랜섬웨어는 왜 백업을 안전망이 아닌 표적으로 삼는가
수년 동안 백업은 랜섬웨어를 견딜 수 있게 해 주는 예외였습니다. 프로덕션이 암호화되면 백업에서 복원하고 넘어가면 됐습니다. 공격자들은 이제 이를 따라잡았습니다. Veeam의 2025 Ransomware Trends 보고서는 1,300개 조직을 조사했으며, 그중 900개 조직이 지난 12개월 동안 한 번 이상 랜섬웨어 공격을 받았습니다. Veeam은 조직의 89%에서 백업 리포지토리가 공격자의 표적이 되었으며, 평균적으로 백업 리포지토리의 34%가 변경되거나 삭제되었다고 보고합니다. 대비책을 파괴하거나 손상시키면 랜섬 노트가 도착하기도 전에 피해자의 협상력이 사라집니다.
그 결과는 복구 수치에 드러납니다. Sophos의 State of Ransomware 2025는 지난 1년 사이 조직이 랜섬웨어 피해를 입은 IT 및 보안 책임자 3,400명을 조사했습니다. 데이터가 암호화된 조직 가운데 백업을 사용해 데이터를 복원한 곳은 54%에 불과했으며, 이는 Sophos가 이 설문조사를 진행해 온 6년 중 가장 낮은 비율입니다. 결국 공격자의 최초 요구액보다 많은 금액을 지불한 151개 조직 중 38%는 백업이 실패했거나 오작동했다고 답했습니다(응답자들은 대개 두 가지 이유를 꼽았습니다). 서류상으로 존재하는 백업은 압박 속에서도 깨끗하게 복원되는 백업과 같은 것이 아닙니다.
"백업이 있다"와 "랜섬웨어에 복원력 있는 백업이 있다" 사이의 이 격차는 결국 세 가지 기둥으로 귀결됩니다. 불변성(immutability), 격리, 그리고 테스트된 복구입니다. 이들은 골라서 조합할 수 있는 독립적인 통제가 아닙니다. 하나라도 빠지면 나머지 둘이 그 공백을 메워 주지 못합니다. 공격자가 접근할 수 없는 불변 백업도 실제로 복원될 때만 쓸모가 있으며, 잘 테스트된 복원 계획도 그 계획이 의존하는 백업이 훈련이 시작되기 전에 삭제되었다면 아무 가치가 없습니다.
세 가지 기둥 자세히 보기
1. 불변성: 공격자가 손댈 수 없는 백업
불변성이란 백업이 보존 기간 안에는 변경되거나 삭제될 수 없다는 뜻입니다. 잘못 구성된 보존 스크립트로도, 침해된 관리자 계정으로도, 이미 도메인 관리자 자격 증명을 쥔 공격자로도 불가능해야 합니다. 실무에서는 오브젝트 스토리지의 Object Lock, WORM(Write Once Read Many) 하드웨어, 또는 백업 애플리케이션 자체의 접근 통제와 무관하게 스토리지 계층에서 보존을 강제하는 강화된 Linux 리포지토리(hardened repository)로 구현합니다.
이 구분이 중요한 이유는 랜섬웨어 운영자들이 탈취한 자격 증명으로 접근할 수 있는 백업을 찾아다니기 때문입니다. CISA의 #StopRansomware Guide는 이를 직접적으로 말합니다. "Ransomware actors often hunt for and collect credentials stored in the targeted environment and use those credentials to attempt to access backup solutions."(랜섬웨어 행위자들은 표적 환경에 저장된 자격 증명을 찾아 수집하고, 그 자격 증명으로 백업 솔루션에 접근하려 시도하는 경우가 많다.) 백업 소프트웨어를 관리하는 바로 그 관리자 계정이 지난달의 복원 지점까지 삭제할 수 있다면, 불변성은 실제로 적용된 것이 아닙니다. 충분한 권한을 가진 공격자가 몇 분 만에 끌 수 있는 설정일 뿐입니다.
