랜섬웨어 피해를 줄이려면 감염을 차단하는 사전 방어 체계를 갖추는 것이 무엇보다 중요하다. 사고 발생했다면 신고해 복구 가능성을 빠르게 확인해야 한다. 전문화한 랜섬웨어가 암호화한 파일은 되살리기 어려운 경우가 많기 때문이다. 또 복구에 성공하더라도 침입 경로와 취약점을 제거해야 추가 공격을 막을 수 있다.
한국인터넷진흥원(KISA)은 랜섬웨어 신고가 접수되면 악성코드의 암호화 방식과 복구 가능성을 분석한다. 암호화 과정에서 기술적 결함이 발견되면 이를 이용해 별도의 복구도구를 제작한다.
실제 KISA 랜섬웨어대응팀은 랜섬웨어 변종의 암호학적 결함을 찾아 중소기업 두 곳의 파일을 전부 복구하기도 했다.
KISA 관계자는 “랜섬웨어의 암호학적 취약성이 발견되면 해커의 마스터키 없이도 암호화된 파일을 복구할 수 있다”며 “랜섬웨어대응팀은 AI를 활용해 해커보다 더 빠른 분석 및 신속한 복구 지원을 할 수 있도록 노력하고 있다”고 말했다.
다만 모든 랜섬웨어를 복구할 수 있는 것은 아니다. AES나 RSA 같은 현대 암호기술은 정상적으로 구현되면 가능한 암호키를 하나씩 대입해 찾는 데 슈퍼컴퓨터로도 수만 년 이상이 걸릴 만큼 강력하기 때문이다.
김소정 체크멀 대표는 “공격자의 실수로 인한 특수한 경우를 제외하면 감염된 파일을 되살리기는 사실상 어렵다”며 “사후 복구에 기대기보다 암호화를 사전에 차단하는 것이 중요하다”고 말했다.
안티랜섬웨어가 필요한 건 안티바이러스의 한계 때문이다. 안티바이러스는 이미 확인된 악성코드의 특징을 일종의 '지문'처럼 저장해 두고, 새로 들어온 파일과 비교해 차단한다. 기존에 알려진 공격에는 효과적이지만 처음 등장한 신종·변종 랜섬웨어는 탐지하지 못할 수 있다.
안티랜섬웨어는 파일 자체보다 컴퓨터 안에서 벌어지는 행동을 살핀다. 문서, 사진, 설계도면이 갑자기 암호화되거나 변조되는지를 실시간으로 감시하는 방식이다. 공격 파일이 기존에 알려지지 않았더라도 랜섬웨어 목적이 기업의 파일 암호화라는 점에 대응하는 것이다.
홍승균 에브리존 대표는 “랜섬웨어의 종류와 침투 경로는 계속 달라지지만 마지막에는 반드시 파일을 암호화한다”며 “안티바이러스가 알려진 악성코드를 찾는다면 안티랜섬웨어는 실제 암호화 행위를 찾아 차단하는 역할을 한다”고 설명했다.
안티바이러스가 악성파일의 유입을 막는 1차 방어선이라면, 안티랜섬웨어는 공격이 탐지를 피해 실행됐을 때 파일 암호화를 막는 추가 방어선이라는 것이다.
전문가들은 보안 전담 인력이 부족한 중소기업일수록 두 체계를 함께 갖춰야 피해를 줄일 수 있다고 조언했다.
사고가 발생한 뒤에는 파일을 되살리는 것만으로 대응을 끝내선 안 된다. 지난해 예스24가 두 차례 랜섬웨어 사고를 겪은 것처럼, 침입 경로나 취약점이 남아 있으면 같은 기업이 다시 공격받을 수 있다.
홍 대표는 “안티랜섬웨어는 백신처럼 기본적으로 갖춰야 할 보안 솔루션”이라며 “파일 복구에 그치지 않고 침입 경로와 취약점을 제거하고 지속적인 행위 탐지로 재발을 막아야 한다”고 말했다.
박진형 기자 jin@etnews.com
