먼저 읽으면 좋은 글
유의사항
본 글은 2026년 7월 22일 기준 공개된 Black Kite의 「2026 Ransomware Report」와 관련 보안 자료를 바탕으로 작성되었습니다. DANA NOTES의 분석이 함께 포함되어 있습니다.
이 글에서 다루는 내용
랜섬웨어 피해가 다시 빠르게 증가하고 있다
랜섬웨어는 새로운 사이버 위협이 아니다. 기업의 시스템을 암호화하거나 데이터를 탈취한 뒤 금전을 요구하는 공격은 이미 오랫동안 반복돼 왔다. 그런데 최근 랜섬웨어 피해가 다시 빠르게 증가하면서 그 원인을 생성형 AI에서 찾으려는 시각도 커지고 있다.
보안업체 Black Kite가 2025년 4월부터 2026년 3월까지 확인한 공개 랜섬웨어 피해 조직은 7,551곳이다. 직전 조사 기간의 6,046곳보다 24.9% 증가한 수치다.
증가세는 최근 6개월에 더욱 집중됐다. 2025년 4월부터 9월까지 확인된 피해 조직은 2,904곳이었지만, 2025년 10월부터 2026년 3월까지는 4,647곳으로 늘었다. 최근 반기 피해 규모가 직전 반기보다 약 60% 증가한 것이다.
2026년 3월에는 한 달 동안 861곳이 랜섬웨어 피해 조직으로 공개됐다. Black Kite가 최근 4년간 집계한 월간 수치 가운데 가장 높은 수준이다. 이는 일시적인 대형 사고 하나가 전체 통계를 끌어올린 것이 아니라, 랜섬웨어 공격이 더 높은 속도로 지속되고 있다는 의미에 가깝다.
그렇다면 랜섬웨어 피해가 급증한 이유는 생성형 AI 때문일까?
Black Kite의 분석은 조금 다른 방향을 가리킨다. AI가 공격자의 작업 속도를 높이고 공격 준비에 필요한 기술적 부담을 낮추는 것은 사실이다. 그러나 최근 피해 증가의 더 근본적인 배경에는 랜섬웨어 시장에 참여하는 조직의 확대, 공격 과정의 분업화, 서비스형 랜섬웨어의 성장, 신뢰받는 외부 플랫폼을 악용한 새로운 침투 경로가 있다.
AI가 새로운 랜섬웨어 범죄를 만들어냈다기보다, 이미 산업화된 범죄 생태계가 AI를 활용해 더 빠르고 효율적으로 움직이기 시작한 것이다.
랜섬웨어 피해는 얼마나 증가했을까?
Black Kite가 확인한 최근 1년간 공개 랜섬웨어 피해 조직은 7,551곳이다. 직전 조사 기간보다 24.9% 증가했으며, 최근 4년 가운데 가장 높은 피해 규모를 기록했다.
월평균 피해 조직도 약 504곳에서 629곳으로 늘었다. 그러나 연간 평균만으로는 최근의 급격한 변화를 충분히 확인하기 어렵다.
조사 기간 전반기인 2025년 4월부터 9월까지는 2,904곳이 확인됐다. 반면 후반기인 2025년 10월부터 2026년 3월까지는 4,647곳이 확인됐다. 최근 6개월의 피해 규모가 직전 6개월보다 약 60% 증가한 것이다.
특히 2025년 10월부터 2026년 3월까지는 매월 700곳이 넘는 피해 조직이 공개됐다. 랜섬웨어 피해가 특정 시점에 일시적으로 급증한 것이 아니라, 이전보다 높은 공격 속도가 여러 달 동안 지속된 것이다.
다만 이 수치는 랜섬웨어 조직의 데이터 유출 사이트와 공개 자료를 통해 확인된 피해 사례를 중심으로 집계한 결과다. 피해 사실을 외부에 알리지 않았거나, 데이터 유출 사이트에 공개되기 전에 협상이 끝난 사건은 포함되지 않았을 가능성이 있다.
따라서 실제 랜섬웨어 침해 규모는 공개된 통계보다 더 클 수 있다.
신규 조직은 늘었지만 공격은 상위 그룹에 집중됐다
랜섬웨어 피해 조직만 증가한 것은 아니다. 같은 조사 기간에 61개의 신규 랜섬웨어 그룹이 등장했다. 평균적으로 일주일에 한 개가 넘는 새로운 그룹이 시장에 진입한 셈이다.
2026년 3월 조사 기간 종료 시점에 활동 중인 그룹은 127개였으며, 이후에도 신규 그룹이 계속 등장하면서 2026년 6월에는 146개까지 늘었다. 2023년 확인된 61개 그룹과 비교하면 두 배가 넘는 규모다.
다만 새롭게 나타난 모든 이름이 완전히 독립된 조직을 의미하는 것은 아니다. 기존 조직이 수사기관의 추적을 피하거나 평판을 초기화하기 위해 이름을 바꾸는 재브랜딩도 포함될 수 있다. 기존 조직의 제휴 공격자들이 다른 브랜드로 이동하거나 새로운 그룹을 만드는 경우도 있다.
