랜섬웨어에 대비하려면 백업을 어떻게 바꿔야 합니까

백업이 함께 당하는 이유

랜섬웨어 공격자는 데이터를 암호화하기 전에 복구 수단부터 찾습니다. 백업이 살아 있으면 몸값을 받을 수 없기 때문입니다. 미국 사이버보안·인프라보안청(CISA)의 랜섬웨어 대응 지침은 많은 랜섬웨어가 접근 가능한 백업을 찾아 삭제하거나 암호화한다고 설명하고, 그래서 오프라인·암호화된 백업을 유지하고 복구 가능성을 정기적으로 시험하라고 권합니다.

국내 권고도 같은 방향입니다. KISA는 2026년 4월 경찰청과 함께 낸 중소기업 대상 랜섬웨어 보안 권고문에서 많은 피해 기업이 백업을 했지만 동일한 저장소에 보관해 함께 암호화됐고 복구에 어려움을 겪었다고 밝히고, 중요 자료는 네트워크와 분리된 별도 저장소에 정기적으로 백업하라고 권고했습니다. 클라우드에 보관한 자료도 클라우드 자체가 감염될 수 있으므로 정기적으로 백업하라는 내용도 함께 들어 있습니다.

정리하면 질문을 바꿔야 합니다. 「백업이 있는가」가 아니라 「운영 서버의 관리자 권한을 빼앗긴 상태에서도 그 백업이 살아남는가」입니다.

세 가지 원칙: 분리, 불변, 복구 시험

분리는 저장 위치만이 아니라 권한의 분리입니다. 백업이 다른 버킷에 있어도 운영 관리자 계정이 그 버킷을 지울 수 있다면 분리된 것이 아닙니다. 불변은 설정 실수나 내부자 행위까지 포함해, 정해진 보존 기간이 끝나기 전에는 누구도 지울 수 없는 상태를 뜻합니다. 복구 시험은 백업 작업의 성공 표시가 아니라 실제로 서비스를 다시 띄워 보는 것입니다.

오래 쓰여 온 3-2-1 원칙(복사본 3개, 서로 다른 매체 2종, 그중 1개는 외부 보관)은 여전히 좋은 출발점입니다. 다만 랜섬웨어 관점에서는 「외부 보관 1개」가 공격자가 손댈 수 없는 1개여야 의미가 있습니다.

클라우드에서 적용하는 방법

1. 운영 계정
2. 백업 전용 계정으로 복사
3. 잠금 설정된 백업 보관소
4. 격리된 환경에서 복구 시험

AWS 환경을 예로 들면, AWS Backup의 Vault Lock 규정 준수(compliance) 모드는 설정한 유예 기간이 지나면 복구 지점이 남아 있는 동안 고객·계정 소유자·AWS 누구도 보관소 설정을 바꾸거나 지울 수 없게 만들고, 루트 사용자를 포함한 어떤 사용자도 보존 기간이 끝나기 전에는 백업을 삭제할 수 없습니다. 유예 기간은 최소 3일이며, 그 안에는 잠금을 해제하거나 설정을 바꿀 수 있습니다. 거버넌스(governance) 모드는 충분한 IAM 권한이 있으면 잠금을 풀 수 있어 보호 수준이 다릅니다.

여기에 백업 사본을 별도 계정으로 복사하면 운영 계정이 통째로 넘어가도 백업 계정은 남습니다. 이때 백업 계정에 들어가는 자격 증명은 운영 관리자와 다른 사람이 갖고, 별도 MFA를 걸며, 평소에는 쓰지 않는 계정으로 둡니다. 운영 관리자가 같은 비밀번호와 같은 MFA 기기로 두 계정에 모두 들어갈 수 있다면 계정을 나눈 의미가 사라집니다. AWS는 항상 규정 준수 모드로 잠겨 있고 지정한 다른 계정과 공유해 그 계정에서 복구할 수 있는 「논리적 에어갭(logically air-gapped) 보관소」도 제공합니다.

복구 시험이 백업의 마지막 단계입니다

백업 작업이 매일 성공으로 표시돼도 실제 복구가 되는지는 별개입니다. 데이터베이스는 복원되는데 애플리케이션 설정이나 암호화 키, 비밀 값이 빠져 서비스가 뜨지 않는 경우가 대표적입니다. 랜섬웨어 상황에서는 감염되지 않은 깨끗한 환경에 복구해야 하므로, 운영 네트워크와 분리된 환경에서 시험해 보는 것이 의미가 있습니다.

복구 순서도 미리 정해 둡니다. 모든 시스템을 동시에 살릴 수는 없으므로 고객 응대, 주문·결제, 내부 업무 중 무엇을 먼저 돌릴지, 각 시스템이 어떤 시점의 데이터까지 되돌아가도 되는지를 업무 부서와 합의해 두어야 합니다. 그리고 복구 시점을 고를 때는 감염이 시작되기 전의 백업인지 확인해야 합니다. 공격자가 몇 주 전부터 내부에 머물렀다면 최근 백업에도 악성 코드나 탈취된 계정이 함께 들어 있을 수 있기 때문입니다. CISA가 운영체제와 애플리케이션을 미리 구성해 둔 깨끗한 기준 이미지(골든 이미지)를 유지하라고 권하는 이유도 같습니다.

• 운영 관리자 권한에 백업 삭제·보존 기간 변경 권한이 없는지(IAM 정책 시뮬레이터 등으로) 확인
• 백업 계정의 자격 증명이 운영 계정과 다르고 MFA가 걸려 있는지
• 보존 기간이 법정 보관 기간·업무 요구와 맞는지
• 복구에 필요한 암호화 키·설정·비밀 값도 함께 보존되는지
• 마지막 복구 시험 날짜와 걸린 시간이 기록돼 있는지

백업 구성을 검토할 때 기준으로 삼을 질문은 하나입니다. 「운영 관리자 권한으로 이 백업을 지울 수 있는가」. 지울 수 있다면 그 백업은 장애와 실수에는 대비돼 있어도 랜섬웨어에는 대비돼 있지 않습니다.

참고 자료

• 국내 중소기업 대상 신규 랜섬웨어 범죄 확산에 따른 보안 권고문(2026.4.16) — KISA 보호나라
• #StopRansomware Guide — CISA
• AWS Backup Vault Lock — AWS 문서
• Logically air-gapped vault — AWS 문서
• KISA, 랜섬웨어 대응을 위한 가이드라인 개정본 배포(2023.8.) — 한국인터넷진흥원