CISA 자체의 백업 권고는 "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario"(핵심 데이터의 오프라인 암호화 백업을 유지하고, 재해 복구 시나리오에서 백업의 가용성과 무결성을 정기적으로 테스트하라)입니다. 같은 가이드는 불변 클라우드 스토리지만 단독으로 쓰는 것에 대해 신중한 입장입니다. "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost."(불변 스토리지는 특정 규정의 준수 기준을 충족하지 않으며 잘못 구성하면 상당한 비용이 발생할 수 있으므로 신중하게 사용하라.) 불변성은 강력한 통제입니다. 하지만 오프라인 사본이나 테스트된 복원을 대신하지는 못합니다.
2. 격리: 분리된 ID 평면, 그리고 공격자가 아예 닿을 수 없는 사본
불변성은 백업이 변경되지 않도록 보호합니다. 격리는 애초에 백업에 도달하지 못하도록 보호합니다. 둘은 서로 보완하는 관계이지 서로 대체할 수 있는 관계가 아니며, 둘 중 하나만 구현한 기업은 설계 검토 단계가 아니라 실제 사고 중에 그 공백을 발견하는 경향이 있습니다.
격리에는 두 가지 구성 요소가 있습니다. 첫째는 분리된 ID 평면입니다. 백업 인프라는 프로덕션과 같은 Active Directory 도메인, 같은 관리자 자격 증명, 같은 플랫 네트워크 세그먼트를 신뢰해서는 안 됩니다. 도메인 컨트롤러가 침해되었다고 해서 자동으로 백업 환경까지 침해되어서는 안 됩니다. 만약 그렇다면 공격자는 두 가지가 아니라 한 가지만 침해하면 되었던 셈입니다. 둘째는 진정한 오프라인 또는 에어갭 사본입니다. 핵심 데이터 중 적어도 한 사본은 프로덕션으로부터 상시 연결된 네트워크 경로가 전혀 없어야 합니다. 오프라인 테이프 순환, 데이터를 받을 때만 잠깐 온라인이 되는 분리된 복제 대상, 또는 프로덕션 환경에서 접근 가능한 어디에도 영구 자격 증명이 캐시되어 있지 않은 클라우드 계층이 그 예입니다.
Veeam의 2025 보고서는 데이터 복원력을 우선시하는 조직이 "can recover from attacks up to seven times faster and experience significantly lower data loss rates"(공격으로부터 최대 7배 더 빠르게 복구할 수 있고 데이터 손실률도 상당히 낮다)라고 말합니다. Veeam은 이 효과를 격리 하나가 아니라 데이터 복원력 전체(백업 및 복구, 선제적 보안, 사고 대응)에 돌립니다. 그래도 격리는 이 그림의 큰 부분을 차지합니다. 복구 지점에 도달하기 위해 실제로 추가 작업을 해야 하는 공격자와, 방금 침해한 시스템과 ID 평면을 공유하기 때문에 이미 복구 지점에 세션을 열어 둔 공격자의 차이가 바로 격리입니다.
3. 테스트된 복구: 필요해지기 전에 복원 가능성을 입증하기
세 기둥 중 가장 화려하지 않은 것이 절반만 해 두고 넘어가기도 가장 쉽습니다. Veeam의 2025 보고서에서 응답자의 98%는 랜섬웨어 플레이북을 갖고 있었지만, 백업 검증과 그 빈도를 플레이북에 포함한 곳은 44%에 불과했습니다. 2023년에 한 번 이상 공격을 받은 1,200개 조직을 바탕으로 한 Veeam의 2024 Ransomware Trends 보고서는 복구 과정에서 조직의 63%가 감염을 다시 들여올 위험에 처해 있었다고 밝혔습니다. 빠르게 복원해야 한다는 압박을 받는 팀이 격리 상태에서 데이터를 다시 검사하는 것과 같은 단계를 건너뛰기 때문입니다.
