[2026 안티랜섬웨어 솔루션 리포트] “복호화 시대는 끝?” 랜섬웨어 3.0세대, 대응도 달라져야 한다

랜섬웨어, AI와 RaaS를 기반으로 한 조직형 사이버 범죄로 진화
데이터 탈취, 백업 파괴, 공급망 공격 일반화로 ‘전주기 대응’과 ‘사이버 레질리언스’ 부상
설문조사 결과, 안티랜섬웨어 솔루션 관련 ‘예산 없다’는 응답 26.5% 기록
안티랜섬웨어 전문기업 집중 분석: 체크멀, 한국보안인증, 엔피코어

[보안뉴스 강초희 기자] 과거 랜섬웨어는 파일을 암호화한 뒤 이를 복호화하는 조건으로 몸값을 요구하는 것이 기본 공식이었다. 하지만 이제는 양상이 완전히 달라졌다. 공격자는 기업 내부망에 잠복하며 백업 체계를 조용히 무너뜨리고, 데이터를 탈취한 뒤 이를 공개하겠다고 협박한다. 생성형 AI와 서비스형 랜섬웨어(RaaS)의 확산은 공격의 진입장벽을 크게 낮추며 누구나 랜섬웨어 공격에 가담할 수 있는 환경을 만들었다.

탐지와 차단 중심이던 안티랜섬웨어 시장도 이러한 변화에 대응하기 시작했다. 행위 기반 분석과 자기보호(Self-Defence), 백업 무결성, 그리고 사이버 레질리언스(Cyber Resillience)를 중심으로 판도가 바뀌고 있는 것이다.

최근 공격은 암호화 자체보다 기업의 ‘복구 능력’을 무너뜨리는 데 초점을 맞춘다. 시스템을 암호화하기 전 관리자 권한을 탈취하고 내부망을 탐색해 백업 서버와 보안 솔루션을 제거한다. 이어 마지막 단계인 암호화를 수행한다.

과학기술정보통신부와 한국인터넷진흥원(KISA)의 2025년 상반기 사이버 위협 동향에 따르면, 랜섬웨어 피해 기업의 44.4%는 백업 시스템까지 함께 감염된 것으로 나타났다. 백업 체계를 구축해 두었더라도 정작 위기 상황에서 복구하지 못하는 기업이 늘고 있다는 방증이다.

여기에 데이터를 먼저 탈취한 뒤 공개를 협박하는 이중 갈취가 일반화됐다. 심지어 고객과 협력사까지 압박하는 삼중 갈취도 등장했다. 시스템을 복구하더라도 유출된 정보는 되돌릴 수 없기에, 개인정보 유출에 따른 법적 책임과 기업 신뢰도 하락이라는 2차 피해까지 뒤따른다.

이 같은 변화는 안티랜섬웨어 시장에도 새로운 과제를 던졌다. 이미 알려진 악성코드를 탐지하고 차단하는 기존의 방식만으로는 정상적인 드라이버를 악용해 보안 솔루션을 우회하는 BYOVD(Bring Your Own Vulnerable Driver) 공격이나 보안 솔루션을 무력화하는 공격에 효과적으로 대응하기 어렵기 때문이다.

이제 랜섬웨어는 단일 악성코드가 아닌 ‘침투-권한 상승-측면 이동-데이터 탈취-암호화-협박’으로 이어지는 전주기 공격으로 바라봐야 한다. 이에 따라 안티랜섬웨어 기술도 공격자의 비정상적인 행위를 실시간으로 분석하고, 보안 제품 스스로를 보호하며, 데이터 반출을 차단하고, 감염 이후 신속하게 업무를 복구하는 방향으로 진화하고 있다.

플로피디스크 한 장에서 시작된 랜섬웨어
1989년 등장한 세계 최초의 랜섬웨어 ‘AIDS 트로이목마’(Aids info Drive, PC Cyborg Trojan)는 지금의 기준에서 보면 매우 단순한 수준이었다. 플로피디스크를 통해 유포된 이 악성코드는 컴퓨터를 약 90회 부팅하면 파일명을 숨기고 시스템 접근을 제한한다. 이어 사용자에게 복구를 원한다면 우편으로 189달러를 송금하라고 요구했다. 랜섬웨어의 개념이 처음 등장한 사건이었다.

