핵심 POINT
KISA는 2026년 11월 3일 Synology NAS의 저장 파일을 암호화하고 금전을 요구하는 랜섬웨어 피해가 발생하고 있다며 주의를 권고했습니다. 파일명이나 확장자가 L0CK3D, locked 같은 형태로 바뀌는 사례가 확인됐습니다.
KISA는 DSM의 세부 업데이트 번호까지 확인해 최신 버전으로 올리고, 지원이 끝난 버전이라면 전환이나 장비 교체를 검토하라고 안내했습니다. 이어서 외부 접근 제한, 계정 보호, 백업 보호를 함께 점검하도록 권고했습니다.
암호화가 의심되면 NAS의 네트워크 연결부터 끊고, 랜섬노트와 로그를 보존한 채 초기화나 재부팅을 서두르지 않는 것이 핵심입니다. 출처가 불분명한 복구 프로그램이나 복구를 장담하는 업체도 조심해야 합니다.
시놀로지 NAS 랜섬웨어, 파일이 안 열린다면? 예방 점검 4가지와 감염 대응 순서
KISA는 2026년 11월 3일 보호나라에 「Synology NAS 대상 랜섬웨어 공격 주의 권고」를 게시했습니다. 최근 Synology NAS를 노린 랜섬웨어로 저장된 파일이 암호화되는 피해가 발생하고 있어, 사용자가 보안 업데이트를 적용하고 몇 가지 보안 조치를 이행하라는 내용입니다. NAS는 팀 공유 폴더와 백업 저장소로 널리 쓰이기 때문에 한 번 암호화되면 업무 자료와 백업이 함께 막힐 수 있습니다.
이번 글에서는 KISA 공지를 중심으로 확인된 감염 징후, 영향받는 DSM 버전과 업데이트 기준, 우리 회사 NAS를 점검하는 4가지 방법, 감염이 의심될 때의 대응 순서를 정리합니다. 내용은 2026년 11월 3일 확인 기준이며, 제조사와 KISA의 공식 안내에 따라 바뀔 수 있습니다.
■ 시놀로지 NAS 랜섬웨어 공격
출처: AI(ChatGPT) 생성 이미지
KISA는 이번 공지에서 감염을 의심할 만한 징후를 두 가지로 설명했습니다. NAS에 저장된 파일이 갑자기 열리지 않거나 파일명과 확장자가 비정상적으로 바뀌는 경우, 그리고 파일 복구를 대가로 금전을 요구하는 안내문이 나타나는 경우입니다. 확장자는 L0CK3D, locked, lock3d, lock3D처럼 비슷하지만 여러 형태로 바뀐 사례가 있었다고 밝혔습니다.
피해 장비를 어떻게 뚫었는지는 공지만으로 확인되지 않습니다. KISA 공지는 별도로 게시한 Synology 보안 업데이트 권고를 적용하라고 안내하고 있으며, 악용된 취약점 번호를 이 공지에서 특정하지는 않았습니다. Synology는 구버전 DSM을 쓰는 장비를 노린 랜섬웨어 공격을 확인하고 보안 업데이트를 당부했습니다. 다만 어떤 취약점이 악용됐는지는 구체적으로 밝히지 않았다고 알려져 있습니다.
보안 업체의 분석은 조금 더 구체적입니다. 중국 보안 업체 Qihoo 360 인터넷 보안센터는 최근 공개한 분석에서 이 랜섬웨어(C3RB3R)가 오래전부터 NAS를 노려 왔고 DSM 취약점 CVE-2026-13684, CVE-2026-13639를 악용한 사례를 포함한다고 설명했습니다. 두 취약점은 모두 KISA의 Synology 보안 업데이트 권고에 포함돼 있습니다. 다만 이 연결은 보안 업체의 분석이고 KISA 공지가 확정한 내용은 아니므로, 업데이트 대상은 공지에 실린 취약점 전체로 보는 편이 안전합니다.
