랜섬웨어 감염 시 대응 절차 7단계

랜섬웨어(Ransomware, 파일을 암호화한 뒤 금전을 요구하는 악성 프로그램)에 감염됐다면 가장 먼저 해야 할 일은 감염된 기기를 네트워크에서 즉시 분리하는 것입니다. 랜선을 뽑고 와이파이·블루투스를 끈 뒤, 전원은 함부로 끄지 말고 랜섬노트(몸값 요구 메시지)를 촬영·보관해 증거를 남기고, 한국인터넷진흥원(KISA) 118 상담센터나 관할 경찰 사이버수사대에 신고한 다음 백업에서 복구하는 순서로 대응해야 합니다. 아래에서 단계별로 구체적인 절차와 주의사항을 정리했습니다.

랜섬웨어 감염 의심 신호부터 확인하세요

대응 절차에 들어가기 전에 실제로 랜섬웨어 감염이 맞는지부터 확인해야 합니다. 다음 신호가 동시에 여러 개 나타난다면 감염을 의심해야 합니다.

• 문서·사진 파일의 확장자가 낯선 문자열(예: .locked, .encrypted 등)로 바뀌어 있음
• 바탕화면이나 폴더마다 몸값을 요구하는 텍스트·이미지 파일이 새로 생성됨
• 기존에 열리던 파일이 손상된 것처럼 열리지 않거나 깨진 형태로 표시됨
• 외장하드나 NAS, 공유폴더에 저장된 백업 파일까지 같은 방식으로 암호화됨
• 평소보다 디스크 사용률이나 CPU 점유율이 급격히 높아짐(대량 파일 암호화 작업 때문)

랜섬웨어 감염 시 대응 절차 7단계

감염이 확인되면 순서를 지키는 것이 중요합니다. 순서를 건너뛰고 포맷부터 하거나 백업 드라이브를 그대로 연결해두면 피해가 오히려 커질 수 있습니다.

감염 확인 즉시 네트워크부터 분리하세요. 감염된 PC가 인터넷·사내망에 계속 연결돼 있으면 같은 네트워크의 다른 PC·서버·NAS·공유폴더로 랜섬웨어가 확산될 수 있습니다.

1~4단계: 초기 격리와 증거 보존

초기 대응의 목적은 확산을 막고 이후 신고·복구에 필요한 증거를 남기는 것입니다.

1. 감염이 의심되는 즉시 랜선을 뽑고 와이파이·블루투스를 꺼서 네트워크에서 완전히 분리합니다.
2. 파일 암호화가 눈에 띄게 계속 진행 중인 경우가 아니라면 전원을 바로 끄지 말고 그대로 둡니다. 강제 종료는 메모리에 남은 복호화 단서나 악성코드 흔적을 날려버릴 수 있습니다.
3. 같은 네트워크에 연결된 다른 PC, 서버, NAS, 공유폴더에도 암호화된 파일이 있는지 확인해 감염 범위를 파악합니다.
4. 랜섬노트(몸값 요구 문구)를 사진이나 화면 캡처로 남겨둡니다. 확장자명과 랜섬노트 문구는 어떤 랜섬웨어 변종인지 식별하는 데 중요한 단서가 됩니다.

5~7단계: 신고와 복구

증거를 확보했다면 신고와 복구 절차로 넘어갑니다.

5. 한국인터넷진흥원(KISA) 118 상담센터에 신고하고, 회사 자산이거나 피해 규모가 크다면 관할 경찰 사이버수사대에도 신고합니다.
6. 감염 경로가 확인된 랜섬웨어 종류에 대해 무료 복호화 툴이 배포돼 있는지 확인합니다. 국제 협력 프로젝트인 ‘No More Ransom’ 등에서 일부 변종에 한해 무료 복호화 도구를 제공하지만, 모든 변종에 대응 툴이 있는 것은 아닙니다.
7. 깨끗한 백업이 있다면 시스템을 초기화하거나 재설치한 뒤 백업에서 복구합니다. 이후 취약점 패치, 계정 비밀번호 전면 교체, 원격 접속(RDP 등) 포트 점검 등 재발 방지 조치를 함께 진행합니다.

몸값을 지불해야 할까? 지불 전 반드시 확인할 것

백업도 없고 복호화 툴도 없는 상황에서는 몸값 지불을 고민하게 되지만, 지불이 곧 복구를 보장하지는 않습니다.

몸값을 지불해도 복호화 키를 받지 못하거나, 키를 받아도 일부 파일만 복구되는 사례가 적지 않습니다. 몸값 지불은 다른 방법을 모두 확인한 뒤 마지막에 신중히 판단할 문제입니다.

지불을 고려하기 전 체크리스트

몸값을 검토하기 전에 다음을 먼저 점검해야 합니다. 무료 복호화 툴 존재 여부, 백업본(오프라인 포함) 유무, 암호화되지 않은 원본이 다른 저장매체나 협업자에게 남아 있는지, 그리고 반드시 필요한 데이터인지 아닌지를 먼저 정리해야 불필요한 지불을 피할 수 있습니다.