테스트되지 않은 복원은 가장 중요한 순간이 오기 전까지 드러나지 않는 방식으로 실패합니다. 끊어진 백업 체인, 누락된 애플리케이션 일관성 의존성, 몇 달 전에 만료된 서비스 계정 자격 증명, 또는 더 이상 존재하지 않는 인프라 토폴로지를 기준으로 작성된 런북이 그 예입니다. 무결성 검사와 악성코드 검사를 건너뛰면 다운타임보다 더 심각한 위험이 따릅니다. 애초에 장애를 일으킨 바로 그 페이로드를 복원하게 되는 것입니다.
진정한 복구 테스트 프로그램이란 "백업 작업 성공" 알림만이 아니라, 격리된 복구 환경으로의 정기적인 전체 복원 훈련을 뜻합니다. 그 훈련 결과는 발표 자료에서 그럴듯해 보이는 수치가 아니라 비즈니스가 실제로 필요로 하는 RTO를 기준으로 측정하십시오.
복구 수치가 실제로 말해 주는 것
Sophos의 2025년 데이터에는 안심이 되어 보이는 헤드라인이 있습니다. 데이터가 암호화된 조직의 97%가 데이터를 복구할 수 있었다는 것입니다. 세부 내용은 그리 안심할 만하지 않습니다. 절반을 조금 넘는 곳(54%)이 백업에서 복원했고, 49%는 몸값을 지불하고 데이터를 되찾았으며, 29%는 다른 수단을 사용했습니다. 여러 경로를 함께 쓴 곳도 많았습니다. 데이터를 되찾는 것과 자체 백업에서 되찾는 것은 서로 다른 결과입니다. 이 둘 사이의 간극에서 약한 기둥이 드러납니다. 잘못된 역할이 무시할 수 있었던 보존 잠금, 여전히 같은 도메인을 신뢰하던 "분리된" 백업 네트워크, 처음부터 끝까지 한 번도 연습해 보지 않은 복원 같은 것들입니다.
잘못했을 때의 비용
세 가지 기둥은 추상적인 모범 사례 체크리스트가 아닙니다. 랜섬웨어 사고에 드는 비용과 사고가 지속되는 기간에 직접 연결됩니다. Sophos의 2025 보고서는 지불한 몸값을 제외한 랜섬웨어 공격 복구 평균 비용을 153만 달러로 제시하며, 이는 2024년의 273만 달러에서 줄어든 수치입니다. 피해자의 53%가 일주일 이내에 완전히 복구했으며, 이는 1년 전의 35%에서 늘어난 수치입니다. 나머지는 7일 넘게 어떤 형태로든 업무 차질을 겪었고, 다운타임, 생산성 손실, 사고 대응 인건비가 매일 쌓여 갔습니다.
백업 태세는 이 방정식에서 조직이 온전히 통제할 수 있는 몇 안 되는 변수 중 하나입니다. 백업 리포지토리에 대한 공격자의 첫수가 성공하느냐 실패하느냐는 사고 당시가 아니라 대부분 몇 달 전에 내린 선택으로 결정됩니다. 위협 행위자가 도메인 관리자 자격 증명을 쥐고 백업 플랫폼을 탐색하기 시작할 무렵이면, 불변성, 격리, 테스트된 복구는 이미 갖춰져 있거나 그렇지 않거나 둘 중 하나입니다. 압박 속에서 이를 뒤늦게 덧붙일 기회는 없습니다.
세 기둥 모두를 조용히 무너뜨리는 흔한 실수
사고 후 검토에서 반복적으로 나타나는 패턴이 몇 가지 있습니다.
- 스냅샷을 백업으로 착각하는 것. VMware 스냅샷은 원본 가상 디스크의 변경 로그이지 독립적인 사본이 아닙니다. Broadcom의 스냅샷 모범 사례 문서는 단호합니다. "Do not use VMware snapshots as backups."(VMware 스냅샷을 백업으로 사용하지 마십시오.) 스냅샷 파일은 오래 유지할수록 계속 커져 데이터스토어를 가득 채우고 성능을 떨어뜨릴 수 있으며, 기본 디스크가 손실되면 "the snapshot files alone are not sufficient to restore a virtual machine"(스냅샷 파일만으로는 가상 머신을 복원하기에 충분하지 않습니다). 스냅샷은 단기 롤백을 위한 편의 기능(Broadcom은 단일 스냅샷을 72시간 넘게 유지하지 말라고 권고합니다)이지 복구 전략이 아닙니다.