■ 영향받는 DSM 버전과 업데이트 기준
출처: AI(ChatGPT) 생성 이미지
KISA의 Synology 제품 보안 업데이트 권고는 DSM에서 발생한 취약점 4건(CVE-2026-13639, CVE-2026-13684, CVE-2026-13673, CVE-2026-6205)의 영향 버전과 해결 버전을 안내합니다. 4건 모두 DSM 7.2.1, 7.2.2, 7.3, 7.4 계열에 걸쳐 있고, 해결 버전은 아래와 같습니다.
| 제품 | 영향받는 버전 | 해결 버전 |
|---|---|---|
| DSM 7.2.1 | 7.2.1-69057-12 미만 | 7.2.1-69057-12 이상 |
| DSM 7.2.2 | 7.2.2-72806-9 미만 | 7.2.2-72806-9 이상 |
| DSM 7.3 | 7.3.2-86009-4 미만 | 7.3.2-86009-4 이상 |
| DSM 7.4 | 7.4-90075 미만 | 7.4-90075 이상 |
표의 버전은 KISA 보안 업데이트 권고를 옮긴 것이며, KISA는 하단 참고 사이트에서 Synology 보안 공지를 확인한 뒤 업데이트하도록 안내했습니다. 랜섬웨어 주의 권고에서는 여기에 더해 DSM의 세부 업데이트 번호까지 확인하고, 지원이 끝난 버전을 쓰고 있다면 지원되는 버전으로 전환하거나 장비 교체를 검토하라고 권고했습니다. 위 표에 없는 구버전 DSM은 공지만으로 해결 버전을 알 수 없으므로 Synology의 안내를 따로 확인해야 합니다.
■ 우리 회사 NAS를 지키는 점검 4가지
출처: AI(ChatGPT) 생성 이미지
아래 네 가지는 KISA 주의 권고의 예방 조치를 점검 순서로 풀어 쓴 것입니다. 각 항목 끝의 확인 방법 가운데 DSM 화면의 메뉴 경로처럼 공지에 없는 내용은 일반적인 방법이며, 장비 모델과 DSM 버전에 따라 다를 수 있습니다.
1. 보안 업데이트와 DSM 버전 확인
KISA는 감염 징후가 없는 장비라면 제조사 안내에 따라 해당 모델이 지원하는 최신 DSM과 설치 패키지로 업데이트하라고 권고했습니다. 일반적으로 DSM 제어판의 업데이트 및 복원 메뉴에서 현재 버전과 새 업데이트 여부를 확인할 수 있습니다. 위 표의 해결 버전과 비교해 세부 번호까지 맞는지 봐야 합니다.
2. 외부 접근 최소화
KISA는 NAS 관리 화면이 인터넷에 직접 노출되는 것을 최소화하고, 불필요한 포트포워딩, 원격접속, 서비스를 꺼 두라고 안내했습니다. 외부에서 접속해야 한다면 VPN 같은 통제된 경로를 쓰고, 방화벽으로 접속을 허용할 대상과 서비스를 제한하라고 권고했습니다. 공유기에서 NAS로 열어 둔 포트가 있는지부터 확인해 볼 수 있습니다.
3. 계정 보호
KISA는 기본 관리자 계정을 비활성화하고, 다른 서비스와 겹치지 않는 강력한 비밀번호를 쓰고, 다중인증을 설정하라고 권고했습니다. 업데이트를 하지 않은 장비에서는 계정 보호만으로 공격을 막지 못할 수 있으므로, 이 항목은 1번과 2번을 마친 뒤 함께 챙겨야 하는 조치로 보는 편이 좋습니다.
4. 백업 보호
KISA는 중요한 데이터를 NAS와 분리된 오프라인 저장장치나 변경과 삭제가 제한된 백업에 보관하고, 정기적으로 복원이 되는지 점검하라고 안내했습니다. NAS에 상시 연결된 저장장치와 동기화된 데이터는 함께 피해를 입을 수 있다고 덧붙였습니다. NAS 안의 다른 폴더나 항상 연결된 외장 디스크에 복사해 두는 것은 백업이 되지 않을 수 있다는 뜻입니다.
