랜섬웨어

개요

랜섬웨어는 PC 안의 파일을 암호로 잠근 뒤 돈을 요구하는 악성코드입니다. 랜섬(ransom, 몸값)과 소프트웨어를 합친 말입니다.

다른 악성코드는 몰래 숨어 정보를 빼갑니다. 랜섬웨어는 반대로 자기 존재를 드러냅니다. 알려야 돈을 받을 수 있기 때문입니다. 그래서 화면에 안내문을 띄우고, 폴더마다 협박 문구가 담긴 텍스트 파일을 남깁니다.

알아차리는 순간은 대개 이렇습니다.

• 사진이나 문서를 열려는데 "파일 형식을 알 수 없습니다"
• 파일 이름 뒤에 처음 보는 확장자가 붙어 있음
• 바탕화면이 바뀌고 금액과 지불 방법이 적힌 안내가 뜸

수법과 원리

어떻게 들어오나

왜 백업이 있어도 당하나

이것이 가장 중요한 부분입니다. 랜섬웨어는 쓰기 권한이 있는 연결 저장소까지 암호화할 수 있습니다.

• 항상 꽂아 둔 외장하드 → 함께 암호화됨
• 네트워크 드라이브·NAS → 접근 권한이 있으면 함께 암호화됨
• 실시간 동기화되는 클라우드 폴더 → 암호화된 파일이 그대로 업로드됨

그래서 "연결돼 있는 백업"은 백업이 아닙니다.

확장자가 바뀌는 이유

암호화한 파일에 표식을 남겨, 어떤 조직의 소행인지 피해자가 알아보고 연락하게 만들기 위해서입니다. 이 확장자는 나중에 복호화 도구를 찾을 때 단서가 되므로 적어 두거나 사진으로 남겨 두세요.

사례 유형과 예시

아래는 수법 이해를 위한 교육용 재구성입니다. 특정 피해자의 실제 사건이나 발언을 인용한 것이 아니며, 모든 사기가 같은 순서로 진행되지는 않습니다.

위험 신호

• 🚩파일 이름 뒤에 처음 보는 확장자가 붙어 있다
• 🚩폴더마다 안내문 형태의 텍스트 파일이 생겼다
• 🚩바탕화면 배경이 바뀌고 금액과 지불 방법이 표시된다
• 🚩문서와 사진이 갑자기 열리지 않는다
• 🚩평소보다 PC가 눈에 띄게 느려지고 하드디스크가 계속 돌아간다
• 🚩공유 폴더나 NAS의 파일도 같은 증상을 보인다
• 🚩백신이 갑자기 꺼져 있거나 실행되지 않는다

예방법

1. 백업을 분리해서 보관한다 — 다른 무엇보다 중요합니다

랜섬웨어 피해의 파일 복구에 대비하는 핵심 수단입니다. 일부 유형은 공개 복호화 도구가 있지만 모든 유형에 있는 것은 아닙니다.

핵심은 하나입니다. 평소에 연결돼 있지 않은 사본이 한 벌 있어야 합니다. 외장하드는 백업할 때만 꽂고 끝나면 뽑아 두세요. 꽂아 둔 외장하드는 함께 암호화됩니다.

무엇을 얼마나 자주 어디에 백업할지, 복원이 실제로 되는지 확인하는 방법까지는 백업하는 법에 정리해 두었습니다. 랜섬웨어 대비에서 가장 크게 갈리는 부분이라 그 문서 하나를 제대로 읽어 두는 편이 낫습니다.

2. 윈도우의 랜섬웨어 방지 기능을 켠다

Windows에는 제어된 폴더 액세스가 들어 있습니다. 신뢰할 수 없는 앱이 보호된 폴더의 파일을 수정하거나 삭제하는 것을 차단하는 기능이라, 백업 다음으로 효과가 큽니다.

1. 1

   Windows 보안 앱을 연다

   시작 메뉴에서 "Windows 보안"을 검색합니다.

2. 2

   바이러스 및 위협 방지 → 랜섬웨어 보호

3. 3

   설정 수단과 모드를 구분한다

   Windows 보안 앱에서는 켜기·끄기만 지원하며 감사 모드는 선택할 수 없습니다. Microsoft는 도입 영향을 먼저 감사 모드로 평가하도록 권장하지만, 이 모드는 PowerShell·그룹 정책 등 별도 수단이 필요합니다. 감사 모드는 차단 없이 기록만 하므로 보호가 켜진 상태로 오해하지 마세요. 조직 PC는 담당자에게 배포·평가를 맡기세요.

