[최우현의 IT 칼럼] 랜섬웨어, 몸값을 내야 하나

최우현 칼럼니스트 발행일 2026-10-14 07:43:04


▲최우현 ProveLabs 대표(서울대 객원교수)

이런 전화를 받은 적이 있다. 아는 제조업체의 서버가 전부 암호화됐고, 화면에는 비트코인을 보내라는 안내문이 떠 있다고 했다. 대표가 묻는다. "내야 합니까?" 교과서의 답은 정해져 있다. 내지 마라. 범죄 조직에 자금을 대는 일이고, 낸다고 복구가 보장되지도 않으며, 돈을 낸 회사라는 소문은 다음 공격자를 부른다. 다 맞는 말이다. 다만 그렇게 말하는 사람들은 지금 공장이 멈춘 당사자가 아니다.


당한 쪽의 셈법은 다르다. 백업은 없거나 같이 암호화됐고, 생산 라인이 멈춘 하루 손실이 몸값보다 크고, 거래처 납기는 다가온다. 이 상황에서 원칙론은 조언이 아니라 사치다. 실제로 적지 않은 기업이 조용히 낸다. 협상을 대신해주는 업체가 있고, 몸값을 보장 범위에 넣은 사이버 보험이 있다. 지불이 하나의 산업이 된 지 오래다.

그래서 내면 해결되나. 그것도 아니다. 복호화 키를 받아도 데이터가 온전히 돌아오지 않는 경우가 흔하고, 요즘 공격자들은 암호화 전에 데이터를 빼돌려놓고 "안 내면 공개하겠다"고 이중으로 조른다. 몸값을 내도 유출 협박은 남고, 한번 낸 회사가 다시 표적이 되는 경향도 보고된다. 돈으로 산 것은 해결이 아니라 시간이고, 그 시간도 온전하다는 보장이 없다.

결국 "내야 하나"는 답이 없는 질문이 아니라 묻는 시점이 틀린 질문이다. 사고 당일에 이걸 묻고 있다면 선택지는 이미 나쁜 것 둘뿐이다. 진짜 질문은 평시에 던져야 한다. 우리 회사는 몸값 요구를 받았을 때 "복구하면 되니 됐습니다"라고 말할 수 있는 회사인가.

그 대답을 만드는 게 백업이다. 단, 조건이 있다. 요즘 랜섬웨어는 본 서버보다 백업 서버를 먼저 찾아가 지운다. 네트워크에 상시 연결된 백업은 공격자 입장에서 암호화할 파일이 하나 더 있는 것에 불과하다. 백업은 세 벌을 두고, 두 가지 다른 매체에 나누고, 한 벌은 망에서 떼어 보관한다. 오래된 3-2-1 원칙이 랜섬웨어 시대에 다시 생명줄이 됐다. 하나 더, 복구를 해본 적 없는 백업은 백업이 아니다. 막상 돌려보니 반년 전 것이더라는 이야기가 현장에는 흔하다. 분기에 한 번, 진짜로 복구해보는 훈련까지가 백업이다.

전화를 걸어온 그 대표에게 돌아갈 답은 결국 이거였다. 지금은 어떤 선택을 해도 손해를 보는 단계고, 덜 나쁜 쪽을 고르는 일만 남았다고. 그 말을 하면서 생각했다. 이 통화는 몇 달 전, 백업 예산을 깎던 회의실에서 이미 결정돼 있었다고. "몸값을 낼지 말지는 사고 당일 정하는 게 아니다. 백업을 설계하던 날 이미 정해져 있다."

* 본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.

댓글

(0)
※ 댓글 작성시 상대방에 대한 배려와 책임을 담아 깨끗한 댓글 환경에 동참에 주세요. 0 / 300

함께 보면 좋은 기사