랜섬웨어에 강한 백업 구축하기

랜섬웨어가 백업을 안전망이 아닌 표적으로 삼는 이유

수년간 백업은 랜섬웨어 공격에서도 살아남을 수 있게 해주는 예외적 안전장치였습니다. 프로덕션을 암호화당해도 백업에서 복구하면 그만이었습니다. 하지만 공격자들도 이에 발맞춰 진화했습니다. Veeam의 2025년 랜섬웨어 트렌드 설문조사(피해 조직 1,300개 대상)에 따르면, 89%가 공격 과정에서 백업 리포지토리가 표적이 되었다고 응답했습니다 — 이는 부수적인 피해가 아니라 킬체인에서 최우선으로 다뤄지는 목표였습니다. 몸값 요구서가 도착하기도 전에 피해자의 협상력을 빼앗기 위해, 프로덕션을 암호화하기 전 대체 수단인 백업부터 파괴하거나 손상시키는 것이 이제는 표준 공격 절차가 되었습니다.

그 결과는 복구 수치에 고스란히 드러납니다. Sophos의 State of Ransomware 2025 보고서에 따르면, 공격 이후 백업을 이용해 데이터를 복구한 조직은 54%에 불과했으며, 이는 해당 설문조사가 시작된 지 6년 만에 가장 낮은 수치입니다. 공격자가 처음 요구한 금액보다 더 많은 몸값을 지불한 조직 중에서는 38%가 백업 실패 또는 오작동을 다른 선택지가 없었던 이유로 꼽았습니다. 서류상으로만 존재하는 백업과, 실제 위기 상황에서 깨끗하게 복구되는 백업은 전혀 다른 것입니다.

'백업이 있다'는 것과 '랜섬웨어에 강한 백업이 있다'는 것 사이의 이 간극은 세 가지 기둥, 즉 불변성(immutability), 격리(isolation), 테스트된 복구(tested recovery)로 귀결됩니다. 이 셋은 임의로 조합할 수 있는 독립적인 통제 항목이 아닙니다. 셋 중 하나라도 빠지면 나머지 둘로는 메울 수 없습니다. 공격자가 손댈 수 없는 불변 백업이라도 실제로 복구가 되어야만 의미가 있으며, 아무리 잘 준비된 복구 계획이라도 그 근거가 되는 백업이 훈련이 시작되기도 전에 삭제되었다면 무용지물입니다.

세 가지 기둥, 자세히 살펴보기

1. 불변성: 공격자가 손댈 수 없는 백업

불변성이란 보존 기간 동안 백업을 변경하거나 삭제할 수 없다는 것을 의미합니다 — 잘못 설정된 보존 스크립트로도, 침해당한 관리자 계정으로도, 이미 도메인 관리자 자격 증명을 확보한 공격자로도 손댈 수 없어야 합니다. 실무에서는 클라우드 또는 오브젝트 스토리지의 오브젝트 잠금(object lock), Write Once Read Many(WORM) 하드웨어, 또는 백업 애플리케이션 자체의 접근 제어와는 별개로 스토리지 계층에서 보존 잠금을 강제하는 하드닝된 리눅스 리포지토리를 통해 구현됩니다.

이 구분이 중요한 이유는, 최신 랜섬웨어 공격자들이 프로덕션 자격 증명으로 접근 가능한 백업 리포지토리를 적극적으로 찾아내 원본 데이터를 건드리기도 전에 먼저 삭제하거나 암호화하기 때문입니다. 백업 소프트웨어를 관리하는 관리자 계정으로 지난달의 복원 지점까지 삭제할 수 있다면, 불변성은 실제로 적용된 것이 아닙니다 — 충분한 권한을 가진 공격자라면 몇 분 만에 꺼버릴 수 있는 설정에 불과합니다.

CISA의 랜섬웨어 가이드라인도 이 점을 명확히 하고 있습니다. 오프라인의 암호화된 불변 백업을 유지하고, 정기적으로 검증하며, 공격자가 가장 먼저 무력화해야 할 대상이 아니라 최후의 방어선으로 취급해야 한다는 것입니다.

2. 격리: 별도의 ID 체계, 그리고 공격자가 아예 닿을 수 없는 사본

불변성이 백업의 변경을 막는다면, 격리는 애초에 백업에 접근하는 것 자체를 막습니다. 이 둘은 상호 보완적인 개념이지 서로 대체할 수 있는 것이 아니며, 둘 중 하나만 구현한 기업들은 대개 설계 검토 단계가 아니라 실제 침해 사고가 터진 뒤에야 그 허점을 발견하게 됩니다.