4. 4

   제어된 폴더 액세스를 켠다

   Microsoft 가 밝히는 기본 보호 대상은 문서·즐겨찾기·음악·사진·비디오 폴더 및 공용 문서·음악·사진·비디오 폴더, 그리고 하드 드라이브 부팅 섹터입니다. 보호된 폴더 목록에서 실제 경로를 확인하고 빠진 작업 폴더를 추가하세요. 바탕 화면·다운로드도 이름만으로 포함 여부를 판단하지 마세요. 폴더가 OneDrive 등으로 리디렉션돼 있으면 리디렉션된 위치를 보호합니다.

5. 5

   앱이 막히면 그때만 예외를 넣는다

   Microsoft 는 대부분의 앱이 보급률과 평판으로 자동 신뢰되므로 앱이 실제로 차단됐고 신뢰할 수 있다고 확인된 경우에만 목록에 추가하라고 안내합니다. 예외 처리 화면 순서는 윈도우 보안 설정에 정리해 두었습니다.

3. 업데이트를 미루지 않는다

Windows 업데이트와 자주 쓰는 프로그램의 업데이트를 적용하세요. 알려진 취약점을 그대로 두는 것이 침입 경로를 열어 두는 일입니다.

4. 실행 파일을 조심한다

메일 첨부파일 중 문서인 척하는 실행 파일이 가장 흔한 경로입니다. 파일 이름이 견적서.pdf.exe 처럼 확장자가 두 번 붙어 있으면 실행 파일입니다. 탐색기에서 확장자를 보이도록 설정해 두세요.

5. 원격 접속을 열어 두지 않는다

쓰지 않는 원격 데스크톱은 꺼 두세요. 인터넷에 노출된 원격 접속은 비밀번호 대입 공격의 표적입니다. 원격제어를 요구하는 전화를 받았다면 원격제어 사기를 먼저 읽어 보세요.

6. 불법 다운로드를 하지 않는다

정품 인증 우회 도구는 백신을 끄도록 안내하는 경우가 많습니다. 그 순간 방어가 사라집니다.

발생 시 대처 방법

순서대로

개인 계정 보호와 회사 시스템 복구를 구분하세요. 개인 계정 도용도 의심된다면 안전한 다른 기기에서 비밀번호 변경과 세션 정리를 병행하세요. 감염 PC에는 새 로그인 정보를 입력하지 마세요.

CISA의 조직 대응 안내는 환경을 완전히 정리·재구축한 뒤 영향받은 시스템·계정의 비밀번호를 재설정하고 취약점을 조치하도록 적습니다. 이후 깨끗한 시스템을 다시 연결하고 백업 데이터를 복원합니다. 이를 모든 비밀번호를 초기화·재구축보다 먼저 바꾸라는 뜻으로 적용하지 마세요. 아래는 개인 이용자가 할 일과 담당자에게 맡길 일을 구분한 안내이며, CISA의 모든 단계를 그대로 옮긴 목록은 아닙니다.

1. 1

   네트워크를 끊는다

   랜선을 뽑고 와이파이를 끕니다. 같은 공유기의 다른 PC와 NAS로 번지는 것을 막는 것이 가장 급합니다. 분리가 불가능하면 아래 전원 종료 조건을 확인하세요.

2. 2

   연결된 저장장치를 분리한다

   외장하드, USB 메모리를 뽑습니다. 클라우드 동기화 프로그램도 종료합니다.

3. 3

   회사·공용 PC라면 담당자에게 먼저 알린다

   내 판단으로 지우거나 초기화하지 마세요. 회사 기기는 조치 범위와 증거 보존 방식을 조직이 정합니다. 감염 PC가 아닌 다른 안전한 전화로 IT·보안 담당자에게 알리고, 사내 대응 절차가 있으면 그 절차를 따르세요. 공동 가이드도 격리 다음 단계로 내부·외부 관계자 통보를 둡니다.

   
   

   개인 PC라면 이 단계는 건너뛰고 4번으로 갑니다. 가족 공용 PC처럼 다른 사람의 파일이 함께 있다면 초기화 전에 알리세요.

4. 4

   화면과 파일 상태를 사진으로 남긴다

   안내문 전체, 바뀐 확장자, 남겨진 텍스트 파일을 촬영해 두세요. 복호화 도구를 찾거나 신고할 때 필요합니다. 감염 PC 안에 저장하지 말고 다른 기기의 카메라로 찍어 두세요.