그럼에도 신규 그룹의 증가는 중요하다. 특정 대형 조직 몇 곳이 시장을 이끄는 구조에서 벗어나, 소규모 조직과 단기 활동 그룹이 계속 진입할 수 있는 환경이 형성됐기 때문이다.
그러나 시장 참여자가 늘었다고 해서 공격이 모든 그룹에 고르게 분산된 것은 아니다. 상위 5개 랜섬웨어 그룹은 전체 공개 피해 조직의 43.6%를 차지했다.
특히 Qilin의 증가세가 두드러졌다.
Qilin이 공개한 피해 조직은 직전 조사 기간의 250곳에서 이번 조사 기간 1,358곳으로 증가했다. 증가율은 443%에 달한다. Qilin은 50개가 넘는 국가에서 활동했으며, 전체 공개 피해 조직 약 5~6곳 가운데 1곳을 차지할 정도로 영향력을 확대했다.
이는 현재 랜섬웨어 시장에서 두 가지 변화가 동시에 진행되고 있다는 사실을 보여준다.
시장 아래에서는 신규 조직과 소규모 그룹이 빠르게 늘어나고 있다. 반면 시장 위에서는 Qilin과 같은 상위 조직이 대규모 공격을 계속 확대하고 있다.
즉, 랜섬웨어 시장은 단순히 여러 조직으로 분산된 것도, 특정 조직에만 집중된 것도 아니다. 시장 저변은 넓어지는 동시에 실제 피해는 일부 대형 그룹에 집중되는 이중 구조로 변하고 있다.
RaaS는 랜섬웨어 공격을 어떻게 바꿨을까?
서비스형 랜섬웨어(Ransomware as a Service, RaaS)는 랜섬웨어 개발자가 공격 도구와 운영 시스템을 제공하고, 다른 범죄자가 이를 이용해 실제 공격을 수행한 뒤 수익을 나누는 범죄 모델이다.
합법적인 소프트웨어 시장에서 SaaS가 프로그램을 직접 설치하고 관리하지 않아도 필요한 기능을 이용할 수 있게 해주는 것처럼, RaaS는 랜섬웨어 공격에 필요한 기능을 하나의 범죄 서비스처럼 제공한다.
RaaS 운영자는 단순히 악성코드 파일만 배포하지 않는다. 공격 캠페인을 관리하는 대시보드, 피해자별 결제 페이지, 암호화폐 지갑 관리, 데이터 유출 사이트, 피해 기업과의 협상 기능, 악성코드 업데이트와 기술 지원까지 함께 제공할 수 있다.
그 결과 공격자는 랜섬웨어를 직접 개발하지 않아도 된다. 이미 만들어진 도구를 이용해 기업을 공격하고, 공격에 성공하면 수익의 일부를 RaaS 운영자에게 배분하면 된다.
이 구조는 랜섬웨어 시장의 진입장벽을 크게 낮췄다.
과거에는 악성코드를 개발하고 보안 제품을 우회하며 파일 암호화와 복호화 기능을 구현할 수 있는 전문적인 기술이 필요했다. 공격 서버와 결제 시스템, 데이터 유출 사이트도 직접 준비해야 했다.
현재는 일정한 비용을 지불하거나 수익 배분 조건에 동의하면 이미 구축된 공격 도구와 운영 인프라를 이용할 수 있다. 전문적인 악성코드 개발 능력이 부족한 범죄자도 랜섬웨어 공격에 참여할 수 있게 된 것이다.
RaaS는 랜섬웨어를 하나의 악성코드에서 구매하고 이용할 수 있는 범죄 서비스로 바꿨다.
개발·침투·탈취·협상 조직은 왜 분리됐을까?
최근 랜섬웨어 조직은 하나의 집단이 공격의 모든 과정을 담당하는 방식에서 벗어나고 있다. 공격 과정이 세분화되면서 각 조직과 참여자가 자신이 잘하는 업무만 담당하는 구조로 변하고 있다.
랜섬웨어 개발자는 악성코드와 관리 시스템을 만든다. 침투 조직은 취약점을 악용하거나 탈취한 계정을 이용해 기업 내부에 들어간다. 데이터 탈취 조직은 중요 자료를 찾아 외부로 반출한다.
랜섬웨어 제휴 조직은 내부 시스템을 암호화하고 피해 기업을 압박한다. 협상팀은 피해 기업과 접촉해 금액과 지불 조건을 조율하며, 별도의 자금 세탁 조직은 암호화폐의 이동 경로를 복잡하게 만들어 범죄 수익의 추적을 어렵게 한다.
이처럼 역할이 분리되면 각각의 조직은 전체 공격 과정을 모두 이해할 필요가 없다.
악성코드를 잘 만드는 조직은 개발에 집중하고, 취약점 악용이나 사회공학에 능숙한 조직은 침투에 집중할 수 있다. 기업 내부에서 중요한 데이터를 찾는 조직과 피해 기업을 상대로 협상하는 조직도 서로 다른 전문성을 활용할 수 있다.
