사내 시스템 해킹 의심될 때 대처법의 첫 행동은 보안 사고 신고 채널로 즉시 알리는 일이다. 혼자 원인을 찾거나 파일을 지우기 시작하면 침해 범위와 흔적을 함께 잃을 수 있다. 서둘러야 한다. 사내 보안팀, IT 헬프데스크, 당직 연락망처럼 조직이 정한 창구에 시간·대상·증상을 짧게 전달한다. 신고 창구를 모르면 직속 관리자와 IT 운영 담당자에게 동시에 알리고 기록을 남긴다.
초기 대응은 ‘복구’보다 ‘확산 차단과 사실 확인’에 가깝다. 랜섬웨어 메시지, 평소와 다른 로그인 알림, 모르는 관리자 계정, 대량 파일 변경, 외부 전송량 급증, 보안 프로그램 비활성화 같은 징후가 보이면 사고 가능성을 염두에 두고 움직인다. 단순 장애와 침해는 겉모습이 비슷하다. 그래서 판단을 서두르지 말고 관찰한 사실부터 남겨야 한다.
사내 시스템 해킹 의심될 때 초기 대응 순서
신고 전에 안전한 범위에서 연결을 끊는다
업무용 PC 한 대에서 명확한 이상 징후가 확인됐다면 유선 랜을 뽑거나 와이파이를 끄고, 보안팀에 격리 사실을 알린다. 단, 서버·공장 설비·결제 시스템·공유 저장소처럼 연결 해제가 업무와 안전에 큰 영향을 주는 장비는 임의로 끄지 않는다. 짧게 멈춰야 한다. 운영 담당자가 네트워크 분리, 계정 차단, 접근제어 규칙 변경을 결정하도록 넘기는 편이 안전하다.
회사에서 EDR, MDM, 원격 관리 도구를 쓴다면 보안 담당자가 제공한 격리 기능을 우선 사용한다. 개인 판단으로 공유 폴더 권한을 전부 열거나 방화벽을 끄는 행동은 피한다. 외부로 나가는 통신만 제한해도 조사에 필요한 메모리와 로그를 보존하면서 확산을 줄이는 경우가 있다. 환경마다 방법이 다르다.
삭제·재부팅·포맷은 잠시 멈춘다
의심 파일을 휴지통으로 보내거나 백신 경고를 닫고 재부팅하는 행동은 흔하지만, 사고 조사에는 불리하다. 실행 중인 프로세스, 접속 정보, 화면 메시지, 임시 파일이 사라질 수 있기 때문이다. 침해자가 남긴 흔적을 보려면 원본 상태가 중요하다. 손대지 말자.
화면에 나타난 문구와 오류 코드, 의심 파일 경로, 로그인 알림, 발견 시각을 캡처한다. 캡처 파일은 가능하면 별도 승인된 저장소에 보관하고, 화면에 고객정보나 비밀번호가 보인다면 보안팀 지침에 따라 접근을 제한한다. 공격자에게 답장을 보내거나 요구 금액을 협상하려고 연락해서도 안 된다. 대응 창구를 하나로 유지해야 메시지와 판단이 엇갈리지 않는다.
사실을 한 장으로 정리해 전달한다
신고 내용이 길 필요는 없다. 다만 담당자가 우선순위를 정할 재료는 있어야 한다. 아래 항목을 메신저나 티켓에 남기면 초기 대응 속도가 달라진다.
- 발견 시간과 마지막으로 정상 작동한 시간
- 영향 장비 이름, 사용자 계정, 접속 위치
- 관찰한 증상과 화면 캡처 또는 오류 문구
- 직전에 열어 본 메일, 링크, 첨부파일, 외부 저장장치 여부
- 현재 조치한 내용과 아직 연결된 시스템
- 고객정보, 인사정보, 소스코드, 결제정보 등 관련 데이터 종류
“파일이 이상하다”보다 “오전 10시 12분부터 공유 폴더 파일 확장자가 바뀌었고 PC는 네트워크에서 분리했다”가 훨씬 쓸모 있다. 확인된 사실과 추측을 나눠 쓴다. 짧아도 충분하다.
초기 대응에서 계정과 접근권한을 다루는 법
계정 탈취가 의심되면 해당 계정의 세션 종료, 비밀번호 재설정, 다중인증 재등록 여부를 보안 또는 IAM 담당자에게 요청한다. 비밀번호만 바꾸고 끝내면 안 된다. 이미 발급된 세션, API 키, 전달 규칙, 연동 토큰, 관리자 권한이 남아 있으면 접근이 이어질 여지가 있다.
특히 메일 계정은 전달 규칙과 위임 권한을 함께 확인한다. 공격자가 받은편지함 규칙으로 메일을 외부 주소에 전달하거나 로그인 알림을 숨기는 사례가 알려져 있다. 클라우드 관리 콘솔, VPN, 원격접속, 코드 저장소도 같은 계정으로 연결됐는지 점검 대상에 넣는다. 권한이 큰 계정일수록 담당자가 빠르게 제한해야 한다.
다만 전 직원 비밀번호를 한꺼번에 바꾸거나 모든 외부 연동을 중단하는 조치는 영향이 크다. 침해 범위와 사업 연속성 판단이 필요하다. 사고 대응 책임자가 지시한 순서에 맞춰 시행하고, 변경한 시각과 담당자를 남긴다. 기록이 남는다.