5. 5

   118에 신고하고 상담한다

   국번없이 118로 전화한 뒤 1번 해킹/바이러스를 고르면 상담원과 연결됩니다. 알려진 랜섬웨어인지, 복구 가능성이 있는지 여기서 확인하세요. 운영 시간은 공식 안내 페이지에 표기가 없어 확인하지 못했습니다.

6. 6

   안전한 기기에서 개인 계정 보호를 병행한다

   개인 계정 도용이 의심되면 감염되지 않은 다른 기기에서 비밀번호를 바꾸고 계정이 해킹됐을 때의 세션·복구 연락처를 확인하세요. 회사 계정과 시스템 비밀번호는 담당자가 침해 범위와 정리·재구축 상태를 확인해 조치합니다. 먼저 변경했더라도 공격자의 접근 경로가 남았을 수 있으니 후속 점검을 생략하지 마세요.

7. 7

   암호화된 파일을 따로 보관한다

   파일을 지우거나 덮어쓰지 말고 상담자와 보존 방법을 정하세요. 감염 PC에 새 USB나 정상 백업 매체를 연결해 직접 복사하지 마세요. 분리된 환경에서 안전하게 사본을 확보하는 방법을 안내받으세요. 보관해도 나중의 복호화가 보장되지는 않습니다.

8. 8

   클라우드는 이전 버전 복원을 시도한다

   감염 PC의 통신을 다시 켜지 마세요. 다른 안전한 기기에서 서비스의 공식 복구 안내와 보관 기간을 확인하세요. 감염 기기와 동기화가 재개되지 않도록 하고 복원 시점·영향을 확인한 뒤 진행하세요.

9. 9

   초기화 후 백업에서 복구한다

   전문가와 증거 보존·침해 원인 제거·재설치 방법을 먼저 정하세요. 초기화는 파일과 증거를 지울 수 있습니다. 7번의 보존 절차를 마치고, 깨끗한 환경과 감염 이전의 안전한 백업을 확인한 뒤 복구하세요. 회사 시스템은 담당자가 환경 정리·재구축 뒤 비밀번호 재설정과 취약점 조치를 마친 후 재연결·데이터 복원을 진행합니다. CISA는 복원용 백업을 오프라인으로 보관하고 암호화하도록 안내합니다. 백업에 암호가 걸려 있다는 것만으로 감염되지 않았다고 판단하지 마세요. 계속 연결돼 있던 백업은 함께 암호화됐을 수 있으니 복원 전에 그 사본이 감염 이전 것인지 확인하세요. 의심 파일을 열거나 감염 기기를 다시 연결하면 재감염될 수 있습니다.

공식 안내는 어디에 있나

KISA 는 2023년 8월 3일 「랜섬웨어 대응 가이드라인」 개정본을 배포하면서, 최신 유형과 피해사례·사전 예방 수칙·감염 시 대응 절차를 담았다고 밝혔습니다. 같은 보도자료는 예방·복구·신고를 한 곳에서 볼 수 있는 STOP랜섬웨어 안내 페이지(stopransom.boho.or.kr)를 함께 안내합니다. 가이드라인 본문은 보호나라의 보고서·가이드 게시판에서 내려받을 수 있습니다.

하지 말아야 할 것

• 성급한 초기화 — 파일이 함께 사라집니다. 7번(암호화된 파일 별도 보관)을 먼저 하세요
• 안내문에 적힌 곳으로 먼저 연락 — 협상 대상으로 분류됩니다
• 출처가 불분명한 복구 프로그램 설치 — 2차 감염이나 사기 결제로 이어집니다
• 감염된 PC에서 백업 매체 연결 — 남아 있던 백업까지 잃습니다

지불 여부를 판단할 때

돈을 내도 복호화 도구를 받지 못하거나 일부만 풀리는 경우가 있습니다. 지불은 범죄 조직의 다음 공격 자금이 되기도 합니다. 결정하기 전에 반드시 118로 상담하고, 사업장이라면 경찰에도 신고하세요.

신고 기관

아래 기관은 무료입니다. 피해가 진행 중이라면 순서대로 연락하세요.

• 118 상담센터 (한국인터넷진흥원)

  📞 118

  이용 목적 해킹·악성코드에 감염된 것 같을 때, 불법 스팸을 받았을 때, 개인정보가 침해된 정황이 있을 때 상담하는 곳입니다.

