Sophos가 2025년 랜섬웨어 보고서에서 제대로 짚은 것 — 그리고 아무도 묻지 않는 백업 질문

경고음을 울려야 할 조용한 숫자

Sophos는 매년 수천 명의 IT 및 사이버보안 리더를 대상으로 한 벤더 중립적 설문조사를 바탕으로 State of Ransomware 보고서를 발간합니다. 2025년판은 17개국에서 3,400명의 응답자를 대상으로 조사했으며, 그중 1,733명은 1,000명 이상 직원을 보유한 엔터프라이즈 조직 소속이었습니다. 헤드라인 수치들은 흥미롭습니다. 데이터 암호화율은 하락하고 있고, 복구 속도는 빨라지고 있으며, 몸값 지불을 거부하는 조직도 늘어나고 있습니다.

그러나 엔터프라이즈 데이터 속에는 모든 CISO의 화이트보드에 적혀 있어야 할 숫자가 숨어 있습니다.

랜섬웨어 공격 복구를 위해 백업을 활용한 비율은 2024년 73%에서 2025년 53%로 떨어졌습니다. 이는 4년 만에 최저치입니다.

다시 한번 읽어보십시오. 방어자들이 랜섬웨어를 막는 데 더 나아졌다고 하는 해에, 정작 자신들의 백업에 의존해 복구하는 능력은 측정 가능할 만큼 더 나빠졌습니다.

이는 사소한 각주가 아닙니다. Sophos 데이터셋 전체에서 전략적으로 가장 중요한 발견이지만, 이를 언급하는 사람은 거의 없습니다.

BackupSec는 2025년 Sophos 보고서를 대부분의 애널리스트 요약과는 다르게 읽습니다. 헤드라인 수치는 하나의 이야기를 전하지만, 그 이면의 운영 데이터는 또 다른 이야기를 전합니다. 이 글에서는 이 보고서가 현대 랜섬웨어 회복탄력성에 대해 실제로 무엇을 드러내는지, 그리고 왜 백업 신뢰도가 조용히 엔터프라이즈 사이버 방어에서 가장 중요한 지표가 되었는지를 저희 관점에서 살펴봅니다.

표면적 서사: 방어가 승리하고 있다

먼저 좋은 소식부터 시작하겠습니다. 실제로 좋은 소식이 있기 때문입니다.

Sophos에 따르면 다음과 같습니다.

• 전 세계 데이터 암호화율이 50%로 하락했습니다. 이는 보고서 발간 6년 역사상 최저 수준으로, 전년 70%에서 낮아진 수치입니다.
• 엔터프라이즈 조직의 암호화율은 49%까지 떨어졌으며, 이는 2024년 66%에서 하락한 수치입니다.
• 암호화 이전에 차단된 공격의 비율은 2년 동안 2배 이상 증가해, 2023년 22%에서 2025년 47%로 늘어났습니다.
• 전 세계 평균 복구 비용은 273만 달러에서 153만 달러로 하락했습니다.
• 몸값 지불 중간값은 50% 하락해, 2024년 200만 달러에서 2025년 100만 달러가 되었습니다.
• 조직의 53%가 일주일 이내에 완전히 복구했으며, 이는 전년 35%에서 크게 늘어난 수치입니다.

이 수치들만 본다면 업계가 전환점을 맞이했다고 결론 내릴 수 있습니다. EDR은 성숙해지고 있습니다. 탐지 시간은 줄어들고 있습니다. 협상은 더 정교해지고 있습니다. 보험사들은 최소 보안 통제 요건을 더 강하게 요구하고 있습니다. 모두 사실입니다.

하지만 복구 데이터에 이르면 이야기는 더 이상 앞뒤가 맞지 않게 됩니다.

모든 것을 드러내는 모순

낙관적인 서사를 깨뜨리는 데이터가 여기 있습니다.

2025년 랜섬웨어 피해를 입은 엔터프라이즈 조직 중 암호화된 데이터를 복구하기 위해 백업을 활용한 비율은 53%에 불과했습니다. 이 수치는 불과 1년 전에는 73%였습니다. 한편 엔터프라이즈의 48%는 그럼에도 몸값을 지불했으며, 이는 이전 연도들과 비교해 대체로 큰 변화가 없는 수준입니다.

다시 말해, 암호화는 예전보다 덜 발생하고 있지만, 막상 발생했을 때 백업으로 벗어날 수 있다고 신뢰하는 조직은 더 줄었습니다. 대신 조직들은 지갑을 꺼내 듭니다.

Sophos 자체 분석은 이를 '백업 복구 역량에 대한 신뢰 저하'로 표현합니다. 이는 더 날카로운 사실을 완곡하게 표현한 것입니다.

기업들이 자신을 보호해줄 것이라고 믿어온 백업 인프라가, 실제 사고 상황에서는 제 역할을 하지 못하고 있습니다.

이것이 2025년 보고서의 핵심에 자리한 모순입니다. 방어자들은 공격을 조기에 차단하는 데는 점점 나아지고 있습니다. 그러나 실제로 공격이 성공해 데이터가 암호화되는 순간, 안전망 역할을 해야 할 복구 계층은 점점 더 우회되고, 그 대신 범죄자에게 돈을 지불하는 쪽을 선택하고 있습니다.