▲AIDS 트로이목마 감염 시 모니터 화면 [출처: By Joseph L. Popp, AIDS Information Trojan author]

그로부터 30여년이 지난 오늘날, 랜섬웨어는 전혀 다른 모습의 고도화된 위협으로 진화했다. 공격자는 특정 기업을 사전에 정교하게 정찰해 내부망을 장악하고, 데이터를 탈취한 뒤 백업 체계를 무력화한다. 이후 암호화와 데이터 공개 협박을 병행하며 몸값 협상을 이어간다.

공격 주체 역시 더 이상 혼자가 아니다. 악성코드 개발자와 초기 침투 조직, 협상 조직, 자금세탁 조직 등이 역할을 철저히 분담하는 범죄 생태계가 구축됐다. 여기에 생성형 AI와 RaaS는 공격 준비와 수행을 자동화하며 공격의 효율성과 파괴력을 극대화하고 있다.

기업의 공급망 역시 랜섬웨어 공격에서 자유롭지 못하다. 누리랩은 “앞으로는 공급망을 악용한 랜섬웨어 공격이 더욱 증가할 것”이라며 “보안 수준이 높은 대기업을 직접 노리기보다 협력사와 유지보수 업체, 외부 솔루션, 계정 관리 체계 등 상대적으로 취약한 지점을 먼저 침해한 뒤 이를 발판으로 목표 기업에 접근하는 사례가 늘어날 것”이라고 경고했다.

스스로 판단하고 공격하는 ‘랜섬웨어 3.0 자율형 시대’
생성형 AI의 등장은 랜섬웨어의 공격 방식 자체를 근본적으로 바꾸고 있다. 공격자가 악성코드를 직접 개발하고 공격 절차를 일일이 설계해야 했던 과거와 달리, 이제는 AI를 활용해 공격 대상을 분석하고 맞춤형 공격을 전개한다.

이러한 변화는 보안 업계가 바라보는 차세대 위협과도 맞닿아 있다. 안랩은 “생성형 AI는 새로운 형태의 위협을 창조하기보다 기존 공격 기법의 준비와 실행 과정을 자동화해 공격의 속도와 규모를 폭발적으로 증가시키는 촉매제”라고 평가했다.

이노티움 역시 이에 공감하며 “생성형 AI를 활용한 피싱 메일 제작, 공격 자동화, 내부 시스템 분석 등이 가능해지면서 공격의 준비 시간이 획기적으로 짧아지고 있다”고 설명했다.

▲국내외 주요 기업의 안티랜섬웨어 솔루션 [출처: 각 사 제공, 정리: 보안뉴스]

보안 전문가들은 이러한 기술적 진화를 랜섬웨어의 세대적 특징으로 구분한다.

⦁1.0 세대: 파일 암호화와 일방적인 몸값 요구에 집중한 초기 형태
⦁2.0 세대: 데이터 탈취, 이중 갈취, RaaS 생태계를 기반으로 분업화된 범죄 산업 단계
⦁3.0 세대: 생성형 AI와 대규모언어모델(LLM)을 활용해 피해 환경을 스스로 분석하고 공격 방식을 능동적으로 변경하는 ‘자율형 랜섬웨어’ 단계

다만 AI 기반 랜섬웨어가 아직 공격의 주류로 자리 잡은 것은 아니다. 현재 범죄 조직의 주력은 여전히 2.0 기반 랜섬웨어이며, 3.0은 기술적으로 가능성이 검증되는 과도기 단계에 가깝다. 그러나 경량 LLM(sLLM)의 보급과 기술 고도화의 속도를 고려할 때, 피해 환경에 최적화된 자율형 랜섬웨어가 등장할 날이 머지 않은 것으로 보인다.

차단에서 ‘회복’으로, 완벽한 방어는 없다
공격 기법의 고도화에 발맞춰 안티랜섬웨어 시장의 대응 전략도 빠르게 재편되고 있다. 알려진 랜섬웨어를 탐지하고 암호화를 차단하는 기존의 방식에서 랜섬웨어가 실행되기 전 비정상적인 행위를 탐지하고 공격을 선제적으로 차단하는 데 주력하고 있는 것이다.

