업무 파일을 열었는데 확장자가 낯설게 바뀌고 바탕화면에 돈을 요구하는 안내문이 보인다. 이때 회사 PC 랜섬웨어 감염 대처법의 핵심은 복구를 서두르는 일이 아니라 확산을 멈추는 일이다. 급하다. 파일을 하나씩 열어 보거나 재부팅부터 하면 감염 범위와 원인 확인이 더 어려워진다.
랜섬웨어는 파일을 암호화하거나 시스템 접근을 막은 뒤 금전을 요구하는 악성코드 유형을 가리킨다. 최근에는 암호화 전에 문서와 계정 정보를 외부로 빼내겠다고 압박하는 방식도 거론된다. 화면의 경고 문구만 보고 랜섬웨어라고 단정할 일은 아니지만, 의심 징후가 있으면 사고 대응 절차로 움직여야 한다.
회사 PC 랜섬웨어 감염 대처법의 첫 10분
유선 랜을 뽑고 와이파이·블루투스·VPN을 끈다. 가장 먼저 할 행동이다. 노트북이면 와이파이를 끄고 랜 케이블, 도킹 스테이션 연결도 해제한다. 공유 폴더와 사내 서버, 다른 PC로 이어지는 통로를 줄이려는 조치다. 단, 전원 버튼을 길게 눌러 강제 종료하지는 말자. 메모리에 남은 흔적과 실행 상태가 분석에 도움이 될 때가 있다.
- 네트워크 연결을 끊는다. 랜 케이블 분리, 와이파이 해제, VPN 종료 순서면 충분하다.
- IT 헬프데스크나 보안 담당 채널에 즉시 신고한다. 담당자가 없으면 팀장과 사내 비상 연락망에 알린다.
- 화면을 사진으로 남긴다. 요구 문구, 파일 확장자, 발견 시각, 로그인 계정, 직전에 열었던 메일이나 파일을 기록한다.
- 담당자 안내가 있기 전까지 PC를 조작하지 않는다. USB 연결, 백신 임의 실행, 파일 삭제, 재설치를 멈춘다.
- 같은 계정으로 접속한 메일·클라우드·그룹웨어 세션도 다른 안전한 기기에서 확인한다. 비밀번호 변경은 보안 담당자가 계정 격리와 로그 확보 순서를 안내한 뒤 진행한다.
신고 문구는 짧아도 된다. “오전 10시 12분경 PC에서 파일 확장자 변경과 금전 요구 화면을 확인했고, 네트워크를 분리했습니다. 사용 계정은 ○○이며 직전에는 ○○ 메일의 첨부파일을 열었습니다.” 이 정도면 담당자가 우선순위를 잡는 데 도움이 된다.
초기 대응에서 하면 안 되는 행동
몸값 안내문에 적힌 연락처로 답장하거나 가상자산을 보내는 판단을 현업 개인이 해서는 안 된다. 지불 여부는 복구 가능성, 유출 정황, 계약상 통지 의무, 수사 협조 등 여러 문제와 얽히므로 경영진과 보안·법무 담당 조직이 다뤄야 한다. 돈을 보냈다고 파일 복구나 유출 방지가 보장되는 것도 아니다.
인터넷 검색으로 찾은 ‘복호화 툴’을 감염 PC에서 바로 내려받는 행동도 위험하다. 악성 프로그램을 더 설치하거나 증거를 바꿀 수 있다. 주말이라 담당자가 늦는다고 개인 외장하드에 파일을 급히 복사하는 일도 피한다. 이미 감염된 파일을 백업에 덮어쓰거나 매체를 오염시킬 수 있다.
| 상황 | 바로 할 일 | 피할 일 |
|---|---|---|
| 파일 이름·확장자 변경 | 네트워크 분리 후 화면 기록 | 파일을 열어 정상 여부 확인 |
| 금전 요구 창 표시 | 시각과 문구를 사진으로 보존 | 안내 주소 접속·지불·답장 |
| 공유 폴더 이상 발견 | 담당자에게 공유 경로와 계정 전달 | 공유 폴더를 임의로 삭제·복사 |
| 메일 첨부파일이 의심됨 | 메일 제목·발신자·수신 시각 기록 | 같은 메일을 동료에게 전달 |
담당 부서가 오기 전 남길 정보
사고 대응은 기술팀만의 일이 아니다. 감염 사실을 처음 본 직원이 남긴 기록이 원인 분석과 영향 범위 확인의 출발점이 된다. 짧게 적자. 발견 시간, PC 자산번호나 컴퓨터 이름, 로그인 계정, 사내·외부 네트워크 연결 상태, 최근 설치한 프로그램, 열어 본 링크·첨부파일, 이상이 보인 폴더 경로를 메모한다.
