2분기 랜섬웨어 48% 급증…SK쉴더스 "기업 보안 '내부 방어'만으론 못 막는다"

[경제일보] 랜섬웨어 공격이 개별 기업을 직접 노리는 방식에서 벗어나 여러 기업이 함께 사용하는 공통 인프라를 겨냥하는 형태로 진화하고 있다. VPN과 업무 플랫폼, 관리 시스템 등 인터넷에 연결된 접점을 통해 한 곳에 침투한 뒤 여러 기업으로 피해를 확산시키는 방식이다. 올해 상반기 글로벌 랜섬웨어 피해가 4744건에 달한 가운데 기업 보안 역시 내부 시스템 방어를 넘어 외부에 노출된 자산과 계정, 공급망까지 관리해야 할 것으로 분석된다.

21일 SK쉴더스는 한국랜섬웨어대응협의체(KARA)의 '2026년 상반기 랜섬웨어 동향 보고서'를 통해 올해 상반기 전 세계 랜섬웨어 피해 건수가 4744건으로 집계됐다고 밝혔다. 특히 2분기 피해 규모는 전년 동기 대비 약 48% 증가한 것으로 나타났다.

이번 보고서에서는 랜섬웨어가 공격 규모뿐 아니라 공격 방식이 달라지고 있다는 것이 주요 내용으로 다뤄졌다. 보고서에 따르면 공격자들은 악성 코드를 직접 유포하는 방식보다 기업의 보안 취약점이나 탈취한 계정을 이용해 초기 접근 권한을 확보하는 데 집중하고 있다. VPN과 원격 접속 시스템, 업무 플랫폼, 관리 시스템 등 기업 운영에 필수적인 인프라가 주요 침투 경로로 활용되고 있는 것이다.

특히 여러 기업이 공통으로 사용하는 인프라가 공격받으면서 피해가 연쇄적으로 확산될 가능성도 커지고 있다. 하나의 기업을 공격하는 데 그치지 않고 공통으로 연결된 시스템을 통해 다수 조직을 동시에 노리는 '공통 인프라 공격'이 새로운 위협으로 떠오른 것으로 분석된다.

실제 올해 상반기에는 공통 플랫폼과 인프라를 노린 랜섬웨어 공격이 잇따랐다. 랜섬웨어 그룹 '킬린'은 VPN 취약점을 악용해 글로벌 자동차 제조사와 영국 의료 검사 서비스 기업을 공격했다. '샤이니헌터스'와 '클롭' 등도 다수 조직이 사용하는 업무 플랫폼과 관리 시스템을 겨냥한 공격을 벌인 것으로 분석됐다.
기업 입장에서는 개별 시스템의 보안만으로 대응하기 어려워질 것으로 전망된다. 외부에 공개된 자산 가운데 취약한 시스템이 하나라도 남아 있거나 계정 하나가 탈취될 경우 공격자가 내부로 침투할 수 있고, 해당 시스템이 다른 기업이나 서비스와 연결돼 있다면 피해 범위가 빠르게 확대될 수 있기 때문이다.

국내에서도 관리형 서비스 제공업체(MSP)를 통해 여러 기업을 동시에 노리는 공격 사례가 확인되면서 이러한 위험이 현실화되고 있다. 클라우드와 SaaS 등 외부 서비스를 기업 업무에 활용하는 비중이 커질수록 자사 시스템뿐 아니라 서비스를 제공하는 외부 사업자의 보안 수준까지 관리해야 한다는 것으로 풀이된다.

공격자들의 초기 침투 방식이 달라지면서 기업의 대응 방식도 변화해야 할 전망이다. 과거 랜섬웨어 대응이 악성 코드 탐지와 내부망 방어에 집중했다면 이제는 인터넷에 노출된 시스템과 계정 등 공격자가 접근할 수 있는 외부 접점을 지속적으로 관리하는 것이 중요해졌다.

SK쉴더스는 외부에 노출된 자산과 취약점을 지속적으로 확인하는 공격 표면 관리(ASM)와 함께 보안 위협을 실시간으로 탐지하고 대응하는 관리형 탐지·대응(MDR) 체계 구축이 필요하다고 강조했다. VPN과 방화벽, 서버, 원격접속 시스템 등 인터넷에 연결된 자산을 상시 점검하고 보안 패치를 신속하게 적용하는 한편 다중인증(MFA) 등을 통해 탈취 계정을 이용한 침투도 차단해야 한다는 것이다.

랜섬웨어 공격 과정에서 나타나는 권한 상승과 자격증명 탈취, 데이터 유출 시도 등 이상 징후를 조기에 파악하는 것도 중요하다. 공격이 실제 랜섬웨어 실행 단계로 넘어가기 전에 침투와 확산 과정에서 발생하는 이상 행위를 탐지하면 피해 규모를 줄일 수 있기 때문이다.

결국 랜섬웨어가 기업 한 곳의 보안 문제를 넘어 여러 조직으로 확산될 수 있는 구조로 바뀌면서 기업의 보안 관리 범위도 넓어지고 있다. 자사 내부망을 지키는 데 그치지 않고 외부에 노출된 자산과 계정, 클라우드·SaaS, MSP 등 기업을 둘러싼 연결망 전체의 보안 수준을 점검해야 할 것으로 분석된다.

김병무 SK쉴더스 사이버사업부문장 부사장은 "최근 랜섬웨어 공격은 개별 기업이 아닌 다수 조직이 공유하는 공통 인프라를 공략하는 형태로 나타나고 있다"며 "하나의 취약점이나 계정 침해가 연쇄적인 피해로 이어질 수 있는 만큼 기업은 외부 노출 자산과 계정 관리 체계를 선제적으로 점검하고 실시간 탐지·대응 역량을 강화해 사이버 복원력을 확보해야 한다"고 말했다.