▲국내외 주요 기업의 안티랜섬웨어 솔루션 구축 사례 [출처: 각 기업 제공, 보안뉴스 정리]

엔피코어는 “랜섬웨어의 신·변종 여부와 관계없이 파일 암호화 행위와 파일 대량 변경 행위, 미끼파일 접근, 파일 임계치 변화, 파일 엔트로피 값 변화 등 실제 피해 행위를 조기에 탐지하고 차단하는 데 중점을 둬야 한다”고 제언했다.

특히 보안 솔루션을 먼저 무력화한 뒤 공격을 진행하는 사례가 늘면서 솔루션 스스로를 보호하는 자기보호(Self-Defense) 기술과 커널 수준의 보호, 행위 기반 탐지, 백업 무결성 검증, 공격 이후의 자동 복구 기능 등이 차세대 안티랜섬웨어의 핵심 경쟁력으로 부각되고 있다.

이 과정에서 시장의 패러다임을 관통하는 핵심 키워드가 바로 ‘전주기 대응’과 ‘사이버 레질리언스’(Cyber Resillience)다.

우선 전주기 대응은 랜섬웨어의 초기 침투부터 권한 상승, 내부 확산, 데이터 탈취, 암호화, 복구에 이르는 공격의 전 과정을 하나의 유기적인 체계로 관리하고 대응하는 전략을 뜻한다. 사이버 레질리언스는 완벽한 방어가 불가능하다는 ‘침해 전제’ 하에 피해를 최소화하고 신속한 복구를 통해 비즈니스 연속성을 확보하는 데 방점을 찍는다.

시큐와우는 “기업들도 단일 솔루션 중심의 차단에만 의존하기보다 인적 보안 체계와 공급망 보안, AI 기반 자동 탐지·대응을 아우르는 통합 사이버 레질리언스를 확보해야 한다”고 강조했다.

트루컷시큐리티는 “랜섬웨어 공격의 핵심 목표는 이미 암호화에서 자료 탈취로 옮겨간 지 오래”라며 “기업들도 암호화 방어나 백업에 머물 것이 아니라 자료 탈취를 막을 수 있는 대응 전략으로 바뀌어야 한다”고 설명했다.

한국보안인증은 “공격자가 백업 데이터만큼은 접근할 수 없도록 철저히 방어해 즉각적으로 시스템을 복구하는 사이버 레질리언스에 집중하는 방향으로 패러다임이 전환돼야 한다”고 말했다.

‘언제든 돌아갈 수 있는’ 힘 길러야
랜섬웨어 대응은 이제 단일 보안 제품 하나로 종결 지을 수 없는 고차방정식이 됐다. 공격의 전 과정을 고려한 입체적 방어 전략과 함께 오프라인 백업 체계, 데이터 보호 정책, 임직원 보안 인식 교육 등이 종합적으로 맞물려야 한다.

특히 안전한 오프라인 백업과 정기적인 복구 훈련, 백업 무결성 상시 점검 등은 랜섬웨어 피해를 최소화하기 위한 필수 과제다. 백업 솔루션을 도입했다는 사실 자체에 안주하지 않고, 실제로 ‘언제든 복구 가능한 상태’인지를 끊임없이 검증하는 프로세스가 작동해야 한다.

실제로 지난 7월 13일 개최된 ‘KISA 랜섬웨어 전주기 대응 추진단 중간워크숍’에서도 이 같은 패러다임의 변화가 집중적으로 논의됐다.

워크숍에 참석한 전문가들은 “랜섬웨어를 더 이상 암호화 공격으로만 봐서는 안 된다”고 입을 모았다. 특히 암호화 과정 없이 데이터만 탈취해 협박하는 공격, 공급망을 악용한 우회 침투, AI 기반 공격 자동화 등에 맞서기 위해서는 예방-탐지-대응-복구를 유기적으로 연결하는 국가 및 민간 차원의 전주기 대응 체계가 필수적이라고 강조했다.

기업 절반 “기본 백업 수준”... 예산 부족·복구 체계 미흡
랜섬웨어 위협이 고도화되고 있지만 국내 기업들의 대응 수준은 아직 초기 단계에 머물러 있는 것으로 나타났다.

