서버 파일들이 낯선 확장자로 바뀌어 있고 폴더마다 안내문이 놓여 있다면 랜섬웨어입니다. 이때 몇 분 안에 내리는 판단이 복구 가능 여부를 가릅니다. 그런데 급한 마음에 하는 행동들이 오히려 복구를 어렵게 만드는 경우가 많아요.
먼저 네트워크에서 분리하세요
랜섬웨어는 감염된 서버에 머물지 않고 연결된 다른 장비로 번집니다. 특히 공유 폴더나 백업 서버로 퍼지면 피해가 걷잡을 수 없어져요. 그래서 첫 조치는 해당 서버를 네트워크에서 끊는 것입니다.
다만 전원을 내리는 건 신중해야 합니다. 메모리에만 남아 있는 흔적이 있고, 경우에 따라 복호화에 필요한 정보가 거기 있을 수도 있어요. 네트워크 케이블을 뽑거나 방화벽에서 차단하는 방식으로 격리하되, 서버는 켜둔 채로 두는 편이 낫습니다.
그리고 암호화된 파일을 지우지 마세요. 나중에 복호화 도구가 나오는 경우가 있는데, 파일을 지워버리면 그 가능성마저 사라집니다. 용량이 부담되면 다른 저장소로 옮겨두는 게 좋습니다.
돈을 보내도 돌아온다는 보장이 없습니다
가장 흔한 유혹입니다. 하지만 돈을 보내도 복호화 키를 받지 못하는 사례가 적지 않고, 받아도 일부 파일만 풀리는 경우가 있어요. 지불 이력이 남으면 같은 조직의 재공격 대상이 되기도 합니다.
대신 한국인터넷진흥원(KISA) 인터넷침해대응센터(국번없이 118)에 신고하고 상담받으시길 권합니다. 알려진 랜섬웨어라면 공개된 복호화 도구가 있을 수 있고, 대응 절차도 안내받을 수 있습니다.
결국 백업이 답입니다
현실적으로 확실한 복구 수단은 백업뿐입니다. 문제는 랜섬웨어가 백업부터 노린다는 점이에요. 서버에 마운트된 백업 스토리지나 같은 자격증명으로 접근되는 저장소는 함께 암호화됩니다.
그래서 서버에서 접근할 수 없는 백업이 하나는 있어야 합니다. 서버가 백업 저장소에 쓰기만 할 수 있고 지우거나 덮어쓸 수는 없게 하거나, 아예 분리된 자격증명으로 관리하는 방식이에요. 이 한 겹이 있느냐가 복구와 폐업을 가릅니다.
복구할 때는 백업을 되살리기 전에 침입 경로부터 막아야 합니다. 원인을 그대로 둔 채 복구하면 며칠 만에 같은 일이 반복됩니다.
들어오는 길은 몇 개 안 됩니다
감염 경로는 대부분 정해져 있습니다. 인터넷에 노출된 원격 접속 통로, 패치하지 않은 취약점, 그리고 첨부파일이나 링크를 통한 유입이에요. 앞선 글에서 다룬 원격 접속 제한과 정기 패치가 그대로 예방책이 됩니다.
여기에 계정 권한을 최소로 주는 것도 중요합니다. 관리자 권한으로 실행되면 서버 전체가 암호화되지만, 제한된 권한이면 피해 범위가 그만큼 좁아집니다. 그리고 같은 비밀번호를 여러 서버에 돌려쓰지 마세요. 하나가 뚫리면 전부 뚫립니다.
TIDC는 서버관리 서비스에서 접속 통제와 정기 패치, 분리 보관 백업까지 함께 운영합니다. 지금 구성으로 충분한지 점검이 필요하시면 편하게 문의해주세요.