  준비할 정보

  • 무슨 일이 언제 일어났는지 (설치·클릭·수신 시각)
  • 화면 사진 — 문자 원문, 앱 목록, 오류 화면
  • 쓰는 기기 종류와 운영체제

  국번없이 118. 공식 안내 기준으로 1번 해킹/바이러스, 2번 보이스피싱/스미싱, 3번 개인정보, 4번 불법 스팸, 5번 ICT 분쟁조정입니다. 2번을 고르면 경찰청(전기통신금융사기 통합신고대응센터)으로 연결됩니다.

  공식 누리집 열기 ↗

  2026-09-09 확인 · 상담 범위와 메뉴 번호를 공식 안내와 대조했습니다. 운영 시간은 공식 안내에 적혀 있지 않아 이 사이트에도 싣지 않습니다.
  제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

• 경찰청 (112)

  📞 112

  이용 목적 사기 피해가 실제로 발생했을 때 가장 먼저. 긴급 상황은 112, 보이스피싱 등 전기통신금융사기의 피해 신고·상담은 경찰청 전기통신금융사기 통합대응단 1394. 온라인은 경찰청 ECRM(사이버범죄 신고시스템).

  준비할 정보

  • 이체·결제 내역과 금액, 시각
  • 상대 계좌번호 또는 전화번호
  • 주고받은 문자·메신저 대화 화면
  • 신분증

  공식 누리집 열기 ↗

  2026-09-10 확인 · ECRM 의 접수 안내와 준비 서류, 1394 대표번호와 접수 범위를 공식 페이지에서 확인했습니다.
  제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

다른 신고·상담 창구도 보기 →

자주 묻는 질문

Q.돈을 내면 파일을 돌려받을 수 있나요?▾

돌려받는다는 보장이 없습니다. 복호화 도구를 주지 않거나, 일부만 풀리거나, 돈을 낸 사실이 알려져 다시 표적이 되는 경우도 있습니다. 지불은 범죄 조직의 다음 공격 자금이 되기도 합니다. 지불 전에 반드시 118로 상담하세요.

Q.백신을 깔아 두면 막히나요?▾

상당 부분 막히지만 완전하지는 않습니다. 새로 만들어진 변종은 탐지가 늦을 수 있습니다. 백신은 예방의 일부이고, 실제로 피해를 되돌리는 것은 백업입니다.

Q.외장하드에 백업해 두면 안전한가요?▾

백업할 때만 연결하고 평소에는 분리해 두어야 합니다. 계속 연결해 두면 랜섬웨어가 PC와 함께 외장하드의 파일도 암호화합니다. 평소 분리해 둔 사본도 복원 전에 상태를 확인하세요.

Q.감염된 PC를 그냥 초기화해도 되나요?▾

초기화하면 파일과 증거가 함께 사라집니다. 먼저 118에 복구 가능성을 상담하고 보존 방법을 정하세요. 이때 감염된 PC에 새 USB나 정상 백업 매체를 직접 꽂아 복사하지 마세요. 그 매체까지 암호화될 수 있습니다. 분리된 환경에서 사본을 확보하는 방법을 상담에서 안내받은 뒤에 초기화하세요. 나중에 복호화 도구가 나오는 경우가 있습니다.

Q.비밀번호는 복구를 끝낸 다음에 바꾸면 되나요?▾

개인 계정의 도용이 의심되면 안전한 다른 기기에서 보호 조치를 병행하세요. 회사 시스템은 담당자와 조율해야 합니다. CISA는 환경을 완전히 정리·재구축한 뒤 영향받은 시스템과 계정의 비밀번호를 재설정하고 취약점을 조치하도록 안내합니다. 감염 PC에 새 비밀번호를 입력하지 마세요.

Q.회사 PC가 감염됐습니다. 제가 먼저 조치해도 되나요?▾

네트워크를 끊는 것까지는 바로 하세요. 그다음은 감염 PC가 아닌 다른 전화로 IT·보안 담당자에게 알리고 조직의 절차를 따르세요. 회사 기기는 증거 보존 방식과 조치 범위를 조직이 정합니다. 임의로 지우거나 초기화하면 원인 파악과 복구가 어려워질 수 있습니다.

Q.클라우드에 올려 둔 파일은 안전한가요?▾

PC의 폴더가 클라우드와 실시간 동기화되고 있다면 암호화된 파일이 그대로 올라갈 수 있습니다. 다만 이전 버전 복원 기능을 제공하는 서비스가 많습니다. 감염을 확인하는 즉시 동기화 프로그램을 종료하고, 복원은 감염 PC가 아니라 다른 안전한 기기에서 그 서비스의 공식 안내와 보관 기간을 확인한 뒤에 하세요. 감염 PC의 통신을 다시 켜서 동기화가 재개되지 않도록 하세요.