랜섬웨어 감염 확인 및 대처 방법: 파일 복구 가능성 및 신고 절차

랜섬웨어 감염 확인 및 대처 방법: 파일 복구 가능성 및 신고 절차

랜섬웨어 감염 확인 및 대처 방법: 파일 복구 가능성 및 신고 절차는 갑자기 파일이 열리지 않거나, 바탕화면에 돈을 요구하는 안내문이 뜬 경우 반드시 알아야 할 내용입니다. 랜섬웨어는 PC나 서버의 파일을 암호화한 뒤 복구 대가로 금전을 요구하는 악성코드입니다.

감염 직후에는 당황해서 재부팅, 백신 삭제, 포맷, 복구 프로그램 설치, 몸값 지불을 먼저 생각하기 쉽습니다. 하지만 잘못 대응하면 암호화가 더 퍼지거나, 복구 가능성이 있던 파일까지 손상될 수 있습니다.

이번 글에서는 랜섬웨어 감염 의심 증상, 감염 확인 방법, 즉시 해야 할 조치, 파일 복구 가능성, 무료 복구도구 확인법, 신고 절차, 재감염 예방 방법까지 정리해보겠습니다.

 

 

1. 랜섬웨어란 무엇인가?

랜섬웨어는 사용자의 파일이나 시스템을 사용할 수 없게 만든 뒤 금전을 요구하는 악성코드입니다. 영어로 Ransom은 몸값, Malware는 악성코드를 뜻합니다. 즉, 파일을 인질로 잡고 돈을 요구하는 악성코드라고 이해하면 됩니다.

랜섬웨어는 보통 다음 방식으로 피해를 만듭니다.

• 문서, 사진, 영상, 압축파일 등을 암호화
• 파일 확장자를 이상한 이름으로 변경
• 바탕화면이나 폴더에 결제 안내문 생성
• 비트코인 등 가상자산 결제 요구
• 일정 시간 안에 돈을 내지 않으면 파일 삭제 또는 금액 인상 협박
• 기업의 경우 내부 서버, 공유폴더, 백업서버까지 암호화
• 최근에는 파일 유출 협박까지 함께 진행

개인 PC에서는 사진, 문서, 작업 파일이 열리지 않는 형태로 나타나고, 회사나 병원, 학원, 쇼핑몰, 서버 운영자는 업무 시스템 전체가 멈추는 심각한 사고로 이어질 수 있습니다.

랜섬웨어는 단순 바이러스와 다릅니다. 악성코드를 제거해도 이미 암호화된 파일이 자동으로 원래대로 돌아오지 않을 수 있습니다. 그래서 감염 초기에 확산을 막고, 원본 증거와 암호화 파일을 보존하는 것이 중요합니다.

 

 

 

2. 한눈에 보는 핵심 요약

상황	해야 할 일
파일 확장자가 이상하게 바뀜	랜섬웨어 감염 의심
돈을 요구하는 안내문이 뜸	랜섬노트 보존
공유폴더 파일도 변함	즉시 네트워크 분리
외장하드 연결 중 감염	외장하드 분리 후 별도 보관
감염 직후	인터넷·와이파이·랜선 차단
복구 전	암호화된 파일 복사본 보관
무료 복구 가능성	KISA·No More Ransom 복구도구 확인
몸값 요구	지불해도 복구 보장 안 됨
신고	KISA 118, 보호나라, 경찰청 ECRM·112
재발 방지	백업, 업데이트, 메일 첨부파일 주의, 계정 보안 강화

핵심은 네트워크 분리 → 증거 보존 → 감염 범위 확인 → 복구도구 확인 → 신고 → 백업 복원 → 재감염 예방 순서입니다.

 

 

 

3. 랜섬웨어 감염 의심 증상

랜섬웨어는 감염 즉시 눈에 띄는 경우도 있지만, 파일이 어느 정도 암호화된 뒤에야 알게 되는 경우도 많습니다. 평소와 다른 파일 변화가 보이면 바로 의심해야 합니다.

대표적인 감염 증상은 다음과 같습니다.

