보안이슈#5. 랜섬웨어 3.0과 사이버 회복탄력성

최근 보안뉴스가 [2026 안티랜섬웨어 솔루션 리포트]를 공개했다.
랜섬웨어의 진화 양상과 그에 맞선 방어 솔루션의 흐름을 정리한 기획 기사로, 랜섬웨어의 진화와 공격/방어 패러다임의 변화에 대해 다루고 있다.

[2026 안티랜섬웨어 솔루션 리포트] “복호화 시대는 끝?” 랜섬웨어 3.0세대, 대응도 달라져야 한

 
공격자는 이제 데이터를 훔치고, 백업을 무력화하고, 협상 테이블에서 우위를 점하기 위해 기업의 운영 지속성 자체를 겨냥한다.
그 결과 방어 담론의 축도 '탐지·차단'에서 '자기보호'와 '사이버 회복탄력성'으로 점차 이동하고 있다.
 

1. 랜섬웨어의 본질이 바뀌었다

1️⃣ 단일 암호화에서 다중 갈취로

가장 큰 변화는 갈취 구조가 다층화되었다는 것이다.
과거 랜섬웨어 공격이 '암호화 → 몸값 요구'로 끝났다면, 지금은 시스템을 암호화하기 전에 데이터를 먼저 탈취해 이를 공개하겠다고 협박하는 이중 갈취(Double Extortion)가 기본이 됐다.
시스템을 복구하더라도 유출된 데이터 때문에 별개의 피해가 발생하기 때문에, 피해 기업은 협상에서 이중의 압박을 받는다.
여기에 피해 기업의 협력사와 고객까지 압박 대상에 포함하는 삼중 갈취(Triple Extortion)까지 등장했다.
공격의 사정거리가 피해 기업 하나를 넘어 그 기업이 속한 공급망 전체로 확장된 것이다.
 

2️⃣ AI와 RaaS가 진입장벽을 낮췄다

이러한 정교화가 가능해진 배경에는 두 가지가 있다.
하나는 서비스형 랜섬웨어(RaaS, Ransomware-as-a-Service)의 확산이다.
악성코드 제작자와 초기 침투 전문 브로커, 자금 세탁 담당까지 역할을 철저히 분업하는 산업 생태계가 형성되면서, 랜섬웨어 공격은 더 이상 혼자 수행하는 일이 아니게 됐다.
 
다른 하나는 생성형 AI다.
준비된 공격을 자동화하고, 공격의 효율성과 파괴력을 극대화하는 도구로 AI가 쓰인다.
그 결과 비숙련 공격자도 정교한 공격에 가담할 수 있는 환경이 만들어졌다.
 

2. 공격 목표의 이동 — '복구 능력' 자체를 노린다

주목할 지점은 공격의 타겟이 데이터에서 복구 체계로 옮겨 갔다는 사실이다.
복구 체계를 무력화해야 공격자가 협상 국면에서 더욱 우위를 점할 수 있기 때문이다.
공격자는 네트워크에 침투한 뒤 백업 서버나 네트워크 결합 스토리지(NAS 등)를 탐색해 우선적으로 무력화한다.
즉 공격은 단순 금전 갈취를 넘어 기업이 스스로 정상 상태로 되돌아갈 수 있는 능력 자체를 겨냥하는 방향으로 진화했다. 이것이 방어 담론의 무게중심이 '예방'에서 '회복'으로 이동한 직접적 원인이다.
 

3. 방어 패러다임의 변화

랜섬웨어 대응 논의는 공격의 진화 단계를 세 국면으로 구분한다.

 
1.0 단계는 앞서 언급한 AIDS 트로이목마처럼 단순 암호화와 일회성 몸값 요구에 그쳤던 초기 형태다.
 
2.0 단계는 현재의 주류 방식이다.
데이터 탈취, 이중 갈취, RaaS 생태계를 기반으로 한 양적 심화 국면이다.
대부분의 AI 기반 공격은 아직 이 단계에 속한다. AI가 새로운 공격 방식을 창안하기보다 이미 준비된 공격을 자동화하고 가속하는 데 쓰이기 때문이다.
 
3.0 단계는 생성형 AI와 대규모 언어모델(LLM)이 대상 환경을 스스로 분석하고 공격을 지능적으로 수행하는 국면이다.
아직 초기 단계지만, 경량 LLM(sLLM)이 발전하고 모델 경량화 속도가 빨라지면 특정 환경에 최적화된 지능형 공격이 본격화할 수 있다는 전망이 나온다.
 

4. 새로운 방어 패러다임

공격이 이렇게 진화하면서 방어 담론도 자기보호와 사이버 회복탄력성 중심으로 이동하고 있다.

1️⃣ 보안 솔루션의 자기보호

최근 공격은 보안 솔루션 자체를 겨냥하는 경향이 뚜렷하다.
대표적인 것이 BYOVD(Bring Your Own Vulnerable Driver) 공격이다.
정상 서명된 취약한 드라이버를 시스템에 반입한 뒤, 그 취약점을 통해 커널 권한을 획득하고 백신·EDR을 무력화하는 방식이다.
이미 알려진 악성코드를 탐지하고 차단하는 전통적 방식만으로는 이런 공격에 효과적으로 대응하기 어렵다.
그래서 보안 솔루션이 스스로를 보호하는 자기보호(Self-Defense) 능력이 필수 요건으로 떠올랐다.
커널 수준 보호, 자기 프로세스 무결성 검증, 무력화 시도 자체에 대한 탐지 같은 기능이 예다.

2️⃣ 사이버 회복탄력성

두 번째 키워드는 사이버 회복탄력성(Cyber Resilience)이다.
초기 침투를 완벽히 막는 것은 불가능하다는 전제에서 출발한다. 침해가 발생하더라도 피해를 최소화하고 신속히 정상 복구해 비즈니스 연속성을 확보하는 능력을 가리킨다.
방어 관점이 단발성 '탐지·차단'에서 탐지 → 차단 → 대응 → 복구로 이어지는 연속된 다층 방어 체계로 전환되는 것이 이 개념의 핵심이다.

 
KISA는 이 흐름을 침투 → 탐지 → 대응 → 복구 → 예방의 5단계 방어전략으로 제시하고 있다.
어느 한 단계가 뚫리더라도 다음 단계가 이를 저지하도록 방어를 연속적으로 배치하고, 침해가 발생하면 신속히 정상 상태로 되돌리는 것이 목표다.
 

5. 결론 - 방어 지표도 바뀐다

이제 랜섬웨어는 데이터 탈취와 백업 파괴, 공급망 압박으로 확장된 다층 위협이 됐다.
RaaS와 생성형 AI가 진입장벽을 허물면서 공격의 정교함과 규모가 함께 커졌고, 타겟은 데이터에서 기업의 복구 능력 자체로 옮겨 갔다.
이제 방어의 성패를 재는 지표도 바뀌고 있다. 
'얼마나 잘 막았는가'만으로는 부족하며, 침해를 전제로 두고, 피해를 인지하고 얼마나 신속하게 정상 서비스를 회복해 비즈니스 연속성을 지켜내는가가 새로운 평가 축이 된다.
방어가 단순 차단을 넘어 '회복탄력성'으로 전환되는 국면에 있는 것이다.