※ 본문의 통계 및 인용은 한국인터넷진흥원(KISA) 「2026년 사이버 위협 동향 보고서(상반기)」를 출처로 하며,
제품 관련 설명은 각 제조사 발표 자료를 기준으로 합니다.
랜섬웨어 대응은 악성 파일을 차단하는 것만으로는 부족합니다. KISA가 2026년 상반기 「사이버 위협 동향 보고서」에서는 침투부터 암호화까지 이어지는 전 과정을 봐야 한다고 강조했습니다.
"랜섬웨어 대응은 악성 파일 차단에 국한해서는 안 된다. 초기 침투부터 권한 상승, 내부망 이동, 데이터 수집·압축·외부 전송, 백업 훼손, 대량 암호화까지 공격 전 과정을 탐지하고 복구할 수 있어야 한다"
- KISA(한국인터넷진흥원) 2026년 상반기 사이버 위협 동향 보고서
KISA는 랜섬웨어 공격의 진행 순서를 초기 침투, 계정 탈취, 내부망 이동, 백업 무력화의 4단계로 정리했습니다. 공격은 초기 침투로 시작해 계정을 탈취하고, 내부망을 조용히 이동한 뒤, 마지막으로 백업까지 무력화하고 나서야 암호화를 실행합니다. 이 네 단계에 따라, 랜섬웨어에 취약한 기업들의 특징이 나타납니다.
① VPN이 유일한 방어선이다
랜섬웨어의 초기 침투 경로로는 VPN, RDP, 취약한 원격관리 솔루션, 외부에 노출된 서버 취약점 등이 주로 이용됩니다. 특히 VPN의 구조적인 문제는, 접속에 성공하는 순간 네트워크 전체가 열린다는 데 있습니다. 원격 근무자 한 명의 계정만 뚫려도, 공격자는 VPN 터널을 타고 내부망 전체에 발을 들일 수 있습니다.
Solution
원격접속 자산에 MFA와 최소 권한을 적용하고, 사용하지 않는 계정·포트·서비스를 제거해야 합니다. 이 원칙을 접속 방식 자체에 적용하면, VPN처럼 네트워크 전체를 여는 구조 대신 사용자가 필요한 애플리케이션에만 개별적으로 접근을 허용하는 구조로 전환하는 것이 최소 권한 원칙을 가장 구조적으로 구현하는 방법입니다. 공격자가 계정 하나를 뚫어도 갈 수 있는 범위 자체가 좁아지기 때문입니다.
Citrix SPA는 접속 성공 여부로 끝나는 것이 아니라, 세션이 진행되는 동안에도 기기 상태·위치·위험 점수를 지속적으로 재평가해 접근 범위를 동적으로 조정하는 방식으로 ZTNA(제로 트러스트)를 구현합니다.
② 로그인만 성공하면, 누군지 안 따진다
2026년 상반기 침해사고 유형 중 서버 해킹이 39.4%로 가장 큰 비중을 차지했습니다. 침해사고 1위의 실체는 상당 부분 '계정 탈취'입니다. 그리고 계정 하나가 뚫렸을 때의 파급력은 개인정보 조회에 그치지 않고 관리자 기능, 기업 서비스 접근 권한까지 연쇄적으로 퍼질 수 있습니다. ‘로그인에 성공한 것’과, ‘로그인한 사람이 진짜 그 계정의 주인이냐’는 다른 문제입니다. 아이디와 비밀번호만으로 통과되는 인증 체계라면, 탈취된 계정인지 정상 계정인지 시스템은 구분하지 못합니다.
Solution
접속 위치·시간·행위 패턴을 지속적으로 검증하는 것은 제로트러스트의 기본 원칙입니다. 로그인 성공 여부가 아니라, 그 접속이 평소 행동 패턴과 일치하는지를 실시간으로 판단해야 탈취된 계정을 가려낼 수 있습니다.
Silverfort는 이 원칙을 Active Directory 환경에 구현한 제품으로, 모든 인증·접근 흐름을 실시간 모니터링하며 행동 기준선 대비 이상 징후가 감지되면 즉시 차단하거나 추가 인증을 요구합니다.
③ 랜섬웨어의 정확한 침투 시점을 모른다
암호화 화면이 뜨는 순간이 공격의 '시작'이라고 생각하기 쉽지만, 그건 공격의 '마지막 단계'에 가깝습니다. 공격자는 정상적인 관리 도구를 악용하기 때문에 일반적인 보안 장비로는 탐지되지 않습니다. 내부망을 조용히 돌아다니며 권한을 높이고, 백업과 보안 솔루션까지 무력화한 다음에야 암호화(공격)를 시작합니다. 즉, 암호화 화면을 보고서야 알아차렸다면, 침입자는 이미 며칠, 길게는 몇 주 전부터 내부에 있었다는 뜻입니다.
Solution
암호화라는 '결과'가 아니라, 권한 상승·비정상 접근·대량 파일 압축 같은 '과정'을 탐지해야 합니다. 초기 침투부터 암호화 직전까지의 행위를 상관 분석해 조기에 차단하는 체계가 필요합니다.
