랜섬웨어 RaaS·4중 갈취, 기업 대응 완전 정리

지불해도 끝이 아니다. 미국 체인지 헬스케어 사건(2024)에서 RansomHub는 약 2,200만 달러를 받고도 4월에 2차 갈취를 시도했습니다. 유출된 의료정보는 약 1억 9,300만 명분, 미국 역사상 최대 규모였습니다.

셋째, 방어의 무게중심이 예방에서 '탐지·대응·복구'로 이동했습니다. 다 막는다는 전제가 이미 비현실적이라, 뚫린 뒤 얼마나 빨리 알아차리고 측면 확산을 끊느냐가 승부처가 됐습니다. 미국 CISA의 #StopRansomware 가이드도 예방·탐지·대응·복구 네 축을 동시에 세우라고 권고합니다.

RaaS — 범죄가 '분업 산업'이 된 구조

공격이 정교해진 근본 원인은 랜섬웨어가 비즈니스 모델이 됐다는 데 있습니다. RaaS(Ransomware-as-a-Service)는 넷플릭스 구독처럼, 공격 도구를 '빌려 쓰는' 시장입니다. 역할이 이렇게 나뉩니다.

이 분업 덕분에 고급 해킹 실력이 없어도 공격이 가능해졌고, 공격 총량이 폭증했습니다. 2025년 6월 한 달 동안 Qilin 그룹 하나가 81건의 공격을 저질렀습니다. 전월 대비 47.3% 증가한 수치죠. 전 세계 유출 사이트에 이름이 오른 조직은 2025년 한 해 7,500곳을 넘겼고, 피해 조직 수는 전년 대비 약 58% 늘었습니다.

핵심은 이겁니다. 상대가 개인 해커가 아니라 분업화된 공급망이라면, 우리 방어도 한 겹으로는 대응이 안 됩니다. 어느 한 축을 막아도 나머지 축이 살아 있으면 협상 테이블은 그대로 유지되니까요.

4중 갈취 해부 — 네 개의 칼날, 각각의 방패

'4중 갈취(Quadruple Extortion)'는 압박 수단을 네 겹으로 쌓는 전술입니다. 데이터 암호화로 시작해, 유출 협박·DDoS·이해관계자 협박이 순차로 얹힙니다. 중요한 건 축마다 방패가 다르다는 점입니다. 하나의 대책으로 네 개를 다 막을 수는 없습니다.

실제로 어떻게 결합되는지 보면 감이 옵니다. 2025년 6월 미국 오클라호마 듀랜트 시정부는 800GB가 넘는 데이터를 탈취당했습니다. 공격자는 48시간 내 지불을 요구하며 여권·주소·전화번호를 팔거나 공개하겠다고 협박했고, 동시에 디지털 결제 등 시 서비스까지 마비시켰습니다. 데이터 탈취 + 공개 협박 + 서비스 중단이 한 사건에 포개진 겁니다. Clop 같은 그룹은 피해 기업의 고객에게 직접 이메일을 보내 "당신 정보가 곧 공개된다"고 알리는 방식까지 씁니다.

그래서 대응은 백업 하나에 올인하는 게 아니라, 네 축을 각각의 방패로 나눠 덮는 설계여야 합니다. 위 표의 오른쪽 열이 사실상 방어 로드맵인 셈이죠.

지금 IT팀이 점검할 7가지 체크리스트

거창한 솔루션 도입 전에, 이번 주 안에 확인할 수 있는 항목들입니다. 각 항목이 4중 갈취의 어느 축을 막는지 함께 표시했습니다.