<보안뉴스>가 7월 10일부터 14일까지 구독자 대상으로 대상으로 설문조사를 진행했으며, 1020명이 응답했다. 응답자의 절반 이상은 여전히 기본적인 백업 중심의 대응 체계를 운영하고 있었으며, 예산 부족과 복구 체계 미흡도 주요 과제로 꼽혔다.

최근 3년간 랜섬웨어 공격 경험을 묻는 질문에서는 54.9%가 ‘피해나 공격 시도가 없었다’고 답했다. 반면 29.4%는 ‘공격 시도가 있었으나 차단했다’고 응답했고, 15.7%는 실제 감염 피해를 경험한 것으로 조사됐다. 응답자 10명 중 4명 이상이 랜섬웨어 공격을 직·간접적으로 경험한 셈이다.

기업들이 가장 우려하는 피해는 ‘데이터 유출’(39.2%)이었다. 이어 ‘업무 중단’(36.3%)이 근소한 차이를 보이며 2위를 차지했다. ‘기업 신뢰도 훼손’(15.7%), ‘법적·규제 대응 부담’(7.8%)이 각각 3·4위를 기록했다.

랜섬웨어 대응 수준을 묻는 질문에서는 52.9%가 ‘기본 백신/백업 중심으로 대응하고 있다’고 답해 절반 이상이 아직 기본적인 방어 체계에 머물러 있었다. 반면 ‘안티랜섬웨어/EDR 등 전용 솔루션을 운영하고 있다’와 ‘탐지/차단/백업/복구 체계를 함께 운영하고 있다’고 답한 비율은 각각 21.6%로 나타났다. 정기적인 모의훈련과 복구 검증까지 수행한다는 기업은 3.9%에 불과했다.

백업 운영 방식(복수응답)에서는 73.5%가 ‘주기적으로 파일이나 서버 데이터를 백업’한다고 답했다. 이어 ‘랜섬웨어 감염 이전 시점으로 복원’ 가능한 스냅샷·롤백 기능(23.5%), ‘백업 데이터를 수정·삭제할 수 없도록 보호’하는 불변성 백업(21.6%), ‘네트워크와 분리된 저장장치에 별도 보관’(16.7%), ‘클라우드 환경에 데이터를 백업’(12.7%)의 순으로 조사됐다.

예산 확보도 중대한 과제였다. 안티랜섬웨어 솔루션 예산 규모를 묻는 질문에서는 ‘예산이 없다’는 응답이 26.5%로 가장 많았다. 이어 ‘1000만원 미만’(20.6%), ‘1000만~3000만원 미만’(20.6%), ‘3000만~5000만원 미만’(14.7%), ‘1억원 이상’(9.8%), ‘5000만~1억원 미만’(7.8%) 순이었다. 응답 기업의 절반 가까이가 3000만원 미만의 예산을 운영하거나 별도 예산을 확보하지 못한 것으로 나타났다.

랜섬웨어 대응을 위해 가장 보완이 필요한 부분(복수응답)으로는 ‘보안 투자 예산 확대’(47.1%)가 가장 높은 응답을 기록했다. 이어 ‘백업/복구 체계 구축’(42.2%), ‘임직원 보안 인식 및 교육’(40.2%), ‘전문 보안 인력 확보’(33.3%), ‘신/변종 랜섬웨어 대응 기술 확보’(24.5%), ‘정부 지원 정책 확대’(15.7%), ‘기업 간 위협정보 공유 및 협력’(8.8%) 순이었다.

암호화 랜섬웨어 시대는 끝났다
37년 전 플로피디스크에 담겨 파일을 암호화하던 랜섬웨어의 시대는 끝났다. 오늘날의 랜섬웨어는 AI와 RaaS를 등에 업고 거대화된 범죄 산업이며, 공격의 과녁은 데이터 탈취와 공급망 침해, 백업 파괴로 넓어졌다.

이에 맞서는 안티랜섬웨어 시장 역시 탐지와 차단을 넘어 행위 기반 분석, 자기보호, 데이터 보호, 데이터 무결성 검증, 사이버 레질리언스로 무장하며 새로운 전환기를 맞이하고 있다. 이제 안티랜섬웨어의 승패는 ‘얼마나 잘 막느냐’의 싸움이 아니다. ‘공격당한 직후 얼마나 신속하게 복구해 비즈니스를 정상화할 수 있느냐’에 달려 있다.