Bitdefender GravityZone EDR은 침투 과정 전체를 탐지·대응하는 역할을 합니다. 한 테스트*에서는 14단계 공격 전 과정에 대해 100% 가시성을 확보한 유일한 인증 제품으로 선정되기도 했습니다.
*AV-Comparatives, 「EDR Detection Validation Certification Test」, 2026년 5월 발표. Bitdefender GravityZone Business Security Enterprise(버전 8.26)가 스피어피싱·계정탈취·내부이동·권한상승·C2 통신·도메인 컨트롤러 공격으로 이어지는 14단계 공격 시나리오 전 과정에서 관련 텔레메트리 100%를 기록, 해당 테스트의 유일한 인증 제품으로 선정됨.
④ 백업은 있고, 복구는 없다
보고서에 따르면 "랜섬웨어 신고 기업의 백업 보유 비율은 2024년 상반기 69.6%에서 2026년 상반기 84.1%로 높아졌다. 그러나 2026년 상반기에는 백업까지 감염된 비율이 38.5% 비중을 보인 것으로 파악됐습니다. 운영망과 같은 네트워크에 있고, 누구나 변경·삭제할 수 있는 백업이라면, 랜섬웨어 입장에서는 그냥 또 하나의 공격 대상일 뿐입니다. 게다가 백업을 '보관'만 하고 실제로 '복구'까지 해본 적이 없다면, 정작 필요한 순간에 복구가 안 되는 상황을 뒤늦게 발견하게 됩니다.
Solution
백업은 운영망과 분리하고, 한 번 저장되면 임의로 변경·삭제할 수 없는 불변(WORM) 방식으로 관리해야 합니다. 그리고 실제 복구가 가능한지 정기적으로 시험해봐야 합니다.
Nutanix DR은 스냅샷을 통해 감염 이전 시점으로 빠르게 복구하며, 백업 데이터는 WORM 방식으로 저장돼 임의로 변경·삭제할 수 없습니다. 여기에 Nutanix Data Lens가 5,800개 이상의 랜섬웨어 시그니처와 행동 패턴 분석으로 위협을 20분 이내에 탐지·차단하고, 감염이 감지되면 자동으로 스냅샷을 생성해 복구할 수 있게 합니다.
랜섬웨어는 한 지점만 막는다고 끝나지 않습니다. 위 네 가지 중 하나라도 뚫려 있다면, 나머지 세 곳이 아무리 견고해도 공격자에게는 충분한 틈이 됩니다. 침투부터 백업까지, 어느 한 단계도 놓치지 않는 방어 체계가 필요하다면 ProTNS에 문의해주세요.
※ 본문의 통계 및 인용은 한국인터넷진흥원(KISA) 「2026년 사이버 위협 동향 보고서(상반기)」를 출처로 하며,
제품 관련 설명은 각 제조사 발표 자료를 기준으로 합니다.
랜섬웨어 대응은 악성 파일을 차단하는 것만으로는 부족합니다. KISA가 2026년 상반기 「사이버 위협 동향 보고서」에서는 침투부터 암호화까지 이어지는 전 과정을 봐야 한다고 강조했습니다.
- KISA(한국인터넷진흥원) 2026년 상반기 사이버 위협 동향 보고서
KISA는 랜섬웨어 공격의 진행 순서를 초기 침투, 계정 탈취, 내부망 이동, 백업 무력화의 4단계로 정리했습니다. 공격은 초기 침투로 시작해 계정을 탈취하고, 내부망을 조용히 이동한 뒤, 마지막으로 백업까지 무력화하고 나서야 암호화를 실행합니다. 이 네 단계에 따라, 랜섬웨어에 취약한 기업들의 특징이 나타납니다.
① VPN이 유일한 방어선이다
랜섬웨어의 초기 침투 경로로는 VPN, RDP, 취약한 원격관리 솔루션, 외부에 노출된 서버 취약점 등이 주로 이용됩니다. 특히 VPN의 구조적인 문제는, 접속에 성공하는 순간 네트워크 전체가 열린다는 데 있습니다. 원격 근무자 한 명의 계정만 뚫려도, 공격자는 VPN 터널을 타고 내부망 전체에 발을 들일 수 있습니다.
Solution
원격접속 자산에 MFA와 최소 권한을 적용하고, 사용하지 않는 계정·포트·서비스를 제거해야 합니다. 이 원칙을 접속 방식 자체에 적용하면, VPN처럼 네트워크 전체를 여는 구조 대신 사용자가 필요한 애플리케이션에만 개별적으로 접근을 허용하는 구조로 전환하는 것이 최소 권한 원칙을 가장 구조적으로 구현하는 방법입니다. 공격자가 계정 하나를 뚫어도 갈 수 있는 범위 자체가 좁아지기 때문입니다.
Citrix SPA는 접속 성공 여부로 끝나는 것이 아니라, 세션이 진행되는 동안에도 기기 상태·위치·위험 점수를 지속적으로 재평가해 접근 범위를 동적으로 조정하는 방식으로 ZTNA(제로 트러스트)를 구현합니다.