■ 감염이 의심될 때의 대응 순서
랜섬노트가 보이거나 파일이 암호화된 징후를 발견했다면, KISA가 제시한 순서대로 움직이는 것이 중요합니다. 서두르다 흔적을 지우면 원인 분석과 복구 가능성이 모두 줄어들 수 있습니다.
• 즉시 격리: NAS의 네트워크 연결을 차단하고 연결된 동기화와 백업 작업을 중단합니다. 백업 장치까지 암호화가 번지지 않게 막는 단계입니다.
• 현장 보존: 랜섬노트, 암호화된 파일, 시스템과 접속 로그를 보존하고 발견 시각, 장비 모델, DSM 버전, 조치 내역을 기록합니다. 임의의 초기화, 포맷, 재설치와 암호화 파일의 삭제나 덮어쓰기는 하지 않습니다.
• 불필요한 조작 자제: 전원 종료, 재부팅, 업데이트는 꼭 필요한 경우가 아니라면 피하고, KISA에 침해사고를 신고해 복구 지원과 증거 보존 안내를 받습니다.
• 복구 주의: 출처가 불분명한 복구 프로그램을 실행하지 말고, 복구를 보장하며 금전을 요구하는 사설 복구업체를 이용할 때는 특히 조심해야 합니다.
신고는 KISA 인터넷 보호나라&KrCERT 홈페이지(www.boho.or.kr)에서 침해사고 신고, 신고하기, 랜섬웨어 순서로 진행합니다. 상담이 필요하면 국번 없이 118로 문의할 수 있습니다.
NAS 한 대의 문제처럼 보여도 외부에 노출된 자산 관리, 계정 관리, 백업 체계를 함께 점검해 볼 필요가 있습니다. SK쉴더스는 취약점 진단과 모의해킹, 침해사고 대응, 보안관제 서비스를 통해 기업의 외부 노출 자산 점검과 이상 징후 모니터링, 사고 발생 시 원인 분석을 지원하고 있습니다.
■ 자주 묻는 질문
Q. 시놀로지 NAS는 모두 감염될 수 있나요?
A. KISA 공지는 Synology NAS를 대상으로 한 랜섬웨어 피해가 발생하고 있다고 안내했지만 감염 규모나 대상 모델은 밝히지 않았습니다. 최신 DSM으로 업데이트하고 외부 접근을 줄인 장비가 안전하다고 단정할 수는 없으나, KISA가 이를 핵심 예방 조치로 제시했으므로 우선 점검해야 합니다.
Q. 비밀번호를 바꾸고 2단계 인증을 켜면 충분한가요?
A. KISA는 계정 보호를 예방 조치의 하나로 권고했지만, 이것만으로 충분하다고 설명하지는 않았습니다. 보안 업데이트, 외부 접근 제한, 계정 보호, 백업 보호를 함께 이행하라는 것이 공지의 구성입니다.
Q. 파일 확장자가 바뀐 것 같은데 바로 재부팅해도 되나요?
A. KISA는 불필요한 전원 종료, 재부팅, 업데이트를 피하라고 안내했습니다. 먼저 네트워크 연결을 끊고 랜섬노트와 로그를 보존한 다음 KISA에 신고해 안내를 받는 것이 순서입니다.
Q. 돈을 내면 파일을 복구할 수 있나요?
A. KISA는 복구를 보장하며 금전을 요구하는 사설 복구업체와 출처가 불분명한 복구 프로그램을 조심하라고 안내했습니다. 금전 지불 여부는 공지에서 다루지 않았으므로, 복구 전에 KISA의 안내를 먼저 받는 것이 좋습니다.
Q. 지원이 끝난 DSM 버전을 쓰고 있다면 어떻게 하나요?
A. KISA는 지원이 끝난 버전은 지원 가능한 버전으로 전환하거나 장비 교체를 검토하라고 권고했습니다. 그동안에는 외부 접근을 막고 오프라인 백업을 확보하는 조치를 먼저 해 두는 것이 좋습니다.
[콘텐츠 출처]
KISA 보호나라, Synology NAS 대상 랜섬웨어 공격 주의 권고 (2026.11.03)