분업은 공격 속도도 높인다.
하나의 조직이 공격 대상을 찾고 침투한 뒤 데이터를 탈취하고 협상까지 진행하려면 많은 시간과 인력이 필요하다. 반면 각 단계가 전문 조직으로 분리되면 여러 공격을 동시에 진행할 수 있다.
또한 특정 조직이 수사기관에 적발되더라도 범죄 생태계 전체가 즉시 무너지지 않는다. 한 랜섬웨어 개발자가 사라져도 다른 RaaS 도구를 사용할 수 있고, 특정 침투 조직이 차단돼도 다른 경로를 통해 접근권을 확보할 수 있기 때문이다.
랜섬웨어가 단일 조직의 범죄에서 여러 참여자가 연결된 공급망형 범죄로 변하면서 공격의 지속성과 회복력도 함께 높아졌다.
초기 접근권은 어떻게 거래될까?
Initial Access Broker, 즉 초기 접근권 중개업자(IAB)는 기업이나 기관의 내부 시스템에 먼저 침투한 뒤 확보한 접근 권한을 다른 범죄자에게 판매하는 조직 또는 개인이다.
이들이 거래하는 것은 단순한 아이디와 비밀번호만이 아니다.
VPN 계정, 원격 데스크톱 접속 권한, 관리자 계정, 내부 서버 접근권, 클라우드 계정, 도메인 관리자 권한처럼 실제 공격으로 이어질 수 있는 다양한 접속 경로가 거래 대상이 된다.
IAB는 기업 내부에 침투한 뒤 반드시 직접 랜섬웨어를 실행하지 않는다. 내부 접근권을 확보하는 단계까지만 수행하고, 이를 필요로 하는 랜섬웨어 제휴 조직이나 다른 범죄자에게 판매할 수 있다.
반대로 랜섬웨어 조직은 직접 피싱 캠페인을 운영하거나 취약한 서버를 찾아 장시간 침투를 시도하는 대신, 이미 확보된 접근권을 구매할 수 있다.
공격자는 침투 과정에 필요한 시간과 실패 위험을 줄이고 곧바로 내부 정찰, 권한 상승, 데이터 탈취와 암호화 단계로 넘어갈 수 있다.
RaaS가 공격 도구의 진입장벽을 낮췄다면, IAB는 기업 내부 침투의 진입장벽을 낮추는 역할을 한다.
다만 Black Kite의 이번 보고서가 랜섬웨어 증가의 새로운 핵심 원인으로 IAB만을 지목한 것은 아니다. IAB는 이미 형성된 범죄 공급망을 설명하는 중요한 구성 요소다. 이번 보고서에서 새롭게 주목한 변화는 기업이 신뢰하는 외부 플랫폼과 서비스 연결이 공격 경로로 활용되고 있다는 점이다.
VPN 계정 하나가 왜 비싸게 거래될까?
VPN 계정 하나는 겉으로 보면 단순한 로그인 정보처럼 보인다. 하지만 공격자에게는 기업 내부로 들어가는 입구가 될 수 있다.
정상적인 VPN 계정으로 접속하면 인터넷에서 무작위 공격을 시도하는 것보다 보안 장비의 탐지를 피하기 쉽다. 계정에 충분한 권한이 있거나 다중 인증이 적용되지 않았다면 내부 시스템과 파일 서버, 관리 도구까지 접근할 가능성도 커진다.
계정의 가격은 기업 규모, 산업군, 예상 매출, 접근 권한, 관리자 권한 보유 여부, 접근 가능한 네트워크 범위 등에 따라 달라질 수 있다.
공격자가 데이터 탈취나 협박을 통해 얻을 수 있는 예상 수익이 큰 기업일수록 접근권의 가치도 높아질 수 있다.
따라서 VPN 계정의 가격은 로그인 정보 자체의 가치라기보다, 그 계정을 통해 확보할 수 있는 내부 접근성과 향후 협박 가능성을 반영한다고 볼 수 있다.
최근에는 어떤 침투 경로가 주목받고 있을까?
최근 랜섬웨어 공격자는 기업 시스템을 직접 공격하는 것뿐 아니라, 기업이 이미 신뢰하고 있는 외부 서비스와 연결 구조를 노리고 있다.
Black Kite는 이번 조사 기간의 주요 공격 가운데 상당수가 SaaS 연동, 기업용 애플리케이션, OAuth 연결, 고객 지원 절차와 같은 신뢰받는 벤더 플랫폼을 통해 발생했다고 분석했다.
대표적인 사례가 Salesforce 생태계와 연결된 OAuth 토큰 악용이다.
OAuth는 기업이 사용하는 서비스와 외부 애플리케이션을 연결해 로그인이나 데이터 접근 권한을 공유하는 방식이다. 기업이 외부 서비스에 연결해 둔 권한이 탈취되면, 공격자는 비밀번호를 직접 훔치지 않고도 내부 정보에 접근할 수 있다.
Black Kite가 언급한 Salesloft Drift 관련 공격은 각 고객사의 외부 시스템을 직접 침해하기보다, Salesforce와 연결된 제3자 애플리케이션의 OAuth 토큰을 악용하는 방식으로 확산됐다.