현업 담당자가 지켜야 할 증거 보존 원칙
원본 로그와 파일은 복사본으로 확인한다. 의심 메일은 전달 버튼만 누르지 말고 조직의 신고 기능이나 보안팀 안내에 따라 원문 정보가 보존되게 제출한다. 서버 로그, VPN 기록, 클라우드 감사 로그는 보존 기간이 짧을 수 있으므로 담당자가 빠르게 보관 설정을 확인해야 한다.
기록에는 시간대도 적는다. 예를 들어 ‘14:05 KST에 경고 확인, 14:08 네트워크 분리, 14:12 보안팀 신고’처럼 쓴다. 여러 시스템 로그의 시간이 맞지 않으면 조사 과정에서 혼선이 생긴다. 휴대전화로 화면을 찍어야 한다면 개인 앨범이나 개인 클라우드에 자동 동기화되지 않도록 주의한다. 사내 승인 저장소가 낫다.
백업도 바로 덮어쓰지 않는다. 감염 가능성이 있는 데이터가 백업에 섞였는지, 마지막 정상 백업이 언제인지 먼저 확인해야 한다. 복구 작업은 깨끗한 환경과 복구 지점 검증이 중요하다. 급히 원복하면 다시 감염될 수 있다.
사고가 커지는 행동은 피한다
동료에게 의심 파일을 보내 “열리는지 봐 달라”고 요청하지 않는다. 악성 링크를 여러 사람이 눌러 확인하는 일도 금물이다. 개인 메일이나 개인 메신저로 업무 파일을 옮겨 업무를 계속하는 방식은 데이터 유출과 기록 누락 위험을 키운다. 우회하지 말자.
외부 고객이나 거래처에 사실을 알리는 일도 현업이 단독으로 결정하지 않는다. 사실관계, 통지 범위, 공지 문구는 보안·경영·법무·홍보 담당자가 함께 검토할 사안이다. 법적 의무나 책임 여부는 사건별 계약과 규정에 따라 달라진다. 필요한 판단은 사내 법무팀이나 관련 전문가 확인을 거쳐야 한다.
재발 방지를 위한 사후 점검
초기 진화 뒤에는 공격 경로와 탐지 공백을 정리한다. 피싱 메일이었다면 메일 필터와 신고 절차를, 취약한 원격접속이었다면 다중인증과 접근 대상을, 과도한 권한이었다면 계정 권한 검토를 우선 과제로 잡는다. 단순히 백신을 한 번 더 돌리는 수준으로 끝내기 어렵다.
팀 단위로는 신고 연락처, 야간 담당자, 시스템 소유자, 백업 위치, 격리 권한을 최신 상태로 관리한다. 분기마다 짧은 모의훈련을 해도 도움이 된다. 예를 들어 ‘의심 메일 발견 후 15분 안에 신고하고 장비 정보를 전달한다’처럼 측정 가능한 목표를 두면 절차의 빈틈이 드러난다. 훈련은 실전의 부담을 줄인다.
FAQ
랜섬웨어 화면이 뜨면 PC 전원을 바로 꺼야 하나?
우선 네트워크 연결을 끊고 보안팀에 신고한다. 전원 종료는 실행 중 정보가 사라질 수 있어 담당자 지시 뒤 결정하는 편이 낫다. 다만 장비가 계속 파일을 암호화하거나 다른 장비로 확산하는 긴급 상황이면 조직의 비상 절차를 따른다.
의심 메일의 링크를 눌렀지만 아무 일도 없었다면 신고해야 하나?
신고하는 편이 좋다. 화면 변화가 없다고 안전하다고 보기 어렵고, 메일 주소와 클릭 시각은 보안팀이 다른 접속 기록을 확인하는 데 도움이 된다. 링크 주소와 메일 원문은 삭제하지 말고 안내받은 방식으로 제출한다.
내 계정에서 낯선 로그인이 보이면 비밀번호부터 바꿔도 되나?
가능하면 보안팀에 신고한 뒤 승인된 기기에서 비밀번호를 바꾼다. 긴급하게 직접 변경했다면 변경 시간, 사용한 기기, 알림 내용을 함께 전달한다. 다중인증 수단과 메일 전달 규칙, 활성 세션도 점검 대상이다.
보안팀이 없거나 연락이 닿지 않으면 어떻게 하나?
정해진 IT 운영 담당자와 관리자에게 기록이 남는 방식으로 알리고, 영향 장비의 네트워크를 안전한 범위에서 분리한다. 개인적으로 복구 도구를 내려받아 실행하거나 외부 업체에 자료를 넘기기 전에는 조직의 승인 절차를 확인한다. 비상 연락망이 없다면 이번 사건 뒤 반드시 만든다.
관련 글
이 글은 일반적인 정보 제공과 참고 목적으로 작성되었으며, 법률 자문·보안 컨설팅·컴플라이언스 판단을 대체하지 않습니다. 소개하는 설정과 절차는 소프트웨어 버전이나 조직 환경에 따라 다르게 동작할 수 있으며, 어떤 보안 조치도 완전한 안전을 보장하지는 않습니다. 실제 적용 전에는 반드시 소속 조직의 정책과 담당 부서(보안·IT·법무)의 확인을 거치고, 중요한 시스템에는 백업과 사전 테스트 후 적용하시기 바랍니다. 규제 해석과 합법·불법 여부는 사안과 시점마다 달라질 수 있으므로 공식 규정과 전문가 상담으로 확인이 필요합니다. 본 사이트는 내용의 정확성과 최신성을 보장하지 않으며, 이 글의 내용을 적용하여 발생하는 어떠한 결과에 대해서도 책임을 지지 않습니다.