회사 파일이 갑자기 열리지 않을 때, 첫 15분 랜섬웨어 대응
공유폴더 파일 이름이 낯선 확장자로 바뀌고 문서가 열리지 않으면 확인하려고 다른 파일을 계속 눌러보기 쉽습니다. 하지만 감염이 의심되는 순간에는 원인을 찾는 것보다 확산 경로를 끊는 일이 먼저입니다.
대표는 직접 복호화를 시도하는 사람이 아니라 대응 순서를 지키게 하는 사람입니다. 감염 의심 장비, 정상 장비, 백업을 분리하고 한 명의 사고 담당자를 정하면 직원마다 다른 조치를 하는 일을 막을 수 있습니다.
1. 첫 행동은 감염 의심 장비의 네트워크 분리입니다
한국인터넷진흥원은 해킹·바이러스 등 침해사고 상담을 위해 118 상담창구와 랜섬웨어 대응 안내를 운영합니다. 감염이 의심되면 유선·무선 네트워크에서 분리하고 전문 대응기관의 안내를 받는 것이 우선입니다.
랜 케이블을 분리하고 와이파이 연결을 끊되, 전원을 바로 끌지 여부는 시스템과 증거보존 상황에 따라 전문가의 지시를 받습니다. 공유폴더, NAS, 클라우드 동기화에 연결된 다른 장비도 이상 징후를 확인하되 파일을 열어 시험하지 않습니다.
2. 화면과 시각을 남기고 한 명에게 연락을 모읍니다
랜섬노트, 바뀐 확장자, 최초 발견 시각, 발견자, 사용 중이던 계정과 프로그램을 사진으로 남깁니다. 직원에게는 장비를 건드리지 말고 담당자에게만 상황을 보내도록 안내합니다.
- 최초 발견 시각과 장비 사용자
- 랜섬노트·오류 화면 사진
- 변경된 파일 확장자 예시
- 연결돼 있던 서버·NAS·클라우드
- 직전 이메일·다운로드·원격접속 정황
3. 백업이 있다고 바로 연결하지 않습니다
감염 범위와 침입 경로를 모르는 상태에서 백업 디스크나 정상 NAS를 연결하면 복구본까지 영향을 받을 수 있습니다. 백업의 생성 시점, 오프라인 여부, 복원 테스트 기록을 확인하고 깨끗한 환경에서 복구 순서를 정합니다.
검색한 복호화 프로그램을 바로 실행하거나, 공격자와 임의 협상하거나, 원본 파일을 삭제·덮어쓰지 않습니다. 일부 랜섬웨어는 공개 복구도구가 있지만 유형 확인과 전문가 검토가 먼저입니다.
4. 감염·정상·백업 구역을 물리적으로 나눕니다
사무실에서 테이프나 메모로 감염 의심 장비를 표시하고 사용을 금지합니다. 정상 장비는 비밀번호 변경과 패치가 끝나기 전 업무 재개 범위를 제한하고, 백업 매체는 복구 담당자만 접근하게 합니다.
- 기술 대응 담당자
- 직원 공지와 고객 문의 담당자
- 개인정보 유출 여부 검토 담당자
- 복구 승인과 업무 재개 결정자
5. 직원 공지는 짧고 동일하게 전달합니다
사고 초기에 직원마다 인터넷에서 찾은 조치를 실행하면 증거가 훼손되거나 감염이 퍼질 수 있습니다. 감염 의심 장비 사용 중지, 네트워크 연결 금지, USB·백업 연결 금지, 화면 사진과 장비 위치 보고 네 가지로 공지를 통일합니다.
업무가 멈추더라도 개인 이메일이나 개인 클라우드로 회사 파일을 옮기지 않게 합니다. 긴급 업무는 사고 담당자가 승인한 깨끗한 장비와 별도 연락수단으로 처리하고, 고객에게 전달할 설명은 한 명의 창구에서 정합니다.
‘파일 오류가 보이는 PC는 케이블과 와이파이를 분리하고 더 조작하지 마세요. USB와 백업을 연결하지 말고 장비 위치와 화면 사진만 사고 담당자에게 보내주세요.’
6. 어디까지 연결돼 있었는지 시스템 지도를 만듭니다
장비와 서버
감염 의심 PC가 접근할 수 있었던 파일서버, NAS, 원격데스크톱, 회계프로그램, 생산장비를 적습니다. 관리자 권한으로 사용했는지도 확인합니다.
계정과 외부접속
이메일, VPN, 원격지원, 클라우드, 협력업체 계정의 최근 접속을 확인합니다. 비밀번호 변경은 깨끗한 장비에서 전문가 지시에 따라 진행합니다.
백업과 동기화
온라인 백업, 오프라인 백업, 스냅샷의 시점과 연결 상태를 구분합니다. 자동 동기화가 암호화된 파일까지 복제했는지 확인하기 전에는 복구를 시작하지 않습니다.
7. 업무 재개는 우선순위와 안전 확인을 거쳐 단계적으로 합니다
모든 시스템을 한 번에 살리기보다 급여, 주문, 생산, 고객지원처럼 멈췄을 때 영향이 큰 업무를 순서대로 정합니다. 각 업무에 필요한 데이터와 계정을 확인하고 깨끗한 환경에서 복원 테스트를 거칩니다.
파일이 열리는 것만으로 복구 완료라고 하지 않습니다. 악성코드 제거, 취약점 패치, 관리자 계정 교체, 다중인증, 접근권한 축소, 로그 확인이 끝났는지 기술 담당자가 승인해야 합니다.
- 침입 경로와 확산 범위 확인
- 깨끗한 복구본 검증
- 계정·비밀번호·권한 정리
- 패치와 보안설정 적용
- 업무 담당자의 기능 테스트
- 재감염 감시와 백업 재개
8. 랜섬웨어 초기 대응에서 자주 묻는 질문
PC 전원을 바로 꺼야 하나요?
시스템과 증거보존 상황에 따라 판단이 달라질 수 있습니다. 우선 네트워크를 분리하고 전원 조치는 KISA 118 또는 보안 전문가의 지시를 받습니다.
백업이 있으면 바로 연결해도 되나요?
감염 범위와 침입 경로를 확인하기 전 연결하면 백업도 영향을 받을 수 있습니다. 백업을 분리한 채 깨끗한 환경에서 검증합니다.
인터넷의 무료 복구도구를 실행해도 되나요?
랜섬웨어 유형이 맞는지와 원본 보존 여부를 먼저 확인해야 합니다. KISA가 안내하는 공식 도구도 전문가와 복사본에서 검토하는 편이 안전합니다.
고객에게 즉시 알려야 하나요?
개인정보 유출 가능성, 서비스 중단, 계약상 통지의무에 따라 대응이 달라집니다. 사실을 확인하고 개인정보·법률 담당자와 통지 기준을 검토합니다.
9. 복구 완료는 파일이 열리는 순간이 아닙니다
침입 경로를 막고 계정과 접근권한을 정리한 뒤 복구본의 무결성을 확인해야 합니다. 이후 패치, 다중인증, 백업 분리, 복원 훈련, 직원 피싱 교육을 조치 목록에 넣고 완료 여부를 다시 확인합니다.
랜섬웨어가 의심되면 더 열어보지 말고 네트워크를 분리한 뒤 기록과 전문 신고창구를 통해 대응합니다.
공식 자료와 확인 기준일
공식 자료 확인일: 2026-07-15
댓글
댓글 쓰기