악성코드는 보통 어떤 경로로 소규모 조직에 유입됩니까?
악성코드는 주로 이메일 첨부 파일, 악성 웹사이트, 보안 패치가 적용되지 않았거나 외부에 노출된 원격 접속 서비스를 통해 침입합니다. 이는 NCSC가 지침에서 강조하는 경로입니다. 이후 공격자는 탈취한 비밀번호를 이용해 한 기기에서 네트워크상의 다른 기기로 이동할 수 있습니다.
직원 여덟 명 규모의 가상 자선단체인 노스게이트 푸드 네트워크를 예로 들어 보겠습니다. 자원봉사 담당자인 샘은 아무도 처리하지 못한 일들을 목록으로 정리해 둡니다. '노트북에서 업데이트를 위해 다시 시작하라고 계속 뜨지만 계속 미루는 중. 백업 = 사무실 컴퓨터에 상시 연결된 USB 드라이브. 재무 담당자가 재택근무를 할 수 있도록 원격 데스크톱을 열어 둠. 새 공급업체에서 기부금 스프레드시트를 .xlsm 파일로 보내며 콘텐츠를 사용하도록 설정해 달라고 요청함'. 각 항목은 랜섬웨어 조직이 노리는 침입 경로입니다.
악성 소프트웨어의 주요 유형은 무엇입니까?
악성 소프트웨어의 주요 유형은 침입 후 수행하는 행동에 따라 분류하며, 여러 유형을 결합하는 공격도 많습니다.
| 유형 | 수행하는 작업 | 흔한 징후 |
|---|---|---|
| 랜섬웨어 | 파일을 암호화하거나 훔친 뒤 금전을 요구합니다 | 파일이 열리지 않음, 확장자가 변경됨, 몸값 요구 메시지가 나타남 |
| 정보 탈취 악성코드 또는 스파이웨어 | 비밀번호, 쿠키, 문서를 수집합니다 | 알 수 없는 로그인, 본인 모르게 변경된 계정 |
| 트로이 목마 | 유용해 보이는 것 안에 숨어 있습니다 | 예상하지 못한 프로그램이나 문서가 추가 권한을 요청합니다 |
| 웜 | 네트워크 전체로 스스로 확산합니다. | 여러 기기가 동시에 느려지거나 오작동합니다 |
| 와이퍼 | 데이터를 파괴하며, 때로는 랜섬웨어로 위장합니다 | 요구에 응한 뒤에도 파일이 사라짐 |
악성코드와 랜섬웨어를 어떻게 예방합니까?
대부분의 악성코드와 랜섬웨어는 제품 하나가 아니라 여러 겹의 보안 습관으로 예방합니다. 업데이트를 신속히 설치하고, 공격자가 접근할 수 없는 백업을 유지하며, 다중 인증으로 계정을 보호합니다. NCSC는 단일 조치만으로 모든 감염을 막을 수 없기 때문에 심층 방어를 강조합니다.
업데이트
보안 업데이트가 나오면 바로 설치하고 자동 업데이트를 켭니다. 공격자가 원격 접속 서비스와 인터넷에 노출된 장치를 찾아 스캔하므로, 이를 먼저 패치합니다.
오프라인 백업
네트워크에 상시 연결되지 않은 백업을 정기적으로 만들고, 가능하면 다른 장소에 보관하며, 복원할 수 있는지 시험합니다. CISA는 정기적으로 복원 시험을 하는 암호화된 오프라인 백업을 권장합니다.
다중 요소 인증
이메일, 클라우드 저장소, 모든 원격 접속 지점에 다중 인증을 설정해 비밀번호가 유출되더라도 그것만으로는 접근할 수 없게 합니다.
매크로와 다운로드
예상하지 못한 문서에서는 매크로나 콘텐츠를 활성화하지 않습니다. 대신, 알고 있는 연락 수단으로 발신자에게 확인합니다.
최소한의 접근 권한
각자에게 필요한 접근 권한만 부여하고, 아무도 사용하지 않는 원격 접속은 차단합니다.
미흡한 수정 목록과 개선된 수정 목록은 어떻게 다릅니까?