[Mini Interview] 김기문 KISA 랜섬웨어대응팀 팀장
“공격을 막는 시대에서, 스스로 회복하는 시대로”

한국인터넷진흥원(KISA)은 올해 3월 분석, 수사, AI, 포렌식 등 분야별 전문가들과 함께 ‘랜섬웨어 전주기 대응 추진단’을 발족했다. 추진단은 랜섬웨어 예방부터 탐지와 대응, 복구, 수사 지원까지 아우르는 국가 차원의 유기적 대응 전략을 다각도로 모색하고 있다.

Q. KISA가 ‘랜섬웨어 전주기 대응 추진단’을 발족한 구체적인 배경은 무엇인가요
랜섬웨어 피해는 매년 증가 추세에 있으며, 특히 국내 피해 기업의 약 93%가 중소기업에 집중돼 있습니다. 중소기업은 보안 인력과 투자 여력이 부족해 단 한 번의 랜섬웨어 침해만으로도 경영난을 겪거나 도산으로 이어지는 경우가 적지 않습니다. 이에 국가 차원에서 실효성 있는 대응 체계를 제공하기 위해 추진단을 구성했습니다. 각 분야의 민관 전문가들과 함께 단계별 과제를 발굴하고, 실질적인 중장기 로드맵을 구축해 나갈 계획입니다.

Q. 추진단이 강조하는 ‘전주기 대응’의 핵심 골자가 궁금합니다
우리는 랜섬웨어 대응 단계를 ‘예방-탐지-대응-복구-수사 지원’까지 5단계의 프로토콜로 정의하고 있습니다. 그동안 방어 체계가 예방이나 차단 등 특정 단계에만 편중돼 있었다면, 이제는 공격의 전 과정을 하나의 파이프라인으로 연결해야 합니다. 어느 한 고리만 끊어져도 보안 전체가 무너지기 때문입니다. 이처럼 파편화돼 있던 대응 프로세스를 일원화하고 유기적으로 밀착시키는 것이 추진단의 핵심 목표입니다.

Q. 최근 보안 업계 전반에서 사이버 레질리언스가 중요해지고 있습니다
보안 솔루션 도입과 투자는 매년 늘어나는데, 역설적으로 랜섬웨어 피해 규모 역시 함께 증가하고 있습니다. 이는 단순히 방어벽을 높이 쌓는 1차원적 방식만으로는 한계가 있음을 시사합니다. 이제는 침해를 전제로 두고, 피해를 입더라도 핵심 서비스를 빠르게 복구해 비즈니스 연속성을 유지하는 능력이 더 중요해졌습니다. 보안의 패러다임 자체가 ‘방어’에서 ‘회복’으로 전환돼야 하는 이유입니다.

Q. 중소기업이 랜섬웨어 공격을 대비할 수 있는 현실적인 방안은 무엇인가요
중소기업 보안 사고의 상당수가 미흡한 계정 관리와 인증 체계에서 비롯됩니다. 최우선적으로 다중인증(MFA)을 도입해 계정 보안을 강화해야 합니다. 또한, 백업 솔루션을 실행해 두는 것에 만족하지 말고, 주기적으로 데이터가 정상 백업되고 있는지 점검해야 합니다. 특히 네트워크와 완전히 격리된 물리적 오프라인 백업 체계를 마련한 후 실제 상황을 가정한 복구 훈련을 정기적으로 수행하는 것이 피해를 원천 차단하는 가장 확실한 방법입니다.

Q. 마지막으로 기업 보안 담당자들에게 당부하고 싶은 말이 있나요
랜섬웨어에 감염되었다고 해서 해커와 협상을 시도하거나 비용을 지불하는 것은 절대 안 됩니다. 대가를 지불하더라도 복구가 완벽히 보장되지 않으며, 탈취된 데이터의 유출을 막을 수도 없습니다. 오히려 범죄 조직의 자금줄 역할만 하게 될 뿐입니다. 침해 사고가 발생하면 즉시 KISA 보호나라를 통해 신고하고 공식적인 기술 지원과 가이드를 받는 것이 가장 빠르고 안전한 해결책입니다.