격리는 두 가지 요소로 구성됩니다. 첫째는 별도의 ID 체계입니다 — 백업 인프라는 프로덕션과 동일한 Active Directory 도메인, 동일한 관리자 자격 증명, 동일한 플랫 네트워크 세그먼트를 신뢰해서는 안 됩니다. 도메인 컨트롤러가 침해당했다고 해서 자동으로 백업 환경까지 침해당해서는 안 됩니다. 만약 그렇게 된다면, 공격자는 두 개가 아니라 단 하나만 뚫으면 되는 셈입니다. 둘째는 진정한 의미의 오프라인 또는 에어갭 사본입니다 — 최소한 하나의 중요 데이터 사본은 프로덕션으로부터 상시 열려 있는 네트워크 경로가 전혀 없어야 하며, 이는 오프라인 테이프 로테이션, 데이터 수신 시에만 잠깐 온라인 상태가 되는 연결 해제형 복제 대상, 또는 프로덕션 환경에서 접근 가능한 어디에도 영구적인 자격 증명이 캐시되지 않는 클라우드 티어를 통해 구현할 수 있습니다.

Veeam의 연구에 따르면, 이러한 계층화된 격리형 복원력을 우선시하는 조직은 그렇지 않은 조직보다 랜섬웨어 공격으로부터 최대 7배 더 빠르게 복구했으며, 그 과정에서 데이터 손실도 훨씬 적었습니다. 이러한 격차를 만드는 것이 바로 격리입니다. 공격자가 복구 지점에 도달하기 위해 실제로 추가적인 작업을 해야 하는 경우와, 방금 침해한 시스템과 동일한 ID 체계를 공유하고 있어 이미 세션이 열려 있는 상태로 접근할 수 있는 경우의 차이가 바로 여기서 갈립니다.

3. 테스트된 복구: 필요해지기 전에 복구 가능성을 입증하기

세 기둥 중 가장 화려하지 않은 것이 바로 이 항목이지만, 조직들이 가장 자주 건너뛰는 항목이기도 하며, 그 결과는 고스란히 드러납니다. 2025년 업계 설문조사에 따르면, 조직의 62%가 정기적인 백업-복구 테스트를 수행하지 못했다고 답했으며, 37%는 백업이 누락되었거나 아예 검증된 적이 없다는 이유만으로 요구되는 복구목표시간(RTO) 내에 복구하지 못했다고 답했습니다. 이 지점에서 자신감과 현실은 크게 엇갈립니다. 조직의 60% 이상이 다운타임으로부터 몇 시간 내에 복구할 수 있다고 믿지만, 실제로 테스트했을 때 그렇게 해낸 조직은 약 3분의 1에 불과합니다.

테스트되지 않은 복구는 정작 가장 중요한 순간이 되기 전까지는 드러나지 않는 방식으로 실패합니다. 백업 체인이 끊겨 있거나, 애플리케이션 일관성에 필요한 종속성이 빠져 있거나, 서비스 계정 자격 증명이 몇 달 전에 이미 만료되었거나, 더 이상 존재하지 않는 인프라 토폴로지를 기준으로 작성된 런북 등이 그렇습니다. 검증을 건너뛰는 것은 단순한 다운타임보다 더 날카로운 위험도 안고 있습니다 — 추정치에 따르면 조직의 63%가 시간에 쫓겨 무결성 검사와 악성코드 검사를 생략함으로써 복구 과정에서 감염을 재유입시킬 위험에 놓여 있으며, 이는 사실상 애초에 장애를 일으켰던 것과 동일한 페이로드를 복구해내는 것과 같습니다.

진정한 의미의 테스트된 복구 프로그램이란, 단순히 '백업 작업 성공' 알림만 확인하는 것이 아니라, 격리된 복구 환경에서 일정에 따라 전체 복구 훈련을 실시하고, 슬라이드 자료에서만 그럴듯해 보이는 수치가 아니라 비즈니스가 실제로 필요로 하는 RTO를 기준으로 검증하는 것을 의미합니다.

세 기둥이 제대로 작동할 때

Sophos의 2025년 데이터는 헤드라인 통계에 대한 유용한 반례를 제시합니다. 공격자에게 데이터를 암호화당한 조직 중에서도 97%는 결국 데이터를 복구해냈습니다. 이 그룹과 복구하지 못한 소수 그룹의 차이는 거의 언제나 세 기둥 중 하나가 서류상으로 보이는 것보다 실제로는 취약했다는 데서 비롯됩니다 — 잘못된 역할로도 우회할 수 있었던 보존 잠금, 여전히 동일한 도메인을 신뢰하던 '분리된' 백업 네트워크, 혹은 처음부터 끝까지 한 번도 실제로 훈련해본 적 없는 복구 절차 등이 그 예입니다.

잘못했을 때 치러야 할 대가

세 기둥은 추상적인 모범 사례 체크리스트가 아닙니다 — 랜섬웨어 사고의 비용과 지속 기간에 직접적으로 반영됩니다. 지불한 몸값을 제외하고 랜섬웨어 공격에서 복구하는 데 드는 평균 비용은 약 $1.53 million에 달합니다. 피해 조직 중 53%만이 일주일 이내에 완전히 복구되었으며, 나머지는 7일이 넘도록 어떤 형태로든 업무 차질을 겪었고, 그동안 다운타임과 생산성 손실, 사고 대응 인건비가 나날이 누적되었습니다.

