랜섬웨어에 걸렸는지 확인하는 법 — 무료 복구 도구부터 신고까지

들어가며

파일이 안 열립니다. 확장자가 처음 보는 것으로 바뀌어 있고, 폴더마다 메모장 파일이 하나씩 놓여 있습니다.

2026년 상반기 랜섬웨어 신고는 145건으로 작년 같은 기간보다 76.8% 늘었습니다. 전체 침해사고 신고는 1,236건이었습니다.

이 글은 지금 그 상태에서 검색해 들어오신 분을 위해 씁니다. 순서만 지키면 잃는 게 줄어듭니다. 그리고 돈을 보내기 전에 확인할 것이 하나 더 있습니다.

⚠️ 위 숫자는 과학기술정보통신부·KISA가 2026년 7월 30일 발표한 것을 언론 보도로 확인한 수치입니다. 그리고 2026년 상반기 누계이지 연간치가 아닙니다.

1. 진짜 암호화인지부터 봅니다

파일이 실제로 암호화된 경우와 화면만 잠긴 경우를 세 가지 신호로 구분한 대비표

랜섬웨어에 걸리면 보통 셋이 같이 옵니다.

• 파일 확장자가 낯선 것으로 바뀝니다
• 폴더마다 랜섬노트가 생깁니다 (README, HOW_TO_DECRYPT, RECOVER 같은 이름의 txt·html)
• 파일이 아예 안 열립니다

셋 중에서는 랜섬노트가 결정적입니다. 노트 안에 랜섬웨어 이름이 적혀 있는 경우가 많고, 그게 §3에서 복구 도구를 찾는 열쇠가 되니까요.

화면만 잠긴 것과는 구분하세요. "당신의 PC가 잠겼습니다"가 통째로 떠 있는데 파일은 멀쩡한 경우가 있습니다. 암호화가 아니라 화면을 덮어쓴 것이라 난이도가 완전히 다릅니다. 그 디스크를 다른 기기에 연결해 파일이 열리면 암호화는 아닌 것이죠.

⚠️ 랜섬노트와 암호화된 파일을 지우지 마세요. 어지러워서 치우고 싶어지실 텐데, 그 둘이 복구의 재료입니다.

2. 처음 30분 — 순서가 피해 규모를 정합니다

감염 직후 네트워크 분리부터 다른 기기로 검색하기까지의 네 단계 흐름

① 네트워크부터 끊습니다. 랜선을 뽑고 와이파이를 끕니다. 랜섬웨어는 공유 폴더와 NAS, 연결된 저장소를 타고 옆으로 번집니다. 회사라면 그 PC 한 대가 아니라 같은 망에 있는 구간 전체를 봐야 합니다.

② 클라우드 동기화를 멈춥니다. 원드라이브·구글 드라이브·드롭박스가 켜져 있으면 암호화된 파일이 클라우드의 멀쩡한 파일을 덮어씁니다. ①을 했다면 이미 멈춘 상태지만, 다시 연결하기 전에 꼭 확인하세요.

③ 백업 매체를 뽑습니다. 꽂혀 있는 외장하드는 물리적으로 분리합니다.

④ 검색은 다른 기기에서 합니다. 감염된 PC로 복구법을 찾아다니지 마세요.

전원을 끄는 게 나은지는 상황에 따라 갈립니다. 확실한 건 네트워크 분리가 먼저라는 것입니다.

3. 돈을 보내기 전에 — 무료 복구 도구가 있습니다

몸값을 보내는 경로와 무료 복호화 도구를 먼저 확인하는 경로의 대비

노모어랜섬(nomoreransom.org) 을 먼저 여세요. 유로폴과 네덜란드 경찰이 함께 운영하는 프로젝트이고 한국어 페이지가 있습니다.

Crypto Sheriff 에 암호화된 파일과 랜섬노트를 올리면 어떤 랜섬웨어인지 찾아주고, 복구 프로그램이 있으면 그 자리에서 안내합니다. 무료입니다.