[안티랜섬웨어 솔루션 집중 분석-1 체크멀]
체크멀, AppCheck 중심 통합 보안 포트폴리오 강화
검증된 보안 기술력과 사업 역량으로... 보안 영역 확대 추진
체크멀(CheckMAL)은 안티랜섬웨어 솔루션 AppCheck를 중심으로, 랜섬웨어 대응을 넘어 데이터 유출 방지까지 아우르는 통합 보안 포트폴리오 구축을 추진하고 있다.

랜섬웨어 위협에 대응하는 AppCheck
주식회사 체크멀은 2016년 설립된 보안 전문 기업으로, 안티랜섬웨어 AppCheck를 중심으로 랜섬웨어 대응 솔루션을 개발·공급하고 있다. 국내 최초 특허를 획득한 상황 인식 기반 랜섬웨어 행위 탐지 엔진(CARB 엔진)을 바탕으로 지속적인 제품 및 기술 고도화에 주력하고 있다.

체크멀은 GS 인증, 보안기능확인서, 다수의 특허를 보유하고 있으며, 일본 법인 설립 및 현지 파트너십을 기반으로 글로벌 사업을 확대하고 있다. 현재 국내외 약 2만2000개 고객사를 확보하고 있으며, 정보통신 유공 정부포상 국무총리 표창, 대한민국 SW제품 품질대상 대상, 무역의 날 수출의 탑 300만불 등을 수상했다.

검증된 사업 역량 기반 신규 보안 영역 확대
체크멀은 안티랜섬웨어 솔루션 AppCheck Pro를 중심으로 AppCheck Pro for Windows Server와 AppCheck Pro for Linux Server를 제공하고 있으며, 중앙 관리 솔루션 CMS를 통해 대규모 엔드포인트 환경을 보다 효율적으로 관리할 수 있도록 지원한다. 또한 별도의 랜섬웨어 분석 서비스인 RansomTrace도 운영하고 있다.

체크멀의 기술력은 한국산업기술보호협회의 중소기업지킴이서비스 지원사업을 통해서도 입증되고 있다. 해당 지원사업을 통해 체크멀 솔루션을 도입한 다수의 SMB 기업들은 비용 부담을 줄이면서도 랜섬웨어 실시간 차단 및 자동 복원 체계를 구축했다. 특히 타 백신과의 높은 호환성과 낮은 시스템 리소스 사용으로 운영 효율성 측면에서도 강점을 보이고 있다.

체크멀은 기존 안티랜섬웨어 사업을 넘어 데이터 유출 방지 영역으로 보안 포트폴리오 확장을 추진하고 있다. 현재 2026년 10월 출시를 목표로 상황 인식 기반 데이터 유출 방지 솔루션인 AppCheck DataGuard를 개발 중이며, 유출 시나리오를 자동 인지해 내부 정보 유출을 실시간으로 탐지·차단하는 기능에 초점을 맞추고 있다.

향후 체크멀은 통합 보안 체계 강화를 비롯해 일본 중심 글로벌 사업 확대, 신규 해외 시장 진출 기반 확보, 데이터 유출 방지 기술 고도화 및 시장 적용 확대를 지속 추진할 계획이다.

[안티랜섬웨어 솔루션 집중 분석-2 한국보안인증]
백업마저 파괴하는 지능형 랜섬웨어 시대, ‘물리적 격리’와 ‘사이버 복원력’이 실질적 대안
한국보안인증 ‘디포트리스’(D-Fortress), 이중 데이터 다이오드로 해커의 진입 경로 원천 차단
최근 랜섬웨어 공격이 단순한 파일 암호화를 넘어 기업의 내부 보안 체계를 사전에 면밀히 분석하고 우회하는 자율형 구조로 급격히 진화하고 있다. 특히 네트워크 내부에 수 주간 잠복하며 복구의 마지막 보루인 백업 서버(NAS 등)를 탐색해 우선적으로 무력화하는 ‘선제적 백업 파괴’ 방식은 기업의 생존을 직접적으로 위협하는 요소다.

실제로 피해 기업의 44.4%가 백업 데이터의 동시 파괴를 경험한 상 황에서, 보안 패러다임은 단순 탐지와 차단을 넘어 오염되지 않은 원본을 신속히 회복하는 ‘사이버 복원력’(Cyber Resilience) 확보로 전면 전환되어야 한다는 지적이 나오고 있다.