Oracle E-Business Suite 사례에서는 여러 기업이 사용하는 업무용 플랫폼의 취약점이 다수의 피해 조직으로 이어지는 공격 경로가 됐다. 하나의 플랫폼이나 연결 서비스가 많은 기업에 사용될수록, 취약점 하나가 만들어내는 피해 범위도 커질 수 있다.
이러한 공격이 위험한 이유는 기업 내부에서 이미 허용된 연결과 정상적인 계정처럼 보일 수 있기 때문이다.
기업 자체 시스템의 보안을 강화했더라도 외부 SaaS, 공급업체, 유지보수 업체, 원격 지원 도구와 연결된 권한이 침해되면 공격자는 기존의 신뢰 관계를 이용해 내부 데이터에 접근할 수 있다.
공급망 보안은 더 이상 협력업체가 보안 인증서를 보유하고 있는지만 확인하는 문제가 아니다. 외부 애플리케이션이 어떤 권한을 가지고 있는지, 어떤 OAuth 토큰이 활성화돼 있는지, 고객 지원 과정에서 사용자의 신원을 어떻게 확인하는지까지 점검해야 한다.
범죄 공급망은 어떻게 만들어질까?
오늘날 랜섬웨어 공격은 한 명의 해커가 처음부터 끝까지 수행하는 방식과 점점 멀어지고 있다.
초기 접근권을 확보한 조직이 기업 내부 접속 권한을 판매하면 랜섬웨어 제휴 조직이 이를 구매할 수 있다. 이후 내부 정찰과 권한 상승이 진행되고, 데이터 탈취 조직이 주요 정보를 외부로 반출한다.
랜섬웨어는 내부 시스템을 암호화하거나 기업의 업무를 중단시킨다. 협상팀은 피해 기업과 연락해 금액과 지불 조건을 조율하며, 범죄 수익은 여러 암호화폐 지갑과 자금 세탁 경로를 거칠 수 있다.
공격에 사용되는 악성코드는 RaaS 운영자가 제공할 수 있다. 초기 침투는 IAB나 제휴 조직이 담당할 수 있고, 신뢰받는 외부 애플리케이션이나 공급업체의 연결 권한이 공격 경로로 이용될 수도 있다.
각 참여자는 자신이 담당한 단계에 따라 수익을 배분받는다.
이 구조에서는 랜섬웨어 개발 능력이 없는 범죄자도 공격에 참여할 수 있다. 직접 침투하지 못하는 조직도 접근권을 구매할 수 있으며, 자체 협상 능력이 없는 공격자는 전문 협상 인력을 활용할 수 있다.
랜섬웨어 피해가 증가한 배경에는 단순히 악성코드 성능이 좋아진 것보다, 공격 준비와 실행에 필요한 도구, 접근권, 데이터, 인력과 운영 기능이 거래되는 시장이 커졌다는 변화가 있다.
AI는 실제로 랜섬웨어 공격을 어떻게 바꾸고 있을까?
생성형 AI가 등장한 이후 사이버 공격이 크게 달라졌다는 이야기가 자주 나온다. 실제로 AI는 공격 준비 과정의 여러 작업을 자동화하거나 보조할 수 있다.
그러나 AI가 랜섬웨어라는 새로운 공격 방식을 만들어낸 것은 아니다. 랜섬웨어, 피싱, 계정 탈취, 취약점 악용은 생성형 AI가 등장하기 전부터 오랫동안 사용돼 왔다.
Black Kite 역시 AI를 최근 랜섬웨어 피해 증가의 직접적인 원인으로 보지는 않았다. AI가 공격자의 작업 속도를 높이고 필요한 비용을 줄일 수는 있지만, 피해 증가의 더 근본적인 배경에는 확대된 범죄 조직과 분업화된 공격 구조가 있다는 것이다.
AI는 랜섬웨어 공격을 완전히 자동으로 운영하는 기술이라기보다, 과거에는 더 많은 사람과 시간이 필요했던 작업을 더 빠르게 처리할 수 있도록 돕는 도구에 가깝다.
대표적인 사례가 공격 대상 조사다.
공격자는 인터넷에 공개된 기업 정보, 기술 문서, 채용 공고, 조직도, 이메일 주소와 사용 중인 소프트웨어 정보를 수집해 공격 대상을 분석한다. 생성형 AI는 이렇게 수집된 정보를 요약하고 분류하며, 공격에 필요한 내용을 정리하는 데 활용될 수 있다.
공격자는 특정 기업이 어떤 시스템을 사용하는지, 어떤 부서와 직원을 노릴 수 있는지, 어떤 내용으로 접근해야 자연스러운지를 더 빠르게 파악할 수 있다.
AI는 기존 공격을 어떻게 가속할까?
AI는 이미 존재하던 공격을 완전히 다른 형태로 바꾸기보다, 공격 과정에 필요한 시간과 비용을 줄이는 역할을 한다.
