 위험을 확인하고 진행해야 합니다.
백업만 하면 랜섬웨어를 걱정하지 않아도 되나요?
백업은 복구 가능성을 높이는 장치이지 감염을 막는 장치는 아닙니다. 업데이트, 계정 보안, 접근 권한, 메일 습관을 함께 관리해야 합니다. 백업 저장소가 본체와 계속 연결되어 있지 않은지도 확인하세요.
개인 홈페이지도 랜섬웨어 피해를 입을 수 있나요?
가능합니다. 서버 계정이 탈취되면 웹파일이 변조되거나 악성 파일 배포에 악용될 수 있습니다. 관리자 계정과 플러그인을 점검하고, 정기 백업과 로그인 기록 확인을 운영 습관으로 만드는 것이 좋습니다.