가능하면 같은 날 비슷한 메일을 받은 동료가 있는지도 팀장에게 알린다. 다만 의심 메일을 재전송하지 말고 제목과 발신 주소, 수신 시각만 전달하는 편이 낫다. 보안 담당자는 메일 게이트웨이와 로그에서 동일한 흔적을 찾고 다른 단말 격리 여부를 판단할 수 있다.
개인정보, 고객 자료, 설계 문서처럼 중요한 정보가 담긴 폴더라면 내용 자체를 메신저에 옮겨 적지 말고 폴더명과 위치만 공유한다. 외부 통보와 고객 안내는 회사의 승인된 창구가 맡아야 한다. 유출 여부나 법적 책임은 화면만으로 판단하기 어렵고 계약과 적용 규정도 함께 검토해야 하므로 사내 법무팀이나 전문가 확인이 필요하다.
격리 뒤 복구는 백업 검증부터
담당 부서는 감염 단말을 격리한 뒤 악성코드 유형, 최초 침입 경로, 계정 사용 흔적, 서버·클라우드 동기화 영향, 백업 상태를 확인하게 된다. 이 과정은 시간이 든다. 깨끗한 백업이 있더라도 바로 복원하지 않고 백업 생성 시점과 감염 이전 여부, 복원 대상의 악성코드 검사, 운영 환경 분리를 확인해야 재감염을 줄일 수 있다.
직원 입장에서는 새 PC나 초기화된 PC를 받았을 때 업무 파일을 개인 저장소에서 가져오기 전에 승인을 받는 일이 중요하다. 업무 재개가 급해도 감염 전후 파일을 섞어 복사하면 정리한 환경을 다시 위험에 넣을 수 있다. 계정 비밀번호와 다중 인증 재등록도 담당자의 순서에 맞춰 처리한다.
재발 방지 회의에서는 누가 실수했는지보다 막힌 지점을 찾는 편이 낫다. 메일 첨부 제한, 관리자 권한 분리, 중요 서버의 네트워크 구간 분리, 복구 연습, 백업 접근권한 검토가 실제 개선 과제가 된다. 한 번의 교육 공지만으로 끝내기보다 신고 연락처와 첫 행동을 사내 메신저에 상시 올려두는 편이 현장에서 더 잘 작동한다.
FAQ
PC 전원을 바로 꺼야 하나?
우선 네트워크부터 끊고 보안 담당자에게 알린다. 전원 종료 여부는 감염 상태와 회사 대응 절차에 따라 달라진다. 강제 종료는 분석에 필요한 실행 흔적을 없앨 수 있으므로 담당자 지시가 없다면 화면과 상황을 기록한 뒤 기다리는 편이 안전하다.
랜 케이블만 뽑으면 충분한가?
유선 연결만 끊어서는 부족할 때가 있다. 와이파이, VPN, 블루투스, 도킹 스테이션 연결까지 확인한다. 모바일 핫스팟이나 개인 공유기를 연결해 업무를 계속하는 행동도 멈춰야 한다.
암호화된 파일을 백업 디스크에 복사해도 되나?
하지 않는 편이 좋다. 암호화된 파일을 보관해야 할 필요가 있어도 담당 부서가 별도 매체와 절차를 정해 처리해야 한다. 기존 백업에 덮어쓰면 복구 기준점이 사라질 수 있다.
회사 메일 비밀번호는 즉시 바꾸면 되나?
다른 안전한 기기에서 변경할 필요가 생길 수 있지만, 먼저 보안 담당자에게 감염 PC의 로그인 계정과 상황을 알린다. 계정을 먼저 잠그거나 세션을 종료하고 로그를 보존해야 하는 경우가 있기 때문이다.
랜섬웨어인지 확실하지 않아도 신고해야 하나?
신고한다. 파일 확장자 변경, 비정상적인 로그인 알림, 대량 파일 오류, 금전 요구 화면은 모두 확인 대상이다. 오진이어도 빠른 확인 비용이 확산 뒤 복구 비용보다 작기 마련이다.
이 글은 일반적인 정보 제공과 참고 목적으로 작성되었으며, 법률 자문·보안 컨설팅·컴플라이언스 판단을 대체하지 않습니다. 소개하는 설정과 절차는 소프트웨어 버전이나 조직 환경에 따라 다르게 동작할 수 있으며, 어떤 보안 조치도 완전한 안전을 보장하지는 않습니다. 실제 적용 전에는 반드시 소속 조직의 정책과 담당 부서(보안·IT·법무)의 확인을 거치고, 중요한 시스템에는 백업과 사전 테스트 후 적용하시기 바랍니다. 규제 해석과 합법·불법 여부는 사안과 시점마다 달라질 수 있으므로 공식 규정과 전문가 상담으로 확인이 필요합니다. 본 사이트는 내용의 정확성과 최신성을 보장하지 않으며, 이 글의 내용을 적용하여 발생하는 어떠한 결과에 대해서도 책임을 지지 않습니다.