피싱 메일을 더 자연스럽게 만들 수 있다
과거에는 공격자가 직접 문장을 작성하거나 번역기를 이용해 피싱 메일을 만들었다. 문법이나 표현이 어색하면 수신자가 공격을 의심하기도 했다.
생성형 AI는 자연스러운 문체로 메일을 작성하고, 기업과 직원의 상황에 맞춘 내용을 빠르게 만들 수 있다. 여러 언어로 된 피싱 메시지도 짧은 시간 안에 생성할 수 있다.
예를 들어 인사팀, 거래처, 경영진이나 클라우드 서비스 관리자를 사칭하는 메일을 기업별로 다르게 작성할 수 있다. 공격자는 같은 문장을 반복해서 보내는 대신, 대상의 직무와 상황에 맞춘 메시지를 대량으로 만들 수 있다.
음성과 신원 사칭이 정교해질 수 있다
AI 음성 복제와 딥페이크 기술을 이용하면 기업 임원이나 협력업체 관계자의 목소리를 흉내 낼 수 있다.
공격자는 헬프데스크나 고객 지원 담당자에게 전화를 걸어 비밀번호 초기화, 다중 인증 수단 변경이나 계정 복구를 요청할 수 있다.
이 경우 공격 대상은 시스템의 취약점만이 아니다. 사람의 판단과 업무 절차도 공격 경로가 된다.
누군가 임원이나 주요 고객을 사칭하더라도 정해진 본인 확인 절차를 생략하지 않는 것이 중요한 이유다.
취약점 정보를 빠르게 분석할 수 있다
새로운 취약점이 공개되면 보안 권고문과 기술 문서가 함께 발표된다. 공격자는 이러한 자료를 분석해 어떤 제품과 버전이 영향을 받는지 확인한다.
AI는 긴 문서를 요약하고, 취약한 시스템의 특징과 공격 가능성을 정리하는 데 활용될 수 있다. 공격자는 이를 바탕으로 인터넷에 노출된 시스템 가운데 공격 가능성이 높은 대상을 더 빠르게 선별할 수 있다.
AI가 취약점을 새롭게 만드는 것은 아니지만, 공개된 취약점 정보를 공격에 활용하는 시간을 단축할 수 있는 것이다.
기존 악성코드를 수정하는 데 활용될 수 있다
공격자는 완전히 새로운 악성코드를 처음부터 개발하기보다 기존 코드를 조금씩 수정하거나 오류를 고치는 방식으로 변종을 만들 수 있다.
AI는 코드 구조를 설명하고, 일부 기능을 수정하거나 반복 작업을 자동화하는 데 활용될 수 있다.
다만 AI가 생성한 코드가 항상 정확하거나 바로 사용할 수 있는 것은 아니다. 실제 공격에 활용하려면 여전히 기술적 검토와 수정이 필요하다.
그럼에도 과거보다 코드 수정과 시험에 필요한 시간이 줄어들 수 있다는 점은 공격자의 생산성을 높이는 요인이 된다.
역설적으로 기존 공격이 더 강해졌다
많은 사람은 AI가 이전에 없던 완전히 새로운 사이버 공격을 만들어낼 것이라고 생각한다.
그러나 현재 나타나는 더 직접적인 변화는 기존 공격을 반복하고 변형하는 일이 훨씬 쉬워졌다는 점이다.
피싱 메일은 더 자연스러워졌고 여러 언어로 빠르게 변환할 수 있게 됐다. 공개된 기업 정보를 이용해 특정 직원이나 부서를 겨냥한 메시지도 대량으로 만들 수 있다.
취약점 정보는 더 빠르게 요약되고, 공격자는 많은 기업 가운데 상대적으로 취약한 대상을 효율적으로 골라낼 수 있다. 악성코드도 완전히 새로운 종류를 개발하기보다 기존 코드에 작은 변화를 반복해서 적용할 수 있다.
즉, 공격 기술이 완전히 새롭게 바뀌었다기보다 기존 공격의 속도와 규모가 커진 것이다.
이 때문에 보안 담당자는 새로운 AI 공격만을 경계해서는 안 된다. 계정 탈취, 피싱, 취약점 악용, 원격접속 관리 실패와 같이 오래전부터 반복돼 온 공격 경로를 더욱 철저히 관리해야 한다.
AI는 랜섬웨어 피해 증가의 단독 원인이라기보다, 이미 확대된 범죄 생태계의 생산성을 높이는 가속 장치에 가깝다.
랜섬웨어 사고가 끝나도 보안 위험은 사라지지 않았다
기업은 랜섬웨어 사고가 발생하면 감염된 시스템을 격리하고 서버를 복원하며 공격에 사용된 계정의 비밀번호를 변경한다.
시스템이 정상적으로 운영되기 시작하면 사고 대응이 끝났다고 판단하기 쉽다. 그러나 시스템을 복구하는 것과 공격자가 다시 사용할 수 있는 침투 경로를 제거하는 것은 서로 다른 작업이다.
Black Kite가 랜섬웨어 피해 조직의 보안 상태를 다시 점검한 결과, 사고 이후 스틸러 로그 노출 수준은 이전 분석 시점보다 175% 높게 나타났다.
