갑자기 문서와 사진이 열리지 않거나, 파일 이름 뒤에 낯선 확장자가 붙고 돈을 요구하는 안내문이 나타났다면 랜섬웨어 감염을 의심해야 합니다.

이때는 복구 프로그램부터 설치하기보다 다른 파일과 저장장치로 피해가 번지지 않도록 조치하는 것이 우선입니다.

한국인터넷진흥원(KISA)의 랜섬웨어 대응 가이드라인과 경찰청 신고 안내를 바탕으로, 감염이 의심될 때 실행할 초기 대응과 국내 상담 경로를 정리했습니다.

1. 랜선을 뽑고 Wi-Fi 연결을 해제하세요

가장 먼저 감염이 의심되는 컴퓨터를 네트워크에서 분리합니다.

유선 연결은 랜선을 뽑고, 무선 연결은 Wi-Fi를 꺼야 합니다. 휴대전화 테더링을 사용 중이라면 해당 연결도 해제합니다.

브라우저를 닫는 것만으로는 연결이 끊기지 않습니다. 사무실 내부망이나 공유폴더에 접근할 수 있는 연결까지 차단해야 합니다.

회사 컴퓨터라면 즉시 전산 담당자에게 알리고, 다른 직원이 해당 공유폴더나 감염 의심 기기를 사용하지 않도록 안내하세요.

인터넷 연결 차단은 이미 암호화된 파일을 복구하는 조치가 아니라, 추가 피해와 확산을 줄이기 위한 첫 단계입니다.

2. 외장하드와 USB 저장장치를 분리하세요

랜섬웨어는 컴퓨터 내부 파일뿐 아니라 연결된 외장하드와 USB, 접근 가능한 공유폴더의 파일도 암호화할 수 있습니다.

연결된 저장장치를 분리하고, 정상 백업이 담긴 외장하드를 새로 연결하지 마세요. NAS를 사용하는 사업장은 담당자가 네트워크 연결과 피해 범위를 함께 점검해야 합니다.

예를 들어 중요한 문서를 살리겠다는 생각으로 백업용 외장하드를 연결하면, 보관 중이던 정상 자료까지 위험해질 수 있습니다.

감염이 의심되는 동안에는 정상 백업 장치를 분리된 상태로 보관하는 것이 중요합니다.

3. 전원을 임의로 끄거나 재부팅하지 마세요

KISA 가이드라인은 복구에 필요한 정보 확보 등을 위해 PC 전원을 유지하도록 안내합니다. 일부 감염에서는 종료 후 다시 부팅하지 못하는 문제가 생길 수 있습니다.

네트워크를 차단한 뒤 작업을 멈추고, 전원 처리와 후속 대응은 118 또는 보안 담당자의 안내를 받으세요. 이미 꺼진 컴퓨터는 확인을 위해 반복해서 켜지 마세요.

전원 유지는 계속 작업해도 된다는 뜻이 아닙니다. 네트워크 차단만으로 내부의 암호화 작업까지 반드시 멈추는 것도 아니므로 신속한 상담이 필요합니다.

공식 자료: KISA 랜섬웨어 대응 가이드(2023년 개정본)
https://www.krcert.or.kr/kr/bbs/view.do?bbsId=B0000127&menuNo=205021&nttId=71162

4. 국내에서는 118로 초기 대응을 상담할 수 있습니다

어떻게 조치해야 할지 판단하기 어렵다면 한국인터넷진흥원 118 상담센터에 연락하세요.

국내에서 국번 없이 118로 전화하면 되며, 해킹·바이러스 긴급상담은 365일 24시간 운영됩니다. 전화 연결 후 현재 음성 안내에 따라 상담 항목을 선택하면 됩니다.

상담을 받을 때는 다음 내용을 정리해 설명하면 좋습니다.