- "불변"을 검증된 속성이 아니라 체크박스로 취급하는 것. Object Lock과 보존 정책은 구성 가이드에 문서화하는 데 그치지 말고, 백업 플랫폼을 관리하는 바로 그 관리자 역할을 상대로 테스트해야 합니다.
- 같은 ID 도메인 안에 있는 두 번째 사본을 "격리"되었다고 부르는 것. 프로덕션에서 침해된 것과 같은 자격 증명으로 백업 리포지토리에 인증할 수 있다면, 지리적 분리나 플랫폼 분리는 실질적인 격리를 제공하지 못합니다.
- 복원 검증이 아니라 백업 완료로 성공을 측정하는 것. 어젯밤 작업에 표시된 녹색 체크 표시는 데이터가 어딘가에 기록되었다는 사실만 알려 줍니다. 그 데이터를 불러올 수 있는지, 애플리케이션 일관성이 있는지, 애초에 복원을 필요하게 만든 악성코드가 없는지는 알려 주지 않습니다.
BackupSec의 역할
BackupSec은 백업 플랫폼을 대체하지 않습니다. 저희 서비스 중 세 가지가 위의 기둥에 대응합니다.
- ZeroMON은 Veeam Backup & Replication을 모니터링합니다. OVA 형태로 온프레미스에서 실행되고, 읽기 전용 계정으로 연결되며, BackupSec이나 어떤 제3자에게도 아무것도 보내지 않습니다. 작업 상태를 추적하고, Forensic & Audit 모듈에서 구성 변경(누가 무엇을 언제 변경했는지)을 기록하고, Security Analyzer 체크리스트를 실행하고, 보고서를 생성하며, 이메일과 인앱 알림으로 경보를 보냅니다. 각 리포지토리의 불변성 상태를 Veeam 자체 리포지토리 설정이 보고하는 그대로 보여 주고, 그 설정이 바뀌면 이를 표시합니다. ZeroMON은 Veeam의 구성을 읽을 뿐, 스토리지 자체의 오브젝트 수준 잠금을 검증하지는 않습니다.
- ZeroTAM은 소프트웨어가 아니라 전담 백업 보안 어드바이저입니다. 아키텍처 및 격리 설계, 용량 계획, 랜섬웨어 복구 계획, 위기 시 우선 지원을 제공합니다.
- ZeroPEN은 Veeam Backup & Replication, Veeam ONE, Enterprise Manager를 대상으로 하는 위협 주도형 모의 침투 테스트입니다. MITRE ATT&CK에 매핑된 랜섬웨어 킬 체인을 8단계로 시뮬레이션합니다. 초기 접근, 탐색 및 인벤토리 파악, 자격 증명 악용, Veeam 서버 장악, 리포지토리 접근, 백업 무력화, 데이터 유출 시뮬레이션, 암호화 능력 입증입니다. 실제 백업을 삭제하거나, 실제 암호화를 수행하거나, 프로덕션 또는 백업 서비스를 중단하는 일은 절대 없습니다. 감사 대응이 가능한 증거를 받게 되며, 치명적 발견 사항은 재테스트됩니다. 이 과정에는 복원 무결성 및 불변성 검증도 포함됩니다. 특정 시점의 테스트이므로, 세 번째 기둥의 정기적인 복원 훈련은 여전히 실행해야 합니다.
백업 보안 태세에 대해 BackupSec과 상담하기 →
여러분의 백업이 얼마나 버틸 수 있는지 확인해 보고 싶으신가요? 무료 Backup Security Assessment는 백업 전략과 접근 제어부터 복구 테스트까지 일곱 개 영역에 걸쳐 28개의 질문을 던집니다.