스틸러 로그는 정보 탈취형 악성코드가 감염된 기기에서 수집한 로그인 정보와 인증 데이터를 의미한다.
여기에는 이메일 주소와 비밀번호뿐 아니라 브라우저에 저장된 로그인 정보, 쿠키, 세션 정보와 서비스 접속 기록 등이 포함될 수 있다.
기업의 서버를 복구했더라도 직원이나 협력업체의 컴퓨터가 정보 탈취형 악성코드에 감염돼 있다면 새로운 인증 정보가 계속 외부로 유출될 수 있다.
비밀번호를 변경했더라도 기존 로그인 상태를 유지하는 세션이나 토큰이 남아 있다면 공격자가 다른 방식으로 접근을 이어갈 가능성도 있다.
따라서 사고 이후에는 비밀번호만 변경하는 것으로 끝내서는 안 된다. 로그인 세션과 인증 토큰을 모두 초기화하고, 직원과 외부 협력업체의 기기까지 감염 여부를 점검해야 한다.
심각한 취약점도 여전히 남아 있었다
Black Kite의 최신 재점검 결과, 피해 조직의 43.5%에서는 공격에 악용될 경우 피해가 매우 클 수 있는 심각한 보안 취약점이 여전히 발견됐다.
이는 보안 취약점의 위험도를 10점 만점으로 평가하는 CVSS 기준에서 9.0점 이상에 해당하는 수준이다.
또한 피해 조직의 30.8%는 실제 사이버 공격에 사용된 사실이 확인된 취약점을 제대로 조치하지 않은 상태였다. 이러한 취약점은 미국 사이버보안 및 인프라보안국이 관리하는 KEV 목록에 포함된다.
KEV는 단순히 이론적으로 위험한 취약점을 모아 둔 목록이 아니다. 실제 공격자가 시스템 침투에 사용한 사실이 확인된 취약점을 관리하는 목록이다.
이러한 취약점이 사고 이후에도 남아 있다는 것은 기업이 중단된 시스템은 복구했지만, 공격자가 다시 들어올 수 있는 경로까지 모두 제거하지는 못했다는 의미다.
랜섬웨어로 암호화된 파일을 복구하고 서버를 정상화하는 것만으로는 충분하지 않다.
탈취된 계정과 인증 정보를 교체하고, 감염된 기기를 찾아내며, 패치되지 않은 시스템과 외부 연결 권한까지 다시 점검해야 한다.
그렇지 않으면 같은 기업이 다시 공격받을 가능성이 남는다.
AI 보안만 강화해서는 충분하지 않은 이유
최근 많은 기업이 생성형 AI 보안 정책과 AI 모델 보호에 관심을 기울이고 있다.
기업 내부 정보가 외부 AI 서비스로 유출되는 문제, AI가 잘못된 권한을 사용하는 문제와 AI 모델을 겨냥한 공격도 중요한 보안 과제다.
그러나 실제 랜섬웨어 사고는 여전히 오래된 취약점, 탈취된 계정, 원격접속 관리 미흡과 같은 기본적인 문제에서 시작될 수 있다.
운영체제나 VPN 장비의 보안 패치가 늦어지거나, 다중 인증이 적용되지 않은 관리자 계정이 탈취되면 공격자는 AI 없이도 기업 내부에 침투할 수 있다.
외부 SaaS와 연결된 로그인 권한이나 데이터 접근 권한이 과도하게 설정돼 있어도 문제가 발생할 수 있다. 사용하지 않는 외부 애플리케이션 연결이 그대로 남아 있다면 공격자는 해당 권한을 악용해 내부 정보에 접근할 수 있다.
협력업체와 유지보수 업체의 계정이 제대로 관리되지 않는 경우도 마찬가지다. 공격자는 외부 업체의 계정을 탈취한 뒤 정상적인 협력사 직원처럼 내부 시스템에 접근할 수 있다.
AI는 공격자의 작업 속도와 효율을 높일 수 있다. 그러나 공격에 활용할 수 있는 계정, 취약점과 외부 연결이 없다면 공격자가 얻을 수 있는 이점도 줄어든다.
따라서 AI 보안 기술을 도입하는 것만으로 랜섬웨어에 대응할 수는 없다.
계정, 권한, 패치, 원격접속, 외부 서비스 연결과 데이터 접근을 관리하는 기본적인 보안 역량이 함께 강화돼야 한다.
기업은 무엇을 우선 점검해야 할까?
랜섬웨어 대응 전략도 변화한 범죄 생태계에 맞춰 달라질 필요가 있다.
1. VPN과 관리자 계정에 다중 인증을 적용해야 한다
VPN, 원격 데스크톱, 클라우드 관리 계정과 관리자 계정에는 다중 인증을 우선 적용해야 한다.
비밀번호가 탈취되더라도 추가 인증 없이는 계정에 접근하지 못하도록 해야 한다.
다만 문자메시지나 단순 승인 알림만 사용하는 방식은 피싱이나 반복 승인 요청 공격에 악용될 수 있다. 가능한 경우 보안 키와 같이 피싱에 강한 인증 수단을 적용하는 것이 좋다.