• 개인용 컴퓨터인지 회사 업무용 컴퓨터인지
• 처음 증상을 발견한 시간
• 파일이 열리지 않는지, 확장자가 바뀌었는지
• 금전을 요구하는 화면이 나타났는지
• 외장하드나 NAS를 연결해 사용했는지
• 랜선 분리 등 이미 수행한 조치

예를 들어 “오늘 오전 문서 파일이 열리지 않고 확장자가 바뀌었습니다. 랜선과 외장하드는 분리했고 컴퓨터는 켜져 있습니다”처럼 현재 상태를 구체적으로 전달하세요.

118 상담은 대응 방향을 안내받는 창구이며, 모든 파일의 복구를 보장하는 서비스는 아닙니다.

공식 자료: KISA 118 상담 서비스
https://www.kisa.kr/118

5. 기술 대응 신고와 경찰 수사 신고를 구분하세요

랜섬웨어 피해를 신고할 때는 목적에 맞는 창구를 이용해야 합니다.

한국인터넷진흥원 보호나라에서는 랜섬웨어를 포함한 침해사고 신고를 접수합니다. 보호나라의 ‘침해사고 신고’ 메뉴에서 안내를 확인할 수 있습니다.

공격자에 대한 수사를 원한다면 경찰청 사이버범죄 신고시스템(ECRM)을 이용하거나 경찰서를 방문해 신고할 수 있습니다.

온라인으로 내용을 작성한 뒤에도 경찰서 방문과 진술이 필요할 수 있으므로, ECRM에 표시되는 접수 절차를 확인하세요.

구분	이용 경로
해킹·랜섬웨어 대응 상담	국번 없이 118
경찰 민원 상담	국번 없이 182
긴급한 범죄 신고	112
사이버범죄 온라인 신고	경찰청 ECRM

감염된 컴퓨터를 인터넷에 다시 연결해 신고하기보다 정상적인 다른 기기에서 접속하는 것이 좋습니다.

공식 자료: KISA 해킹 사고 상담·신고 안내
https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000131&menuNo=205056&nttId=70224&pageIndex=1

공식 자료: 경찰청 사이버범죄 신고시스템
https://ecrm.police.go.kr/minwon/main

6. 신고에 필요한 화면과 피해 기록을 남기세요

신고 내용을 설명할 수 있도록 금전 요구 화면과 변경된 파일 이름 등을 기록해두세요. 간단한 방법은 휴대전화로 현재 화면을 촬영하는 것입니다.

공격자가 보낸 이메일, 연락 내용, 송금 요구 주소 등이 있다면 원본을 보존하세요. 이미 송금했다면 거래 내역도 준비해야 합니다.

다만 기록을 모으느라 네트워크 차단을 늦추거나, 의심스러운 첨부파일을 다시 실행해서는 안 됩니다.

회사 자료에는 고객 개인정보나 영업정보가 포함될 수 있으므로, 감염 확인을 위해 파일을 공개 게시판이나 출처 불명의 분석 사이트에 올리는 것도 피하세요.

경찰 신고 시 필요한 증빙자료와 제출 방법은 접수 화면 또는 담당자의 안내를 따르는 것이 좋습니다.

공식 자료: 경찰청 사이버범죄 신고 절차
https://ecrm.police.go.kr/minwon/crs/quick/process

7. 무료 복구 도구가 있는지 KISA에서 확인하세요

랜섬웨어에 감염됐다고 모든 파일을 반드시 복구할 수 있는 것은 아닙니다. 반대로 일부 유형은 공개된 복구 도구를 활용할 수 있습니다.

KISA 암호이용활성화 홈페이지에서는 랜섬웨어 이름이나 파일 확장자를 이용해 복구 도구의 존재 여부를 확인하도록 안내합니다.

확인 순서는 다음과 같습니다.

