핵심 POINT
랜섬웨어는 단순 암호화에서 이중 협박을 거쳐, 최근에는 AI가 공격의 여러 단계를 자동화·자율화하는 이른바 '3세대' 위협으로 확장되고 있습니다.
랜섬웨어 피해를 줄이려면 사전 예방과 사후 대응을 아우르는 '전주기 대응 전략'이 필요합니다. 모의해킹과 훈련으로 사전 점검하고, 침해 발생 시 신속히 복구하는 '사이버 복원력(Cyber Resilience)' 체계를 구축하는 것이 핵심입니다.
AI 기반 공격에 대응하려면 '제로 트러스트' 원칙과 AI 기반 탐지·대응 체계, 그리고 사람 중심의 검증 절차를 함께 갖춰야 합니다.
랜섬웨어 공격은 갈수록 정교해지고 있습니다. 파일을 암호화해 몸값을 요구하던 초기 방식은 데이터 유출 협박을 더한 이중 협박으로 발전했습니다. 최근에는 AI 에이전트가 정찰, 내부 이동, 데이터 암호화 등 공격의 여러 단계를 자율적으로 수행하는 사례까지 등장하고 있습니다.
변화의 배경에는 생성형 AI의 발전이 있습니다. 공격자는 AI를 활용해 정찰부터 침투, 데이터 탈취까지 걸리는 시간을 크게 줄이고 있습니다. 기술 수준이 낮은 공격자도 AI 도구를 활용해 더 정교한 공격을 수행할 수 있게 됐습니다.
공격 방식이 진화할수록 기업 역시 '침해를 막는 것'에만 초점을 맞추기 어렵습니다. 공격을 빠르게 발견하고, 피해 확산을 억제하고, 업무를 복구하는 역량까지 함께 갖춰야 합니다. 이번 글에서는 랜섬웨어가 세대를 거치며 어떻게 진화해 왔는지, AI와 결합한 랜섬웨어의 특징은 무엇인지, 기업은 어떤 대응 전략을 갖춰야 하는지 살펴봅니다.
■ 랜섬웨어는 어떻게 진화해 왔나
출처 : Magnific
1) 1세대: 단순 암호화와 몸값 요구
초기 랜섬웨어는 이메일 첨부파일이나 악성 링크 등을 통해 유입됐으며, 이후 파일을 암호화하고 몸값을 요구하는 방식이 대표적이었습니다. 이 시기는 데이터 유출 협박이 일반화되기 전이어서, 안전한 데이터 백업을 확보하고 감염 시스템을 복구할 수 있다면 피해를 상대적으로 줄이기 쉬웠습니다.
2) 2세대: 이중 협박과 RaaS의 확산
2세대 랜섬웨어는 파일 암호화에 더해 탈취한 데이터를 유출하겠다고 협박하는 '이중 협박(Double Extortion)' 방식을 도입했습니다. 데이터 백업만으로는 암호화 피해에 대비할 수 있지만, 정보 유출 협박까지 막기는 어렵습니다.
이와 동시에 서비스형 랜섬웨어(RaaS) 모델이 확산됐습니다. 공격 도구를 직접 개발하지 않아도 랜섬웨어 공격에 참여할 수 있게 되면서, 공격자의 기술적 진입장벽은 낮아졌습니다.
3) 3세대: AI와 결합한 자율형 랜섬웨어
2025년에는 LLM을 활용해 파일 탐색·유출·암호화 작업을 동적으로 수행하는 AI 기반 랜섬웨어 '프롬프트락(PromptLock)'이 공개됐습니다. 실제 공격에 사용되지 않은 보안 연구 목적의 개념증명(PoC)이었지만, LLM이 공격 코드를 생성하는 데 그치지 않고 공격 과정의 여러 작업까지 수행할 수 있음을 보여준 사례였습니다.
이러한 가능성은 이듬해 실제 공격 사례로 이어졌습니다. 2026년 7월 보고된 '제이드퍼퍼(JadePuffer)'는 AI 에이전트가 정찰과 자격증명 수집, 내부 이동, 데이터 암호화 등 여러 공격 단계를 자율적으로 수행한 사례로 알려졌습니다. 다만 표적과 공격 인프라는 공격자가 사전에 준비했습니다. 완전한 무인 공격이라기보다는, 사람이 준비한 환경 안에서 AI가 기술적 실행을 자율화한 사례로 보는 것이 적절합니다.
AI가 랜섬웨어 공격에 결합하면서 공격 실행부터 수익화까지 자동화 범위가 넓어지고 있습니다. 주요한 변화는 다음과 같습니다.