경찰청·중소벤처기업부·KISA가 2026년 4월 국내 중소기업 확산을 경고했던 Midnight(Endpoint) 랜섬웨어도, 지금 이 사이트에 복구 프로그램이 올라와 있습니다(32비트·64비트, Avast 제작 — 2026년 9월 9일 직접 확인).

⚠️ 사이트가 붙여둔 주의사항 그대로입니다. "복구 프로그램 실행 전에 매뉴얼을 읽어보세요. 또한 복구 후 재차 랜섬웨어에 감염되는 일이 없도록 악성코드 제거 여부를 백신 등으로 확인해야 합니다."

물론 모든 랜섬웨어에 도구가 있는 건 아닙니다. 없으면 없다고 나옵니다. 그래도 확인은 5분입니다.

돈에 대해서는 이 프로젝트의 입장이 분명합니다. 원칙적으로 지불해서는 안 되고, 지불해도 파일이 복구된다는 보장이 없다는 것입니다.

복구를 장담하는 곳에 연락하기 전에 무료 도구부터 확인하세요. 순서를 바꾸면 안 내도 될 돈을 냅니다.

4. 신고 — 개인과 사업자가 다릅니다

요즘 랜섬웨어가 암호화 전에 데이터를 먼저 빼가기 때문에 침해사고 신고와 개인정보 유출 신고가 둘 다 걸린다는 구조

개인이라면 국번없이 118. KISA 침해사고 신고 상담이고 무료입니다. 해킹·바이러스 긴급상담은 365일 24시간 돌아갑니다(ARS 2번). 온라인은 보호나라 boho.or.kr 입니다. 금전 피해가 있으면 경찰에도 신고하세요.

사업자라면 기한이 법에 정해져 있습니다.

무엇을	근거	기한
침해사고 신고	정보통신망법 제48조의3	알게 된 때부터 24시간
개인정보 유출 신고	개인정보 보호법 제34조	알게 된 때부터 72시간

두 개인 이유가 있습니다. 요즘 랜섬웨어는 암호화만 하지 않고 먼저 빼갑니다. 돈을 안 내면 공개하겠다는 압박 수단이 필요하니까요. 그래서 고객 정보가 함께 나갔다면 침해사고 신고와 개인정보 유출 신고가 둘 다 걸립니다. 미신고 과태료는 양쪽 모두 3천만원 이하입니다.

⚠️ 이 절은 일반적인 정보이며 법률 자문이 아닙니다. 신고 대상 여부와 절차는 사안마다 다르므로 118 상담이나 변호사 확인을 받으시는 게 맞습니다.

5. 다시 안 걸리려면 — 백업이 유일하게 확실합니다

상시 연결된 외장하드와 실시간 동기화 클라우드는 함께 암호화되지만 분리해 둔 백업은 살아남는다는 대비

백업 이야기는 다들 합니다. 그런데 정작 중요한 건 한 문장입니다.

연결돼 있으면 같이 암호화됩니다.

• 상시 연결된 외장하드 — 같이 암호화됩니다
• 실시간 동기화 클라우드 — 덮어써집니다. 다만 이전 버전 복원(버전 기록) 이 켜져 있으면 되돌릴 여지가 있습니다. 지금 켜져 있는지 확인해 두세요
• 백업을 끝내고 뽑아 둔 외장하드 — 살아남습니다

세 번째만 백업입니다. 나머지 둘은 사본이죠.

유지보수 업체 직원에게 위장 메일이 도착해 그 업체를 거쳐 고객사로 랜섬웨어가 퍼지는 공급망 감염 경로

그리고 요즘은 내가 조심해도 옆에서 들어옵니다. 경찰청·중소벤처기업부·KISA가 2026년 4월 낸 권고문의 경로가 그렇습니다. IT 구축·유지보수 업체를 위장 메일로 먼저 뚫고, 거기서 얻은 정보로 고객사를 사칭해 고객사에 랜섬웨어를 뿌립니다. 아는 업체에서 온 메일이니 열게 되는 것이죠.