2. VPN과 외부 연결 장비의 패치를 우선 관리해야 한다
운영체제뿐 아니라 VPN 장비, 방화벽, 원격접속 솔루션과 인터넷에 직접 연결된 장비의 취약점을 우선 관리해야 한다.
모든 취약점을 동일하게 처리하기보다 실제 공격에 사용된 KEV 취약점과 외부에 노출된 심각한 취약점을 먼저 조치할 필요가 있다.
3. 사용하지 않는 계정과 권한을 정리해야 한다
퇴사자와 부서 이동자의 계정, 장기간 사용하지 않은 관리자 계정과 임시로 발급한 외부 업체 계정은 즉시 점검해야 한다.
사용자에게 필요한 범위보다 넓은 관리자 권한이 부여돼 있지 않은지도 확인해야 한다.
하나의 계정이 탈취됐을 때 전체 시스템으로 피해가 확산되지 않도록 각 사용자에게 꼭 필요한 권한만 부여해야 한다.
4. SaaS와 외부 서비스 연결 현황을 확인해야 한다
기업이 사용하는 SaaS와 연결된 외부 애플리케이션을 목록으로 정리해야 한다.
각 애플리케이션이 어떤 데이터와 기능에 접근할 수 있는지 확인하고, 사용하지 않는 연결은 해제해야 한다.
외부 서비스에 과도한 권한이 부여돼 있다면 필요한 범위로 줄여야 한다.
5. 외부 협력사와 공급업체 계정을 통제해야 한다
협력업체와 유지보수 업체가 내부 시스템에 접근하는 경우 접속 시간, 대상 시스템과 사용 권한을 제한해야 한다.
외부 계정에도 다중 인증을 적용하고, 계약이나 유지보수 업무가 끝나면 계정과 접근 권한을 즉시 회수해야 한다.
6. 헬프데스크의 신원 확인 절차를 강화해야 한다
공격자는 기술적인 취약점뿐 아니라 비밀번호 초기화와 인증 수단 변경 절차도 노린다.
전화나 메신저 요청만으로 관리자 계정의 비밀번호를 초기화하거나 다중 인증 수단을 변경해서는 안 된다.
고위 임원이나 주요 고객, 협력업체 관계자를 사칭하는 경우에도 정해진 본인 확인 절차를 동일하게 적용해야 한다.
7. 비정상 로그인과 권한 상승을 탐지해야 한다
평소와 다른 국가와 시간대에서 발생한 로그인, 짧은 시간에 반복되는 인증 시도와 일반 사용자 계정의 관리자 권한 획득을 확인해야 한다.
정상적인 계정이 사용됐다는 이유만으로 정상적인 활동이라고 판단해서는 안 된다.
계정이 탈취되면 공격자는 정상 사용자처럼 시스템에 접근할 수 있기 때문이다.
8. 중요 데이터의 접근과 외부 반출을 확인해야 한다
최근 랜섬웨어 조직은 시스템을 암호화하기 전에 중요 데이터를 먼저 탈취한다.
따라서 대량 파일 조회, 여러 파일을 한꺼번에 압축하는 행위, 비정상적인 클라우드 업로드와 외부 저장소로의 데이터 전송을 탐지할 수 있어야 한다.
백업만 잘해 두면 랜섬웨어에 대응할 수 있다는 생각도 달라져야 한다. 데이터가 이미 외부로 유출됐다면 시스템을 복구하더라도 협박은 계속될 수 있다.
9. 백업과 실제 복구 체계를 점검해야 한다
백업 데이터를 보관하는 것만으로는 충분하지 않다.
공격자가 운영 시스템과 함께 백업까지 삭제하거나 암호화하지 못하도록 백업 환경을 분리해야 한다.
또한 실제 사고가 발생했을 때 필요한 시간 안에 시스템과 데이터를 복구할 수 있는지 정기적으로 시험해야 한다.
복구에 필요한 담당자와 절차, 우선 복구해야 할 시스템도 미리 정해둘 필요가 있다.
10. 사고 이후에도 노출 상태를 반복 점검해야 한다
사고 직후의 긴급 대응이 끝난 뒤에도 일정 기간 보안 상태를 반복해서 점검해야 한다.
스틸러 로그, 유출된 계정, 활성화된 로그인 세션과 인증 토큰, 실제 공격에 사용된 취약점, 외부 애플리케이션 연결과 협력업체 계정을 다시 확인해야 한다.
사고 대응의 종료 기준을 단순히 시스템이 정상적으로 작동하는지로 판단해서는 안 된다.
공격자가 다시 사용할 수 있는 계정과 취약점, 외부 연결이 모두 제거됐는지를 기준으로 판단해야 한다.
앞으로 주목해야 할 변화
앞으로 랜섬웨어 환경에서는 몇 가지 변화가 더욱 중요해질 것으로 보인다.
우선 신규 랜섬웨어 그룹이 계속 증가하는 가운데 실제 공격은 일부 상위 조직에 집중되는 현재의 이중 구조가 이어질 가능성이 있다.