부실한 개선 목록은 '더 나은 백신 프로그램 구매'라고 적고 끝납니다. 백신 프로그램은 도움이 되지만, Sam의 네 가지 침입 경로 중 어느 것도 해결하지 못했을 것입니다. USB 백업은 여전히 PC와 함께 암호화되고, 외부에 개방된 원격 데스크톱은 여전히 공격자를 끌어들이며, 누군가 사용 허용을 클릭하면 매크로도 그대로 실행됩니다.
개선된 조치 목록은 각 침입 경로를 예방 습관과 연결합니다. 업데이트: 오늘 밤 다시 시작하여 업데이트를 설치한 뒤 자동 업데이트를 켭니다. 백업: 매주 백업한 뒤 USB 드라이브를 분리하고, 별도의 다중 인증을 사용하는 독립된 클라우드 계정에 사본을 하나 더 보관하며, 이번 달에 복원 테스트를 한 번 실시합니다. 원격 접속: 열려 있는 원격 데스크톱 접속을 차단하고, 재무 담당자가 파일에 접근할 수 있도록 공식 지원을 받으며 다중 인증으로 보호되는 접속 수단을 제공합니다. 공급업체 스프레드시트: 콘텐츠를 활성화하지 말고, 공급업체 웹사이트에 있는 번호로 전화해 실제로 보냈는지 확인합니다. 모든 항목에 담당자와 기한을 지정합니다.
랜섬웨어 공격을 받으면 어떻게 해야 합니까?
랜섬웨어에 감염되면 즉시 피해 기기를 네트워크에서 격리하고, IT 담당자에게 연락한 뒤 사고를 신고해야 합니다. CISA는 전원을 끄면 증거가 사라질 수 있으므로 가능하면 전원을 끄는 대신 네트워크 연결을 끊고, 시스템이 안전해진 뒤 오프라인 백업으로 복원할 것을 권고합니다. NCSC는 피해자에게 복호화 도구가 있는지 확인하도록 No More Ransom 프로젝트를 안내합니다. 또한 몸값을 지불해도 복구가 보장되지 않고 범죄 조직에 자금을 대는 결과가 되므로, 수사 기관은 몸값 지불을 권장하지 않는다고 명시합니다. 사고 대응 기초 수업에서는 최초 한 시간 동안의 대응 전체를 다룹니다.
방어 조치가 실제로 효과가 있는지 어떻게 확인합니까?
보안 대책은 추정이 아니라 테스트로 점검합니다. 백업에서 폴더 하나를 복원해 보고, 기기의 업데이트 기록을 살피고, 중요한 모든 계정에 다중 요소 인증이 켜져 있는지 확인하며, 사용 중인 모든 원격 접속 경로를 목록으로 작성합니다. 이 중 하나라도 5분 안에 확인할 수 없다면 그것이 다음에 해야 할 일입니다.
악성 소프트웨어 방어에서 흔히 하는 실수는 무엇입니까?
가장 흔한 실수는 백업을 항상 연결해 두는 것입니다. 랜섬웨어가 다른 모든 데이터와 함께 백업도 암호화하기 때문입니다. 그 밖에도 업데이트를 몇 주씩 미루거나, 편의를 위해 원격 접속을 열어 두거나, 관리자 계정 하나를 공유하거나, 메시지에서 정중하게 요청했다는 이유로 매크로를 활성화하거나, 실제로 복원이 필요한 날까지 복원 테스트를 한 번도 하지 않는 실수가 있습니다.
Tosheo.ai에서 이 수업은 어디에 해당합니까?
이 수업은 사이버 보안 범주와 사이버 보안 과정에 속하며, 피싱, 사고 대응, AI 에이전트의 안전한 사용에 관한 수업과 함께 구성됩니다. Tosheo.ai에서는 노스게이트의 사례와 같은 가상 조직의 환경을 점검하고, 우선순위에 따른 개선 목록을 작성한 뒤 놓친 부분에 대해 평가 기준에 따른 피드백을 받습니다. 이는 일반 직원과 관리자를 위한 보안 인식 교육이지, 기술 보안이나 악성코드 분석 과정이 아닙니다.
출처와 범위
NCSC, 악성코드 및 랜섬웨어 공격의 피해 완화(19 October 2026 확인) ↗
CISA, StopRansomware(확인일: 19 October 2026) ↗