랜섬웨어 대비 백업 3-2-1 보관법과 감염 의심 시 첫 한 시간 대응 순서

랜섬웨어 대비 백업은 사본 3개를 두고, 2개는 서로 다른 저장매체에, 1개는 업무망과 분리된 곳에 보관합니다. 감염이 의심되면 가능한 한 빨리(예를 들어 첫 한 시간 안에) 외부 저장장치와 네트워크 연결을 끊고, 증상을 기록한 뒤 118이나 경찰에 신고합니다. 순서는 기관 안내를 따르고, 시간 구분은 실무 예시입니다.

백업을 원본 가까이 두면 왜 함께 암호화되나요

랜섬웨어는 파일을 암호화한 뒤 풀어 주는 대가로 돈을 요구하는 악성코드입니다. 경찰청 사이버안전지킴이는 감염되면 외장하드나 공유폴더도 함께 암호화된다고 안내합니다.

PC에 늘 꽂혀 있는 외장하드와 항상 연결된 공유폴더는 원본과 같은 위험에 놓입니다. 감염된 PC가 접근할 수 있는 곳이라면 백업도 공격 대상이 됩니다.

KISA 보호나라의 랜섬웨어 감염 피해 예방을 위한 보안 강화 권고(2026년 2월)도 같은 점을 짚습니다. 백업을 원본과 같은 저장소에 두면 함께 암호화되는 사례가 많다는 설명입니다. 그래서 중요 자료는 네트워크와 분리된 별도 저장소에 정기적으로 백업하도록 권고합니다.

3-2-1 원칙으로 나누면 무엇을 어디에 두나요

KISA 지역정보보호센터의 랜섬웨어 대응을 위한 데이터백업 8대 보안수칙(2025년 7월)은 3-2-1 보관 전략을 제시합니다. 중요 데이터 사본 3개를 두고, 2개는 서로 다른 저장매체에 둡니다. 나머지 1개는 오프사이트(업무망과 분리된 외부 보관처)에 백업하는 방식입니다.

수칙은 오프사이트의 예로 서비스 망과 분리된 클라우드, 외부 저장소, 오프라인 보관을 듭니다. 같은 수칙은 일간·주간·월간 백업을 자동화해 실수와 누락을 막도록 권고합니다.

예를 들어 직원 열 명 안팎의 사무실이라면 아래처럼 나눌 수 있습니다. 보관 위치와 주기는 회사 자료량과 업무 특성에 맞춰 조정합니다.

여러 시점의 백업을 함께 남기는 것도 실무에서 중요합니다. 감염 직전 백업에 이미 암호화된 파일이 섞였다면 더 이전 시점으로 돌아가야 하기 때문입니다.

백업 저장소는 어떻게 지키나요

8대 보안수칙은 백업 저장소에 최소 접근권한을 적용하고 백업 담당자 외 접근을 막도록 합니다. 가능하면 OTP 등 다단계 인증을 백업 저장소에 적용하라고 권고합니다.

백업 서버에는 백신 또는 EDR(단말의 이상 행위를 탐지하고 대응하는 보안 도구)을 설치해 모니터링합니다. 백업 서버와 백업 소프트웨어의 보안 업데이트도 신속히 적용합니다.

앞의 KISA 보안 강화 권고는 NAS 관리도 함께 안내합니다. NAS는 인터넷 직접 접속을 차단합니다. 펌웨어도 최신으로 유지합니다. 외부 클라우드에 보관한다면 소유 기반 이중인증을 적용하고, 클라우드 자료도 정기적으로 백업하라고 권고합니다.

실무에서는 백업 저장소 계정을 평소 업무 계정과 따로 둡니다. 업무 PC가 감염되어도 백업 저장소 권한까지 넘어가지 않게 하려는 것입니다.

백업이 실제로 복구되는지는 어떻게 확인하나요

8대 보안수칙은 연 1회 이상 복구 훈련으로 실제 복구 가능성을 검증하도록 합니다. 감염된 원본이 정상 백업을 덮어쓰지 않도록 백업 전에 무결성을 검증하라는 항목도 있습니다.

작은 사무실에서 실무로 할 수 있는 방법은 이렇습니다. 백업 전에 원본 폴더에 열리지 않는 파일이나 낯선 확장자가 있는지 확인합니다. 이상이 보이면 백업을 멈추고 원인부터 확인합니다.