② 로그인만 성공하면, 누군지 안 따진다
2026년 상반기 침해사고 유형 중 서버 해킹이 39.4%로 가장 큰 비중을 차지했습니다. 침해사고 1위의 실체는 상당 부분 '계정 탈취'입니다. 그리고 계정 하나가 뚫렸을 때의 파급력은 개인정보 조회에 그치지 않고 관리자 기능, 기업 서비스 접근 권한까지 연쇄적으로 퍼질 수 있습니다. ‘로그인에 성공한 것’과, ‘로그인한 사람이 진짜 그 계정의 주인이냐’는 다른 문제입니다. 아이디와 비밀번호만으로 통과되는 인증 체계라면, 탈취된 계정인지 정상 계정인지 시스템은 구분하지 못합니다.
Solution
접속 위치·시간·행위 패턴을 지속적으로 검증하는 것은 제로트러스트의 기본 원칙입니다. 로그인 성공 여부가 아니라, 그 접속이 평소 행동 패턴과 일치하는지를 실시간으로 판단해야 탈취된 계정을 가려낼 수 있습니다.
Silverfort는 이 원칙을 Active Directory 환경에 구현한 제품으로, 모든 인증·접근 흐름을 실시간 모니터링하며 행동 기준선 대비 이상 징후가 감지되면 즉시 차단하거나 추가 인증을 요구합니다.
③ 랜섬웨어의 정확한 침투 시점을 모른다
암호화 화면이 뜨는 순간이 공격의 '시작'이라고 생각하기 쉽지만, 그건 공격의 '마지막 단계'에 가깝습니다. 공격자는 정상적인 관리 도구를 악용하기 때문에 일반적인 보안 장비로는 탐지되지 않습니다. 내부망을 조용히 돌아다니며 권한을 높이고, 백업과 보안 솔루션까지 무력화한 다음에야 암호화(공격)를 시작합니다. 즉, 암호화 화면을 보고서야 알아차렸다면, 침입자는 이미 며칠, 길게는 몇 주 전부터 내부에 있었다는 뜻입니다.
Solution
암호화라는 '결과'가 아니라, 권한 상승·비정상 접근·대량 파일 압축 같은 '과정'을 탐지해야 합니다. 초기 침투부터 암호화 직전까지의 행위를 상관 분석해 조기에 차단하는 체계가 필요합니다.
Bitdefender GravityZone EDR은 침투 과정 전체를 탐지·대응하는 역할을 합니다. 한 테스트*에서는 14단계 공격 전 과정에 대해 100% 가시성을 확보한 유일한 인증 제품으로 선정되기도 했습니다.
*AV-Comparatives, 「EDR Detection Validation Certification Test」, 2026년 5월 발표. Bitdefender GravityZone Business Security Enterprise(버전 8.26)가 스피어피싱·계정탈취·내부이동·권한상승·C2 통신·도메인 컨트롤러 공격으로 이어지는 14단계 공격 시나리오 전 과정에서 관련 텔레메트리 100%를 기록, 해당 테스트의 유일한 인증 제품으로 선정됨.
④ 백업은 있고, 복구는 없다
보고서에 따르면 "랜섬웨어 신고 기업의 백업 보유 비율은 2024년 상반기 69.6%에서 2026년 상반기 84.1%로 높아졌다. 그러나 2026년 상반기에는 백업까지 감염된 비율이 38.5% 비중을 보인 것으로 파악됐습니다. 운영망과 같은 네트워크에 있고, 누구나 변경·삭제할 수 있는 백업이라면, 랜섬웨어 입장에서는 그냥 또 하나의 공격 대상일 뿐입니다. 게다가 백업을 '보관'만 하고 실제로 '복구'까지 해본 적이 없다면, 정작 필요한 순간에 복구가 안 되는 상황을 뒤늦게 발견하게 됩니다.
Solution
백업은 운영망과 분리하고, 한 번 저장되면 임의로 변경·삭제할 수 없는 불변(WORM) 방식으로 관리해야 합니다. 그리고 실제 복구가 가능한지 정기적으로 시험해봐야 합니다.
Nutanix DR은 스냅샷을 통해 감염 이전 시점으로 빠르게 복구하며, 백업 데이터는 WORM 방식으로 저장돼 임의로 변경·삭제할 수 없습니다. 여기에 Nutanix Data Lens가 5,800개 이상의 랜섬웨어 시그니처와 행동 패턴 분석으로 위협을 20분 이내에 탐지·차단하고, 감염이 감지되면 자동으로 스냅샷을 생성해 복구할 수 있게 합니다.
랜섬웨어는 한 지점만 막는다고 끝나지 않습니다. 위 네 가지 중 하나라도 뚫려 있다면, 나머지 세 곳이 아무리 견고해도 공격자에게는 충분한 틈이 됩니다. 침투부터 백업까지, 어느 한 단계도 놓치지 않는 방어 체계가 필요하다면 ProTNS에 문의해주세요.