백업 태세는 이 방정식에서 조직이 온전히 통제할 수 있는 몇 안 되는 변수 중 하나입니다. 공격자가 백업 리포지토리를 상대로 던지는 첫 수가 성공할지 실패할지는 사고 당시가 아니라 몇 달 전에 내려진 결정에 의해 이미 정해집니다. 위협 행위자가 도메인 관리자 자격 증명을 확보하고 백업 플랫폼을 탐색할 무렵이면, 불변성과 격리, 테스트된 복구는 이미 갖춰져 있거나 그렇지 않거나 둘 중 하나입니다 — 위기 상황에서 뒤늦게 갖출 여유는 없습니다.

세 기둥을 조용히 무너뜨리는 흔한 실수들

사고 후 조사에서 반복적으로 나타나는 몇 가지 패턴이 있습니다.

• 스냅샷을 백업으로 착각하는 것. VMware 스냅샷은 보호 대상 VM과 동일한 데이터스토어에 저장되는 특정 시점의 델타(변경분)일 뿐, 독립적인 사본이 아닙니다. 크기가 무한정 커지고 성능을 저하시키며, 데이터스토어가 사라지는 순간 함께 사라집니다. 스냅샷은 단기적인 롤백을 위한 편의 기능이지 복구 전략이 아닙니다.
• '불변'을 검증된 속성이 아니라 단순 체크박스로 취급하는 것. 오브젝트 잠금과 보존 정책은 설정 가이드에 문서화되는 것만으로는 부족하며, 백업 플랫폼을 관리하는 바로 그 관리자 역할을 기준으로 실제 테스트되어야 합니다.
• 동일한 ID 도메인 내의 두 번째 사본을 '격리되었다'고 부르는 것. 프로덕션에서 침해당한 것과 동일한 자격 증명으로 백업 리포지토리에도 인증할 수 있다면, 지리적 또는 플랫폼상의 분리만으로는 진정한 격리라 할 수 없습니다.
• 복구 검증이 아니라 백업 완료 여부로 성공을 판단하는 것. 어젯밤 작업에 표시된 초록색 체크마크는 데이터가 어딘가에 기록되었다는 것만 알려줄 뿐입니다. 그 데이터가 실제로 복구 가능한지, 애플리케이션 일관성을 유지하고 있는지, 애초에 복구가 필요하게 만든 악성코드로부터 자유로운지는 알려주지 않습니다.

BackupSec이 어떻게 도움이 되는가

BackupSec은 기업 팀이 바로 이 세 가지 기둥을 기준으로 백업 환경을 운영할 수 있도록 지원합니다 — 백업 플랫폼을 대체하는 방식이 아니라, 백업 보안을 관찰 가능하고(observable), 자문 가능하며(advisable), 입증 가능하게(provable) 만드는 방식을 통해서입니다.

저희의 접근 방식은 세 가지 계층으로 구성됩니다.

• ZeroMON은 전체 백업 자산에 대한 지속적인 관찰 가능성을 제공합니다 — 실시간 작업 추적, 자동화된 보안 점검, 설정 변경(configuration drift)에 대한 포렌식 감사 추적, 원클릭 컴플라이언스 보고서를 갖춘 Veeam 대응 모니터링입니다. 이 계층이 바로 '불변성이 설정되어 있다'는 가정을 실제 증거로 바꿔주는 부분입니다.
• ZeroTAM은 백업 아키텍처, 격리 설계, 랜섬웨어 복구 계획에 대한 전담 전문가 자문을 제공합니다 — 대부분의 기업이 자사 백업 환경이 실제로 무엇을 말해주고 있는지 해석하고, 실제 사고와 맞닥뜨려도 견뎌낼 수 있는 격리를 설계하기 위해 필요로 하는 인적 계층입니다.
• ZeroPEN은 실제 공격자와 동일한 방식으로 백업 인프라를 침투 테스트합니다 — 관리 플레인, 접근 제어, 불변성 설정을 표적으로 삼습니다 — 그런 다음 실제 복구 시나리오를 실행하여, 단순히 백업 작업이 성공했다고 보고되는 수준이 아니라 명시된 RTO 내에 깨끗하고 완전하게 복구할 수 있는지를 검증합니다.

BackupSec은 온프레미스로 배포되며, 읽기 전용 API 접근을 통해 백업 애플리케이션에 연결되고, 백업 데이터를 여러분의 환경 밖으로 이동시키는 일이 없습니다.

BackupSec과 백업 보안 태세에 대해 상담하기 →

여러분의 백업이 실제 위기 상황에서도 버텨낼지 확인해보고 싶으신가요? 무료 Backup Security Assessment로 여러분의 환경을 점검해보세요.