• 문서, 사진, 엑셀, PDF 파일이 열리지 않음
• 파일 확장자가 낯선 문자열로 바뀜
• 파일 이름 뒤에 이상한 확장자가 붙음
• 바탕화면 배경이 결제 안내문으로 바뀜
• 폴더마다 README, RECOVER, DECRYPT 같은 파일이 생김
• 비트코인이나 가상자산 결제를 요구하는 메시지가 뜸
• 파일을 열면 손상되었다는 안내가 나옴
• 갑자기 PC가 느려지고 디스크 사용률이 높아짐
• 공유폴더 안의 파일이 동시에 바뀜
• 외장하드와 NAS 파일도 함께 암호화됨
• 백신 프로그램이 꺼지거나 보안 경고가 뜸
• 원격접속 프로그램 사용 기록이 의심됨

랜섬노트는 돈을 요구하는 안내문입니다. 이 파일을 바로 삭제하지 말고 보관해야 합니다. 랜섬웨어 종류를 식별하거나 신고할 때 도움이 될 수 있습니다.

감염 여부가 애매하다면 파일 확장자, 랜섬노트 내용, 암호화된 파일 샘플을 기준으로 확인해야 합니다. 단, 출처를 모르는 복구 프로그램이나 해커가 안내한 프로그램은 실행하지 않는 것이 좋습니다.

 

 

4. 감염 직후 절대 하면 안 되는 행동

랜섬웨어 감염이 의심될 때는 당황해서 이것저것 만지면 안 됩니다. 잘못된 조치가 복구 가능성을 낮출 수 있습니다.

절대 피해야 할 행동은 다음과 같습니다.

• 감염된 PC를 계속 인터넷에 연결해두기
• 회사 공유폴더와 NAS에 계속 접속하기
• 외장하드나 USB를 새로 꽂기
• 랜섬노트와 암호화 파일을 무작정 삭제하기
• 포맷부터 진행하기
• 복구 전 암호화 파일 원본에 바로 복구도구 실행하기
• 검증되지 않은 복구 프로그램 설치하기
• 해커가 안내한 프로그램 실행하기
• 몸값을 먼저 지불하기
• 감염 원인을 모른 채 백업 파일을 바로 연결하기
• 회사 내부 사고를 숨기고 혼자 처리하기

특히 외장하드와 NAS는 조심해야 합니다. 백업을 살리려고 감염된 PC에 외장하드를 연결했다가 백업 파일까지 암호화되는 경우가 있습니다. 백업 장치는 감염 여부가 확인되기 전까지 절대 연결하지 않는 것이 안전합니다.

포맷도 신중해야 합니다. 포맷하면 랜섬웨어 자체는 사라질 수 있지만, 증거와 복구 단서도 함께 사라질 수 있습니다. 중요한 파일이 있다면 포맷 전에 암호화된 파일, 랜섬노트, 감염 시점 정보를 보관해야 합니다.

 

 

 

5. 감염 직후 해야 할 응급조치

랜섬웨어 감염이 의심되면 가장 먼저 확산을 막아야 합니다. 개인 PC라도 네트워크 공유폴더, 클라우드 동기화, 외장하드가 연결되어 있으면 피해가 커질 수 있습니다.

응급조치 순서는 다음과 같습니다.

1. 랜선을 뽑습니다.
2. 와이파이를 끕니다.
3. 블루투스와 테더링도 끕니다.
4. 공유폴더 연결을 중단합니다.
5. 외장하드와 USB를 분리합니다.
6. 클라우드 동기화 프로그램을 중지합니다.
7. 감염 화면과 랜섬노트를 사진으로 찍습니다.
8. 암호화된 파일 확장자를 기록합니다.
9. 암호화된 파일과 랜섬노트를 보관합니다.
10. 개인은 KISA 118 또는 보호나라, 기업은 보안 담당자와 KISA 신고를 진행합니다.

다만 암호화된 파일과 랜섬노트를 보관할 때 감염된 PC에 새 외장하드나 USB를 바로 꽂는 것은 피해야 합니다. 가능하면 네트워크가 분리된 상태에서 전문가 안내를 받거나, 안전한 환경에서 복사본을 만들어 보관하는 것이 좋습니다.

회사나 사무실에서는 감염 PC만의 문제가 아닐 수 있습니다. 같은 네트워크의 다른 PC, 서버, NAS, 회계 프로그램, ERP, 그룹웨어까지 영향을 받을 수 있으므로 즉시 보안 담당자에게 알려야 합니다.

전원을 바로 꺼야 하는지 고민될 수 있습니다. 일반적으로는 먼저 네트워크를 끊는 것이 우선입니다. 네트워크 분리가 어렵거나 암호화가 계속 진행되는 상황이라면 전원을 끄는 것도 고려할 수 있습니다. 다만 전원을 끄면 메모리에 남아 있던 일부 증거가 사라질 수 있으므로, 기업 환경에서는 보안 담당자나 전문가 판단을 따르는 것이 좋습니다.