자율형 AI와 이중·삼중 갈취 공격의 확산, 경영권 위협하는 보안 위기
현장의 보안 전문가들은 최근 가장 치명적인 위협으로 기업의 복구 수단을 원천 차단해 협상 외에 대안이 없도록 만드는 침투 방식을 꼽는다. 여기에 더해 데이터를 암호화하는 것에 그치지 않고 외부로 유출해 공개하겠다고 협박하는 다중 갈취 공격이 일상화됐다. 이는 랜섬웨어 대응을 단순히 IT 시스템 복구의 문제를 넘어 경영진의 법적·재정적 책임론으로 확장시키는 중대한 변화를 시사한다.

특히 올해 9월 전면 시행을 앞둔 개정 개인정보보호법에 따르면, 랜섬웨어에 의한 데이터 훼손이나 탈취는 ‘유출 사고’로 엄격히 간주되어 전체 매출액의 최대 10%에 달하는 징벌적 과징금이 부과될 수 있다.

지난 4월 발생한 글로벌 ‘미토스 쇼크’ 이후 보안 취약점(CVE)이 폭증하면서 아마존, 애플, 삼성 등 정보보안에 막대한 투자를 이어온 대기업들 마저 위협에 직면한 가운데, 보안 인프라가 상대적으로 취약한 국내 기업들은 최고 관리자 권한을 탈취당하더라도 데 이터만큼은 온전히 보존할 수 있는 실효성 있는 방어책 마련이 시급한 상황이다.

취약점을 배제한 안전지대... 물리적 통신 단절 구현한 ‘디포트리스’(D-Fortress)
한국보안인증이 제시하는 안티랜섬웨어 솔루션 ‘디포트리스’(D-Fortress)는 이러한 진화형 위협에 대응하기 위해 설계된 혁신적 제품이다. 해커는 언제나 새로운 취약점을 찾아내기 때문에, 가장 확실한 보안은 취약 점 자체가 존재할 수 없는 공간에 중요 데이터를 물리적으로 분리·보관하는 것이다.

디포트리스는 과거 원자력 발전소 등 국가 중요 시설에서만 제한적으로 사용되던 일방향 통신(Data Diode) 기술을 백업 시스템에 최초로 적용한 ‘물리적인 데이터 안심 금고’다. 해커가 내부 관리자 권한을 완전히 장악해 백업 데이터 를 삭제하거나 암호화하라는 명령을 내려도, 수신 서버에서 송신 서버로의 역방향 통신(TCP/IP) 자체가 물리적으로 단절(Protocol Break)되어 있어 공격 명령이 도달할 수 없다. 인터넷에 상시 연결되어 소프트웨어 기반 제어에 의존 하던 기존 백업 장비의 보안 취약점을 완벽히 극복한 셈이다.

이중 데이터 다이오드와 AI 엔진으로 대용량 전송 및 고속 복구 실현
기존 단방향 보안 장비들은 유실된 패킷의 재요청 채널이 없어 전송 병목 현상이 발생하고 대용량 파일 전송이 불가 능하다는 고질적인 한계가 있었다.

디포트리스는 수신(RX) 서버에서 복구 대상 서버로 데이터를 안전하게 전달하는 별도의 일방향 채널을 유기적으로 결합한 ‘이중 데이터 다이오드’ 기술로 이 문제를 해결했다. 여기에 AI 기반 트래픽 제어 엔진을 탑재해 테라바이트(TB)급 대용량 파일 전송 시에도 패킷 유실이나 시스템 과부하 없이 실시간으로 백업 플로우를 안정화한다.

실제 국내 대형 엔지니어링 기업 A사(직원 수 2천 명 규모)의 구축 사례가 이를 증명한다. A사는 과거 랜섬웨어 감 염으로 인한 DB 유실과 장기 업무 마비를 겪은 후 디포트리스를 도입했다. 기존에 보유 중이던 200TB 스토리지를 교체 없이 마운트해 레거시 인프라를 그대로 활용했으며, 약 6000만개의 파일(110TB)을 성공적으로 선행 백업한 후 매일 100GB 규모의 증분 백업을 데이터 유실 없이 실시간 고속 처리하고 있다.