복구 훈련은 백업본 일부를 다른 PC에 실제로 복원하고 파일이 열리는지 확인하는 방식으로 진행할 수 있습니다. 복원에 걸린 시간을 함께 적으면 실제 사고 때 업무 중단 시간을 가늠할 수 있습니다.

감염이 의심될 때 첫 한 시간 안에 무엇을 하나요

KISA 보호나라의 랜섬웨어 대응 카드뉴스(2023년 8월)는 증상 확인, 긴급조치, 신고, 데이터 복구 순으로 안내합니다. 카드뉴스가 드는 증상은 파일 암호화, PC·스마트폰 화면 잠금, 재부팅 불가입니다. 파일 복구를 빌미로 한 금전 요구, 확장자 변경, 바탕화면 변경도 증상에 포함됩니다.

기관 안내는 순서를 정하지만 분 단위 시간은 정하지 않습니다. 아래 시간 구분은 실무에서 쓰는 예시입니다.

전원 안내가 다른 이유는 이렇습니다. KISA 카드뉴스(2023년)는 PC 전원을 끄지 말고 유지하라고 안내합니다. 경찰청 사이버안전지킴이의 감염 시 조치 요령에는 인터넷선과 PC 전원 차단이 함께 적혀 있습니다.

분리해 놓은 백업 장치는 복구 단계 전까지 감염 PC에 다시 연결하지 않습니다.

신고 뒤 복구와 몸값 요구는 어떻게 다루나요

KISA 카드뉴스는 암호화되지 않은 파일을 다른 PC나 이동식 저장장치에 따로 백업하라고 안내합니다. 그 뒤 PC를 포맷하고 운영체제를 다시 설치하라고 안내합니다. 경찰청은 포맷 뒤 백신과 주요 프로그램의 최신 버전을 설치하도록 안내합니다.

KISA 카드뉴스는 암호이용활성화 누리집 등에서 일부 랜섬웨어의 복구 도구를 확인할 수 있다고 안내합니다. 경찰청은 증거조사가 끝난 뒤 하드디스크를 분리한 상태로 전문 보안업체에 치료를 맡기도록 안내합니다.

미리 만든 백업본으로 자료를 되살리는 일은 실무 절차입니다. 백업본은 다시 설치한 깨끗한 PC에서 먼저 열어 보고, 감염 흔적이 없을 때 복원합니다.

KISA와 경찰청은 몸값 요구에 응하지 않도록 안내합니다. KISA는 몸값을 내도 복호화가 보장되지 않고 법적 보호도 받기 어렵다고 설명합니다. 경찰청도 돈을 보내도 100% 복원이 보장되지 않는다고 설명합니다. 그 돈이 랜섬웨어와 공격 기술 개발에 쓰일 수 있다고도 안내합니다.

복구 뒤에는 재발을 막는 설정을 함께 점검합니다. KISA 보안 강화 권고는 외부에 노출된 시스템을 파악해 불필요한 것은 차단하라고 합니다. 원격 접속에는 기본 서비스 포트(22·1433·3389 등) 사용을 피하도록 권고합니다. 외부 업체 접속은 필요할 때만 허용하고, 접속 계정정보를 평문으로 저장하지 않도록 합니다. 기본 관리자 비밀번호 변경도 같은 권고에 포함됩니다.

정리

1. 잃으면 업무가 멈추는 자료 목록을 정하고, 3-2-1 보관 위치를 표로 적습니다.
2. 외장 매체는 백업 뒤 분리하고, NAS·클라우드 백업 계정에는 다단계 인증을 켭니다.
3. 일간·주간·월간 자동 백업을 설정하고, 연 1회 이상 실제 복원을 시험합니다.
4. 감염 의심 시 순서(분리·차단·기록·118 신고)를 한 장으로 출력해 사무실에 붙입니다.

참고 자료

• KISA 지역정보보호센터 — 랜섬웨어 대응을 위한 데이터백업 8대 보안수칙 (2025년 7월)
• KISA 보호나라 — 랜섬웨어 감염 피해 예방을 위한 보안 강화 권고 (2026년 2월)
• KISA 보호나라 — 랜섬웨어 대응 카드뉴스 (2023년 8월)
• 경찰청 사이버안전지킴이 — 랜섬웨어 예방 및 대응