 

 

 

6. 파일 복구 가능성 판단 기준

랜섬웨어에 걸렸다고 해서 모든 파일이 반드시 복구 불가능한 것은 아닙니다. 다만 복구 가능성은 랜섬웨어 종류, 암호화 방식, 백업 존재 여부, 복구도구 공개 여부, 감염 후 대응 방식에 따라 크게 달라집니다.

복구 가능성이 있는 경우는 다음과 같습니다.

• 감염 전 백업이 따로 보관되어 있음
• 외장하드나 NAS 백업이 감염되지 않음
• 클라우드 서비스에서 이전 버전 복원이 가능함
• 해당 랜섬웨어 무료 복구도구가 공개되어 있음
• 랜섬웨어 구현 오류로 복호화가 가능한 경우
• 일부 파일만 암호화되고 원본이 남아 있는 경우
• 윈도우 이전 버전이나 백업 이미지가 남아 있는 경우

복구가 어려운 경우는 다음과 같습니다.

• 백업이 전혀 없음
• 백업장치도 함께 암호화됨
• 최신 랜섬웨어라 복구도구가 없음
• 암호화 파일을 삭제하거나 덮어씀
• 검증되지 않은 복구툴로 파일이 손상됨
• 랜섬웨어가 복구 지점을 삭제함
• 감염 후 포맷으로 증거와 파일을 잃음

복구 가능성 판단에 필요한 자료는 다음과 같습니다.

• 랜섬노트 파일
• 암호화된 파일 확장자
• 암호화된 파일 샘플
• 감염 시간대
• 의심되는 이메일이나 첨부파일
• 다운로드한 프로그램 기록
• 백신 탐지명
• 백업 존재 여부
• 클라우드 동기화 여부
• 감염 PC와 연결된 저장장치 목록

중요한 점은 복구도구를 사용할 때 원본 암호화 파일에 바로 실행하지 않는 것입니다. 반드시 암호화된 파일을 복사해 복사본으로 먼저 테스트해야 합니다.

 

 

7. 무료 복구도구 확인 방법

랜섬웨어 복구도구는 일부 랜섬웨어에 대해서만 제공됩니다. 모든 랜섬웨어를 복구할 수 있는 만능 프로그램은 없습니다. 따라서 먼저 랜섬웨어 종류를 식별해야 합니다.

무료 복구도구 확인 순서는 다음과 같습니다.

1. 암호화된 파일 확장자를 확인합니다.
2. 랜섬노트 이름과 내용을 확인합니다.
3. KISA 보호나라 또는 STOP 랜섬웨어 페이지를 확인합니다.
4. KISA 제공 복구도구 목록을 확인합니다.
5. No More Ransom 복구도구를 확인합니다.
6. 암호화된 파일 샘플과 랜섬노트를 이용해 식별합니다.
7. 해당 복구도구가 있는지 확인합니다.
8. 원본 파일을 복사해 복사본으로 복구 테스트를 합니다.
9. 일부 파일 복구가 성공하면 전체 복구를 검토합니다.
10. 실패하면 백업 복원이나 전문 상담을 진행합니다.

복구도구를 사용할 때 주의할 점은 다음과 같습니다.

• 공식 사이트에서만 다운로드
• 복구 전 암호화 파일 복사본 보관
• 설명서와 지원 대상 랜섬웨어 확인
• 다른 변종에는 적용되지 않을 수 있음
• 복구 중 파일이 손상될 수 있음
• 무료 복구도구가 없으면 무리하게 유료툴을 믿지 않기
• 해커가 보내준 복구 프로그램 실행 금지

“100% 랜섬웨어 복구 가능”이라고 광고하는 곳은 조심해야 합니다. 실제로는 백업이 없고 복구도구도 없는 경우 복구가 어려울 수 있습니다. 복구 가능 여부는 랜섬웨어 종류와 암호화 방식에 따라 달라집니다.

 

 

 

8. 신고 절차와 준비 자료

랜섬웨어 피해가 발생하면 신고와 상담을 진행하는 것이 좋습니다. 개인은 KISA 118 상담, 보호나라, 경찰청 사이버범죄 신고시스템을 활용할 수 있고, 기업은 침해사고 신고 절차를 통해 대응 지원을 받을 수 있습니다.

신고할 수 있는 경로는 다음과 같습니다.