특히 최고 관리자 권한 탈취를 가정한 모의 해킹 공격(Red Team Test)에서도 백업 삭제 및 암호화 시도를 전건 방어해내며 독보적인 사이버 복원력을 입증 했다.

[안티랜섬웨어 솔루션 집중 분석-3 엔피코어]
엔피코어 지능형 안티랜섬웨어 솔루션 RansomZERO
랜섬웨어 공격 전·중·후를 동시에 보호
엔피코어 RansomZERO는 이러한 랜섬웨어 위협에 대응하기 위해 개발한 안티랜섬웨어 전문 솔루션이다. 랜섬웨어 행위탐지, 실시간 차단, 중요파일 백업·복구 기능을 기반으로, 공격이 실제 피해로 이어지기 전에 위협을 식별하고 데이터를 보호하는 데 초점을 맞춘다. 단순히 의심 파일을 찾아내는 수준을 넘어, 파일 변경 행위, 암호화 패턴, 비정상 프로세스 동작, 위협 이벤트를 종합적으로 분석하여 랜섬웨어 공격 흐름을 빠르게 차단한다.

AI 기반 위협분석으로 파일 유입 전 단계부터 대응
RansomZERO는 기존 파일 중심 탐지 방식에서 한 단계 더 나아가 URL, 도메인, C2, 악성코드 유포지 등 비파일 위협정보까지 분석하는 방향으로 고도화되고 있다. 원본 파일을 직접 수집하기 어려운 환경에서도 웹 접속 정보, 다운로드 경로, 도메인 위험도와 같은 메타데이터를 기반으로 악성 여부를 판단할 수 있어, 데이터 반출 제한이 있거나 네트워크 대역폭이 낮은 환경에서도 효과적인 보안 운영이 가능하다. 이를 통해 사용자가 파일을 실행하기 전 단계부터 잠재 위협을 식별하고, 랜섬웨어 감염 가능성을 선제적으로 낮출 수 있다.

엔트로피 기반 행위탐지로 신·변종 랜섬웨어 차단
랜섬웨어의 핵심 행위는 정상 파일을 비정상적으로 변경하고 암호화하는 것이다. RansomZERO는 파일 변경 패턴과 암호화 진행률, 프로세스 행위, 이벤트 정보를 함께 분석하여 랜섬웨어 특유의 이상 징후를 탐지한다. 특히 엔트로피 기반 분석을 통해 파일 데이터의 무작위성 증가와 암호화 진행 가능성을 판단함으로써, 알려진 시그니처가 없는 신·변종 랜섬웨어에도 대응할 수 있다. 이는 단순 탐지 알림에 그치지 않고, 의심 행위 발생 시점에 즉시 차단해 피해 확산을 줄이는 데 강점이 있다.

커널 기반 순간 백업으로 중요한 데이터를 이중 보호
랜섬웨어 대응에서 가장 중요한 것은 감염 여부를 아는 것만이 아니라, 공격 이후에도 업무 데이터를 복구할 수 있는가이다. RansomZERO는 랜섬웨어 의심 행위가 발생할 때 변경 전 데이터를 안전한 영역에 순간 백업하여, 파일 암호화나 위·변조 피해가 발생하더라도 원본 데이터 복구 가능성을 높인다. 따라서 탐지, 차단, 백업, 복구가 하나의 흐름으로 연결되기 때문에 기업은 랜섬웨어 사고 발생 시 업무 중단 시간을 줄이고 핵심 데이터를 안정적으로 보호할 수 있다.

초경량 Agent와 SaaS 구조로 운영 부담 최소화
RansomZERO는 엔드포인트 환경에서 동작하는 Agent의 부담을 줄이기 위해 이벤트 중복 제거, 중요도 기반 필터링, 압축·배치 전송, 장애 발생 시 재전송 큐와 같은 경량화 구조를 적용한다. 이를 통해 저사양 단말이나 저대역 네트워크 환경에서도 안정적인 운영을 지원한다. 또한 멀티테넌트 SaaS 구조를 통해 국가, 파트너, 고객사, 테넌트별 정책·로그·권한을 분리하고, 통신사와 MSP가 다수 고객을 효율적으로 관리할 수 있는 운영 모델을 제공한다.

[강초희 기자(choh@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다