새롭게 등장한 그룹이 완전히 새로운 조직인지, 기존 조직이 이름만 바꾼 것인지, 다른 조직에서 이동한 제휴 공격자들이 만든 그룹인지도 지속적으로 살펴봐야 한다.
신뢰받는 외부 서비스와 기업용 플랫폼을 통한 공격도 더욱 중요해질 수 있다.
VPN과 외부 연결 장비뿐 아니라 SaaS 애플리케이션, 로그인 권한, 데이터 접근 권한, 원격 지원 도구, 헬프데스크와 외부 공급업체 계정이 초기 침투 경로로 활용될 수 있다.
시스템을 암호화하지 않고 데이터를 먼저 탈취한 뒤 공개를 협박하는 공격도 계속될 가능성이 있다.
이러한 공격은 백업만으로 대응하기 어렵다. 중요 정보에 누가 접근했는지, 대량의 데이터가 외부로 이동하고 있는지를 탐지하는 체계가 더욱 중요해진다.
AI의 역할도 점차 확대될 수 있다.
현재 AI는 주로 공격 대상 조사, 피싱과 음성 사칭, 번역, 취약점 정보 분석, 코드 수정과 협박 메시지 작성에 필요한 비용을 낮추는 데 활용되고 있다.
앞으로는 취약점 탐색과 공격 준비 시간을 단축하거나, 여러 기업을 대상으로 사회공학 공격을 대량으로 수행하는 데 더 적극적으로 사용될 가능성이 있다.
그러나 새로운 AI 공격만을 추적해서는 현재의 랜섬웨어 위험을 충분히 설명할 수 없다.
AI를 활용하는 공격자도 결국 계정, 취약점, 외부 서비스 연결과 사람의 업무 절차를 공격한다. 기업이 관리해야 하는 기본적인 공격 경로는 사라지지 않는다.
DANA NOTES 해설
랜섬웨어는 더 이상 특정 해커 집단이 처음부터 끝까지 독립적으로 수행하는 범죄로 보기 어렵다.
RaaS를 통해 공격 도구와 운영 시스템을 이용할 수 있고, 초기 접근권과 탈취된 인증 정보가 거래된다. 침투, 데이터 탈취, 암호화와 협상 업무도 서로 다른 조직이 나누어 담당할 수 있다.
이러한 분업 구조는 공격자의 진입장벽을 낮춘다. 전체 공격 과정을 수행할 기술이 없는 범죄자도 특정 단계만 담당하거나 필요한 기능을 구매해 랜섬웨어 시장에 참여할 수 있다.
이번 Black Kite 보고서에서 특히 주목할 부분은 랜섬웨어 시장이 아래에서는 확대되고 위에서는 집중되고 있다는 점이다.
조사 기간에 61개의 신규 그룹이 등장했지만, 상위 5개 조직은 전체 공개 피해의 43.6%를 차지했다. Qilin은 피해 조직을 250곳에서 1,358곳으로 늘리며 443%의 증가율을 기록했다.
작은 조직이 빠르게 생겨나는 동시에 대규모 공격 역량을 갖춘 상위 조직의 영향력도 강해지고 있는 것이다.
생성형 AI 역시 이러한 변화에 영향을 주고 있지만, 핵심은 AI가 새로운 형태의 랜섬웨어를 만들어냈다는 데 있지 않다.
AI는 공격 대상 조사, 피싱 문구 작성, 번역, 취약점 정보 분석, 코드 수정과 협박 메시지 제작처럼 기존 공격 과정에 들어가는 시간과 비용을 줄이고 있다.
그 결과 공격자는 같은 공격을 더 많은 대상에게, 더 짧은 시간 안에 수행할 수 있게 됐다.
AI는 랜섬웨어 증가의 근본 원인이라기보다, 이미 산업화된 범죄 생태계를 더욱 효율적으로 움직이게 하는 가속 장치에 가깝다.
사고 이후의 대응 방식도 달라져야 한다.
Black Kite의 재점검에서 피해 조직의 스틸러 로그 노출은 이전보다 175% 높아졌다. 피해 조직의 43.5%에서는 매우 심각한 취약점이 여전히 발견됐고, 30.8%는 실제 공격에 사용된 사실이 확인된 취약점을 제대로 조치하지 않은 상태였다.
이는 랜섬웨어 사고를 복구했다고 해서 공격자가 활용할 수 있는 계정과 취약점, 외부 연결까지 모두 제거된 것은 아니라는 의미다.
결국 기업이 집중해야 할 방향은 분명하다.
AI 보안 기술만 강화하는 것으로는 랜섬웨어를 막기 어렵다. 계정 관리, 다중 인증, 패치 관리, 원격접속 통제, SaaS와 외부 서비스 연결 관리, 공급망 보안, 데이터 유출 탐지와 백업·복구 체계가 함께 강화돼야 한다.
기본적인 보안 역량이 탄탄할 때 비로소 AI를 활용해 속도와 규모를 높이는 공격에도 효과적으로 대응할 수 있다.