구분	신고·상담 경로
보안 상담	KISA 118
침해사고 신고	KISA 보호나라 침해사고 신고
사이버범죄 신고	경찰청 사이버범죄 신고시스템 ECRM
긴급 범죄 신고	112
개인정보 유출 우려	개인정보침해 신고센터, 개인정보 포털
기업 사고	내부 보안 담당자, KISA 침해사고 신고

신고 전 준비하면 좋은 자료는 다음과 같습니다.

• 감염된 PC 또는 서버 수
• 감염 일시
• 감염을 처음 알게 된 시점
• 암호화된 파일 확장자
• 랜섬노트 파일
• 해커가 요구한 금액과 결제 수단
• 의심되는 이메일, 첨부파일, 링크
• 백신 탐지명
• 감염 화면 캡처
• 피해 파일 종류
• 백업 여부
• 개인정보나 고객정보 유출 가능성
• 이미 조치한 내용

기업이나 사업자는 고객정보, 임직원 정보, 거래처 정보가 유출됐을 가능성도 함께 봐야 합니다. 최근 랜섬웨어는 파일 암호화뿐 아니라 데이터 탈취 후 공개 협박을 함께 하는 경우가 있기 때문입니다. 개인정보 유출 가능성이 있다면 개인정보보호 관련 신고와 법적 의무도 검토해야 합니다.

 

 

 

9. 재감염 예방과 백업 원칙

랜섬웨어는 한 번 복구했다고 끝이 아닙니다. 감염 원인을 제거하지 않으면 같은 문제가 다시 생길 수 있습니다. 특히 원격접속 계정, 취약한 비밀번호, 오래된 서버, 백업 연결 방식이 그대로라면 재감염 위험이 큽니다.

예방을 위해 지켜야 할 원칙은 다음과 같습니다.

• 운영체제와 프로그램 최신 업데이트
• 백신과 보안 프로그램 최신 상태 유지
• 출처 불명 이메일 첨부파일 열지 않기
• 매크로 포함 문서 실행 주의
• 불법 소프트웨어와 크랙 파일 사용 금지
• 원격접속 포트 외부 노출 최소화
• 원격접속 계정에 강한 비밀번호와 2단계 인증 적용
• 관리자 계정 최소화
• 공유폴더 권한 최소화
• NAS와 백업서버 접근 권한 제한
• 중요 파일은 오프라인 백업 보관
• 백업 복원 테스트 정기 실행

백업은 3-2-1 원칙을 생각하면 좋습니다.

원칙	의미
3개	원본 포함 최소 3개의 데이터 사본
2종류	서로 다른 저장매체 2종류 이상
1개	최소 1개는 오프라인 또는 외부 장소 보관

랜섬웨어에 강한 백업은 평소 PC에 계속 연결되어 있지 않아야 합니다. 외장하드를 항상 꽂아두거나, NAS를 모든 PC에서 쓰기 가능하게 열어두면 감염 시 백업까지 암호화될 수 있습니다.

 

Tip

랜섬웨어 감염 이후에는 PC 파일만 볼 것이 아니라 Gmail, 구글 드라이브, 크롬 저장 비밀번호처럼 연결 계정도 함께 점검해야 합니다. 모르는 기기 로그인이나 계정 탈취가 의심된다면 구글 계정 해킹 의심 시 대처법도 같이 확인해보세요.

 

 

 

10. 마무리

랜섬웨어 감염 확인 및 대처 방법에서 가장 중요한 것은 감염 직후의 순서입니다. 파일이 갑자기 열리지 않고 확장자가 바뀌거나, 돈을 요구하는 랜섬노트가 생겼다면 즉시 랜선과 와이파이를 끊고 네트워크 확산을 막아야 합니다.

그다음 랜섬노트, 암호화된 파일 확장자, 감염 시간, 의심 파일, 감염 화면을 보관해야 합니다. 포맷이나 무작정 복구 프로그램 실행은 복구 가능성을 낮출 수 있으므로, 복구 전에는 암호화 파일 복사본을 반드시 만들어두는 것이 좋습니다.

파일 복구는 백업이 있으면 가장 현실적이고, 백업이 없다면 KISA와 No More Ransom에서 해당 랜섬웨어 복구도구가 있는지 확인해야 합니다. 다만 모든 랜섬웨어가 복구 가능한 것은 아니며, 몸값을 지불해도 복구가 보장되지 않습니다.

정리하면, 네트워크 차단 → 증거 보존 → 감염 범위 확인 → KISA·No More Ransom 복구도구 확인 → KISA 118 또는 경찰청 ECRM 신고 → 백업 복원 → 보안 업데이트와 백업 체계 강화 순서로 대응하는 것이 가장 안전합니다.