같은 권고문이 든 대응은 넷입니다. 출처 불명 메일·첨부파일 실행 금지, VPN·원격 접속 통제, 다중 인증, 안전한 백업체계. 앞의 셋은 이 블로그가 계속 말해온 것이고, 백업 하나가 새로 붙습니다.

6. 오늘 할 일

지금 감염된 상태라면

1. 네트워크 분리 → 클라우드 동기화 중단 → 외장하드 분리
2. 랜섬노트와 암호화된 파일 그대로 보존
3. 다른 기기에서 nomoreransom.org → Crypto Sheriff 로 종류 확인
4. 118 신고 (사업자는 24시간·72시간 기한을 함께 확인)
5. 도구가 없다고 나와도 암호화된 파일을 버리지 마세요. 나중에 도구가 나오는 경우가 있습니다

아직 안 걸리셨다면 — 5분입니다

1. 백업 하나 만들고 뽑아 두기
2. 클라우드 이전 버전 복원이 켜져 있는지 확인
3. 안 쓰는 원격 접속(RDP) 닫기 · 계정에 다중 인증 켜기

자주 묻는 것

Q. 백신을 돌리면 파일이 돌아오나요?

아니요. 백신은 악성코드를 지우는 것이지 암호를 푸는 게 아닙니다. 다만 복구 전에 반드시 돌려야 합니다. 악성코드가 남아 있으면 복구한 파일이 다시 암호화됩니다. 노모어랜섬이 붙여둔 주의사항이 정확히 그 이야기입니다.

Q. 도구가 없다는데, 파일을 지워도 되나요?

두지 마시라는 게 아니라 버리지 마세요. 수사 과정에서 키가 확보되거나 분석이 진전돼 나중에 복구 프로그램이 나오는 경우가 있습니다. 외장 저장소에 옮겨 보관하시면 됩니다.

Q. 개인 PC인데 118에 신고해도 되나요?

됩니다. 118은 해킹·바이러스 상담을 무료로 받고 24시간 운영됩니다. 다만 개인 PC 복구를 대신 해주는 곳은 아니고, 유형 확인과 대응 안내를 받는 자리로 보시는 게 맞습니다.

마무리

랜섬웨어는 걸린 다음에 할 수 있는 게 많지 않은 사고입니다. 그래서 이 글이 계속 말한 건 두 가지뿐입니다.

돈을 보내기 전에 nomoreransom.org 를 5분 확인하고, 백업 하나는 뽑아서 따로 두세요.

근거 자료

• 과학기술정보통신부·KISA 2026년 상반기 침해사고 통계(2026.7.30 발표) — 신고 1,236건, 랜섬웨어 145건(+76.8%). ⚠️ 언론 보도로 확인한 수치이며 상반기 누계입니다
• 경찰청·중소벤처기업부·KISA 「Midnight(Endpoint) 랜섬웨어 보안 권고문」(2026.4.16) — 유지보수 업체 경유 공급망 감염. ⚠️ 언론 보도로 확인
• No More Ransom nomoreransom.org — 유로폴·네덜란드 경찰. Crypto Sheriff · 무료 복구 프로그램. 한국어 지원 (2026.9.9 확인)
• KISA 보호나라 boho.or.kr — 침해사고 신고 · 랜섬웨어 대응 가이드라인. 상담 118(무료·24시간)
• 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의3(침해사고의 신고 등)
• 「개인정보 보호법」 제34조(개인정보 유출 등의 통지·신고)

⚠️ 법령 해석과 신고 의무 판단은 사안에 따라 달라집니다. 이 글은 일반적인 정보이며 법률 자문이 아닙니다.

#보안로그 #생활보안 #랜섬웨어 #랜섬웨어대응 #랜섬웨어복구 #랜섬웨어감염 #노모어랜섬 #무료복호화도구 #침해사고신고 #118신고 #정보통신망법 #개인정보유출신고 #백업 #공급망공격 #정보보안