지불 시 예상되는 리스크

공격자에게 지불하면 복구가 안 되더라도 환불받을 방법이 없고, 지불 이력이 남으면 같은 대상이 재공격 표적이 될 위험도 있습니다. 기업이라면 개인정보 유출 여부에 따라 법적 신고 의무가 별도로 발생할 수 있으므로, 몸값 지불 여부와 무관하게 유출 조사와 신고 절차를 병행해야 합니다.

랜섬웨어 감염 후 흔한 실수와 주의사항

대응 과정에서 다음과 같은 실수가 반복적으로 발생합니다.

• 감염 사실을 모른 채 백업용 외장하드·NAS를 그대로 연결해 두어 백업본까지 함께 암호화되는 경우
• 검증되지 않은 ‘무료 복호화 툴’을 인터넷에서 무분별하게 내려받아 실행해 2차 악성코드에 감염되는 경우
• 증거(랜섬노트, 암호화된 파일 샘플)를 남기지 않고 곧바로 포맷부터 진행해 신고·분석이 어려워지는 경우
• 감염 경로를 파악하지 않은 채 복구만 하고 넘어가 동일한 취약점으로 재감염되는 경우

기업이라면 추가로 챙겨야 할 절차

개인이 아닌 조직에서 감염이 발생했다면 개인정보 유출 여부 확인과 내부 보고 절차가 추가로 필요합니다. 고객·직원 개인정보가 저장된 서버가 감염됐다면 유출 여부를 조사하고, 파기·보관 기준에 맞춰 후속 조치를 취해야 합니다. 관련 절차는 개인정보 파기 기준과 방법, 5단계로 정리를 참고하면 실무 흐름을 파악하는 데 도움이 됩니다. 또한 감염 경로가 이메일 첨부파일이었다면, 실제 기관을 사칭한 피싱 메일인지 반드시 확인해야 합니다. 예를 들어 국세청을 사칭해 세금 관련 첨부파일 클릭을 유도하는 이메일이 실제로 유포된 사례가 있었는데, 이런 메일의 진위는 국세청 공식 홈페이지에서 공지사항이나 고객센터를 통해 직접 확인하는 것이 안전합니다.

랜섬웨어 예방을 위한 사전 대비 체크리스트

감염 이후 대응보다 중요한 것은 사전 대비입니다.

• 중요 데이터는 3-2-1 원칙(원본 포함 3벌 복사, 2종류 이상 매체, 1벌은 오프라인·비연결 보관)으로 백업합니다.
• 운영체제와 백신 프로그램을 항상 최신 버전으로 유지합니다.
• 출처가 불분명한 이메일 첨부파일이나 링크는 열지 않습니다.
• 원격 데스크톱(RDP) 등 외부 노출 포트는 불필요하면 차단하고, 사용 시 강력한 인증을 적용합니다.
• 조직이라면 정기적으로 백업 복구 테스트와 모의 침해 훈련을 진행합니다.

복구 방법	복구 가능성	비용	주요 리스크
백업 복구	백업 상태에 따라 높음	낮음(사전 투자 필요)	백업 자체가 오래됐거나 감염됐을 위험
무료 복호화 툴	변종에 따라 다름	무료	모든 변종에 대응하지 않음, 출처 확인 필수
몸값 지급	보장되지 않음	공격자가 요구한 금액	복구 실패·재공격 위험, 환불 불가
데이터 포기	해당 없음	없음	중요 자료 영구 손실

자주 묻는 질문

Q. 랜섬웨어에 감염되면 컴퓨터 전원을 바로 꺼야 하나요?

파일 암호화가 눈앞에서 빠르게 계속 진행되는 상황이 아니라면 바로 전원을 끄기보다 네트워크 연결부터 차단하는 것이 우선입니다. 강제 종료는 이후 분석에 필요한 흔적을 지울 수 있습니다.

Q. 몸값을 지불하면 파일을 확실히 복구해주나요?

아니요. 몸값을 지불해도 복호화 키를 받지 못하거나 일부 파일만 복구되는 경우가 있어 지불이 복구를 보장하지 않습니다. 다른 복구 방법을 모두 확인한 뒤 마지막 수단으로 검토해야 합니다.

Q. 회사 PC가 감염됐는데 어디에 신고해야 하나요?

한국인터넷진흥원(KISA) 118 상담센터에 신고할 수 있고, 피해 규모가 크거나 금전 피해가 발생했다면 관할 경찰 사이버수사대에도 함께 신고하는 것이 좋습니다.

Q. NAS나 공유폴더도 랜섬웨어에 감염될 수 있나요?

네, 감염된 PC와 네트워크로 연결돼 있으면 NAS나 공유폴더에 저장된 파일도 동일하게 암호화될 수 있습니다. 그래서 감염 확인 즉시 네트워크 분리가 최우선입니다.

Q. 백업이 전혀 없는데 복구할 방법이 있을까요?

먼저 감염된 랜섬웨어 종류를 확인해 무료 복호화 툴이 배포돼 있는지부터 찾아봐야 합니다. 모든 변종에 대응하는 것은 아니지만, 몸값을 지불하기 전에 반드시 확인해야 할 단계입니다.

참고자료

• 한국인터넷진흥원(KISA) 118 사이버 침해사고(해킹·랜섬웨어) 신고·상담 안내
• No More Ransom 프로젝트 — 무료 랜섬웨어 복호화 도구 제공(Europol·각국 수사기관 공동 운영)