1. 안전한 다른 기기에서 KISA 암호이용활성화 홈페이지에 접속합니다.
2. ‘암호 역기능 대응’ 메뉴를 선택합니다.
3. ‘복구도구 검색’에서 랜섬웨어 이름 또는 확장자를 검색합니다.
4. 도구의 적용 대상과 사용 조건을 확인합니다.

확장자가 비슷하다는 이유만으로 아무 도구나 실행해서는 안 됩니다. 정확한 감염 유형과 적용 가능 여부를 확인해야 합니다.

복구 도구가 없다고 암호화된 파일을 바로 삭제할 필요는 없습니다. 향후 복구 가능성에 대비해 어떤 방식으로 보존할지 상담받으세요. 이 과정에서도 정상 백업 장치를 감염 기기에 연결하지 않도록 주의해야 합니다.

공식 자료: KISA 암호이용활성화 FAQ
https://seed.kisa.or.kr/kisa/bbs/faq.do

8. 돈을 보내면 복구된다는 약속을 믿지 마세요

KISA는 공격자가 요구하는 비용을 지급해도 복구가 보장되지 않는다고 설명합니다.

복호화 프로그램을 받는다는 약속만 믿고 송금하기보다, 공식기관에 피해를 알리고 가능한 대응 방법을 확인해야 합니다.

악성코드를 제거하는 작업과 암호화된 파일을 복구하는 작업은 서로 다릅니다. 백신 검사로 위협이 제거됐다는 결과가 나와도 문서와 사진이 자동으로 원래 상태로 돌아오는 것은 아닙니다.

사업장은 파일 복구뿐 아니라 감염 경로와 재발 방지 대책도 점검해야 합니다. KISA는 백업·재해 복구 계획을 마련하고 정기적으로 훈련하는 것이 중요하다고 강조합니다.

공식 자료: KISA 랜섬웨어 대응 가이드라인 개정 안내
https://www.kisa.or.kr/402/form?lang_type=KO&postSeq=2299

자주 묻는 질문

Q. 컴퓨터가 느려지면 랜섬웨어에 감염된 것인가요?

느려졌다는 증상만으로 감염을 확정할 수는 없습니다. 파일이 대량으로 열리지 않거나 확장자가 바뀌고 금전 요구문이 나타나는 등 다른 증상이 있는지 함께 확인해야 합니다.

Q. 인터넷을 끊었으니 다시 사용해도 되나요?

아닙니다. 연결 차단은 확산을 줄이기 위한 조치입니다. 감염 의심 기기의 사용을 중단하고 점검을 받아야 합니다.

Q. 118에 연락하면 경찰 신고까지 완료되나요?

기술 대응 상담과 범죄 수사 신고는 별개입니다. 공격자에 대한 수사를 원한다면 경찰청 ECRM이나 경찰서에서 신고 절차를 진행해야 합니다.

Q. 파일 확장자를 원래대로 바꾸면 복구되나요?

암호화된 파일은 이름만 바꾼다고 내용이 복원되지 않습니다. 일괄 변경이나 삭제를 하기 전에 감염 유형과 복구 가능성을 확인하세요.

랜섬웨어 초기 대응 확인 목록

• 랜선과 Wi-Fi 등 네트워크 연결 차단
• 외장하드·USB 분리, 정상 백업 장치 추가 연결 금지
• 임의 종료·재부팅을 피하고 118 또는 보안 담당자에게 연락
• 금전 요구 화면과 발견 시간 기록
• KISA 침해사고 신고와 경찰 수사 신고 경로 확인
• 공식 복구 도구의 적용 가능 여부 확인
• 포맷·파일 삭제 등 되돌리기 어려운 작업은 상담 후 결정

이 글은 KISA의 2023년 개정 랜섬웨어 대응 가이드와 국내 기관의 상담·신고 안내를 바탕으로 작성했습니다. 실제 감염 상태와 회사의 시스템 구성에 따라 조치가 달라질 수 있으므로, 초기 격리 후에는 담당자의 안내에 따라 대응하세요.