• 자동화·자기 최적화: AI는 피해 시스템의 보안 환경과 내부망 구조를 분석하고, 상황에 맞는 공격 경로나 대상을 선택하는 데 활용될 수 있습니다. 백신·EDR·백업 솔루션 등 방어 환경을 분석해 우회 가능한 경로를 찾거나, 가치가 높은 서버와 데이터 저장소를 우선 식별하는 식으로 공격이 고도화될 수 있습니다.
• 협상 자동화: 공격 이후의 금전 요구와 협상 과정에도 AI가 활용될 수 있습니다. 피해 조직의 재무 상태, 사이버보험 가입 여부, 서비스 중단에 따른 손실이나 규제 비용 등을 분석해 몸값 수준을 산정하고, 피해자와의 협상 과정을 자동화·최적화하는 방식입니다.
• 공격 속도·확장성: AI는 정찰, 정보 분석, 공격 코드 생성처럼 사람이 반복적으로 수행하던 작업을 빠르게 자동화할 수 있습니다. 이에 따라 공격 준비와 실행에 걸리는 시간이 줄어들고, 한 공격자가 더 많은 표적을 동시에 탐색·공격할 가능성도 커지고 있습니다.
■ 자율형 AI가 바꾸는 공격의 속도와 규모
출처 : Magnific
SK쉴더스가 7월 발간한 「Agentic AI 위협」 리포트는 스스로 계획·실행·적응하는 에이전틱 AI(Agentic AI)가 사이버 공격의 속도와 규모를 크게 높이고 있다고 분석합니다. AI가 정찰, 공격 코드 생성, 내부망 확산 등 여러 공격 단계를 자동화하면서 '기계 속도(machine-speed)' 공격이 현실화되고 있다는 진단입니다.
특히 AI는 공개정보를 대량 분석해 공격 대상과 핵심 인물을 빠르게 파악할 수 있습니다. 침투 이후에는 중요 정보 선별, 내부망 확산, 공격 방식 변경까지 자동화할 수 있으며, 공격 속도가 빨라질수록 사람이 경보를 확인하고 일일이 대응을 결정하는 수동적 체계만으로는 한계가 생깁니다.
📌 SK쉴더스는 AI 기반 위협에 다음과 같은 대응 전략을 제시합니다.
1) 제로 트러스트 아키텍처 확립
모든 사용자와 기기를 지속적으로 검증하고 최소 권한 원칙을 적용해 계정 탈취와 내부 확산에 따른 피해를 최소화합니다.
2) AI 중심의 보안 운영 체계 구축
SIEM·XDR·SOAR 등을 연계해 보안 데이터를 통합 분석하고, AI 기반 탐지와 자동 대응을 통해 기계 속도의 공격에 대응합니다.
3) 인간 방화벽(Human Firewall) 강화
딥페이크와 AI 기반 사회공학 공격에 대응할 수 있도록 실전형 보안 교육을 강화하고, 중요 업무에는 별도의 확인·검증 절차를 적용합니다.
4) AI 거버넌스 및 관리 체계 구축
조직이 사용하는 AI 모델과 에이전트, 권한, 데이터를 체계적으로 관리해야 합니다. 섀도우 AI 통제와 AI 특화 사고 대응 절차도 함께 마련해야 합니다.
이러한 대응은 특정 보안 솔루션 하나를 도입하는 것만으로 완성되지 않습니다. AI 결합 랜섬웨어에 대응하려면 공격 이전의 예방부터 탐지·대응, 사고 이후의 복구까지 유기적으로 연결하는 '전주기 대응 체계'가 필요합니다.
■ 랜섬웨어 전주기 대응 전략: 예방부터 복구까지
출처 : Magnific
AI 결합 랜섬웨어에 대비하려면 예방부터 탐지·대응, 복구까지 각 단계의 보안 체계를 함께 점검해야 합니다. 기업이 우선 확인해야 할 주요 항목은 다음과 같습니다.
| 점검 항목 | 주요 확인 내용 |
|---|---|
| 모의해킹·취약점 진단 | 외부 노출 자산의 취약점과 실제 침투 가능 경로를 정기적으로 점검해 공격에 악용될 수 있는 보안 약점을 사전에 파악합니다. |
| 계정·접근권한 관리 | 다중인증(MFA)을 적용하고 최소 권한 원칙에 따라 관리자·원격접속 계정을 관리하며, 불필요한 계정과 과도한 권한을 정기 점검합니다. |
| 랜섬웨어 모의훈련 | 실제 공격 시나리오를 기반으로 조직의 대응 절차와 담당자별 의사결정 체계를 사전에 검증합니다. |
| 데이터 백업 체계 | 백업 복사본을 네트워크가 분리된 별도 환경에 보관하고, 접근 권한을 최소화하며 정기적인 복구 테스트를 통해 실제 복구 가능성과 데이터 무결성을 확인합니다. |
| 악성코드 제거 및 재감염 방지 | 랜섬웨어 감염 이후에는 악성코드 제거와 재감염 방지 조치가 함께 이뤄져야 합니다. |
| 침해사고 대응 체계 | 사고 발생 시 영향받은 시스템을 신속히 격리하고, 공격 경로와 피해 범위를 분석해 추가 확산과 재침입을 차단합니다. |
| 복호화 및 데이터 복구 | 복호화 가능 여부를 확인하고 검증된 백업을 기반으로 시스템과 데이터를 복구하며, 로그·포렌식 분석으로 재감염 가능성을 점검합니다. |
[표] 랜섬웨어 전주기 대응 점검 항목
사전 예방만으로 모든 침해를 막을 수는 없습니다. 사고 발생 시 핵심 업무에 미치는 영향을 최소화하고 신속히 정상 운영을 회복하는 '사이버 복원력(Cyber Resilience, 사이버 리질리언스)'이 중요합니다.
사이버 복원력은 사이버 공격을 완전히 막는다는 의미가 아닙니다. 공격을 예방하되, 침해가 발생했을 때도 핵심 업무를 유지하고 피해 범위를 줄이며 빠르게 복구하는 조직의 능력을 뜻합니다. 랜섬웨어 대응에서는 백업, 탐지·대응, 침해사고 분석, 복구 훈련이 모두 이 체계 안에서 연결되어야 합니다.
SK쉴더스는 취약점 진단과 모의해킹, AI 기반 보안관제, 악성코드 제거와 Top-CERT 기반 침해사고 분석·대응, MDR 등 랜섬웨어 대응의 각 단계에 필요한 보안 서비스를 제공하고 있습니다.
■ 자주 묻는 질문
Q1. AI 결합 랜섬웨어는 기존과 무엇이 다른가요?
A. 기존 랜섬웨어도 자동화된 스캐너와 익스플로잇 도구를 활용해 왔습니다. AI 결합 공격은 정찰, 침투 경로 판단, 공격 방식 수정처럼 더 복잡한 의사결정 과정까지 자동화할 수 있다는 점에서 차이가 있습니다.
Q2. 랜섬웨어에 감염됐는지 어떻게 확인할 수 있나요?
A. 파일이 갑자기 열리지 않거나 확장자가 바뀌고, 랜섬노트가 생성되거나 보안 솔루션에서 비정상적인 파일 암호화·대량 변경 행위를 탐지한다면 랜섬웨어 감염을 의심할 수 있습니다. 다만 눈에 보이는 증상만으로 감염 여부를 확정하기는 어렵습니다. 의심 징후가 확인되면 해당 시스템을 우선 네트워크에서 격리하고, 백신·EDR 경보와 프로세스 실행 이력, 파일 변경 기록, 네트워크 로그 등을 종합적으로 분석해 감염 여부와 피해 범위를 확인하는 것이 필요합니다.
Q3. 랜섬웨어에 감염되면 몸값을 내야 하나요?
A. 몸값을 지불해도 데이터 복구가 보장되지 않기 때문에 일반적으로 권장되지 않습니다. 우선 감염 시스템을 격리해 추가 확산을 차단해야 합니다. 이후 피해 범위를 파악하고, 백업 또는 복호화 가능 여부를 확인한 뒤 전문 침해사고 대응팀의 지원을 받는 것이 바람직합니다.
Q4. 랜섬웨어 감염 후 복호화가 가능한 경우도 있나요?
A. 일부 랜섬웨어는 암호화 구현상의 결함이 발견되거나 공개된 복호화 도구가 존재해 데이터를 복구할 수 있습니다. 다만 모든 랜섬웨어에 해당하는 것은 아닙니다. 임의로 복호화나 복구를 시도하기보다 랜섬웨어 유형과 피해 범위를 먼저 분석하는 것이 중요합니다.
[참고자료]
[평가와전망] 기존 공격 패턴 파괴한 'AI 결합 랜섬웨어' 등장 | 데이터넷
AI 에이전트가 전체 랜섬웨어 공격 주도... '제이드퍼퍼'(JadePuffer) 공격 포착 | 보안뉴스