이는 랜섬웨어가 더 강력해졌다는 이야기가 아닙니다. 백업 아키텍처의 민낯이 드러나고 있다는 이야기입니다.

결정적 순간에 백업이 실패하는 이유

Sophos 보고서는 이 질문에 직접적으로 답하지 않지만, 주변 데이터를 종합하면 하나의 일관된 그림이 나타납니다. 아키텍처 관점에서 볼 때, 백업 신뢰도 붕괴를 설명하는 패턴은 세 가지입니다.

패턴 1: 프로덕션과 함께 손상되는 백업

2025년 보고서에 따르면 현재 랜섬웨어 공격의 75%는 암호화 이전에 데이터 유출을 수반합니다. 이는 현대의 위협 행위자들이 암호화 페이로드를 배포하기 전에 며칠에서 몇 주에 걸쳐 네트워크 내부에 머물면서 백업 인프라를 포함한 핵심 시스템을 식별하고 접근한다는 의미입니다.

업계 전반의 사고 대응(IR) 사례에서 관찰되는 바에 따르면, 이 체류 시간은 일관되게 한 가지 특정한 목적으로 사용됩니다. 바로 백업 저장소를 찾아내고, 그 자격 증명을 확보한 뒤, 프로덕션 페이로드가 실행되기 몇 시간 전에 백업을 암호화하거나 손상시키거나 보존 정책을 삭제하는 것입니다.

백업 시스템이 프로덕션 환경과 도메인, ID 제공자(identity provider), 또는 자격 증명 세트를 공유하고 있다면, 그것은 복구 계층이 아닙니다. 킬체인상의 두 번째 표적일 뿐입니다.

패턴 2: '백업 성공'은 '복구 성공'을 의미하지 않는다

Sophos의 데이터는 인적 비용을 명확히 보여줍니다. 데이터가 암호화된 조직의 전체 응답자가 자사의 IT/사이버보안 팀이 어떤 형태로든 영향을 받았다고 답했습니다. 스트레스 증가(엔터프라이즈 응답자의 40%), 경영진으로부터의 압박 증가(41%), 사고 이후 리더십 교체 등이 공통적으로 나타난 결과였습니다.

이러한 사례들에서 반복적으로 나타나는 패턴은, 사고가 진행되는 도중에야 팀이 수년간 운영해온 백업이 실제로는 비즈니스가 요구하는 속도나 완전성으로 복구될 수 없다는 사실을 발견한다는 점입니다. 작업 로그는 '성공'이라고 말합니다. 그러나 복구는 전혀 다른 이야기를 들려줍니다.

이는 정확히 3-2-1-1-0 규칙의 '0'이 다루고자 했던 실패 유형입니다. 즉, 백업 검증에서 오류 0건입니다. 그러나 검증은 대부분의 조직이 하고 있다고 주장하지만, 실제 사고에서 마주하게 될 복구 시나리오를 기준으로 지속적으로, 그리고 규모 있게 수행하는 조직은 극히 드뭅니다.

패턴 3: 가장 약한 고리는 조직 계층이다

2025년 처음으로 Sophos는 응답자들에게 공격을 받게 된 조직적 요인에 대해 질문했습니다. 그 결과는 인상적입니다.

• 40.2%가 '전문성 부족'을 지목했습니다. 공격을 제때 탐지하고 차단할 만한 역량이나 지식이 부족했다는 것입니다.
• 40.1%가 '알려지지 않은 보안 공백'을 지목했습니다. 스스로 인지하지 못했던 방어 체계상의 약점입니다.
• 응답자들은 사고 1건당 평균 2.7개의 기여 요인을 지목했습니다.

설문 용어를 풀어서 말하면 이렇습니다. 엔터프라이즈 보안 팀은 자신들이 인력과 자원이 부족하다는 것을 알고 있고, 사각지대가 있다는 것을 알고 있으며, 복잡성이 자신들의 관리 능력을 이미 앞질렀다는 것도 알고 있습니다. 일반적으로 엔터프라이즈 스택에서 가장 관심을 덜 받고 가장 현대화가 덜 된 계층인 백업 인프라는, 바로 이 세 가지 약점이 교차하는 지점에 놓여 있습니다.

백업 환경을 운영하는 사람들이 사고 대응, 패치, ID 관리를 비롯한 수십 가지 다른 우선순위 업무까지 동시에 담당하고 있다면, 백업 계층은 필요한 만큼의 아키텍처적 관심을 받지 못합니다. 그리고 정작 사고 상황에서 제 역할을 해야 할 때, 백업은 그 역할을 해내지 못합니다.

업종별 보고서가 더해주는 그림

Sophos는 2025년 데이터를 여러 업종별로 세분화하여 발표했으며, 각각의 결과는 주목할 만한 뉘앙스를 더해줍니다.

제조업에서는 암호화율이 5년 만에 최저치인 40%로 떨어졌지만, 지불된 몸값 중간값은 여전히 100만 달러에 달했으며, 제조업체의 47%가 사고 이후 팀 스트레스 증가를 보고했습니다. 단 몇 분의 다운타임이 공급망 전체로 파급되는 이 업종의 특성상, 운영 연속성에 대한 의존도 때문에 복구 신뢰도는 그야말로 생존이 걸린 문제입니다.

소매업에서는 사고의 46%가 알려지지 않은 보안 공백에서 비롯된 것으로 확인되었으며, 데이터가 암호화된 조직의 58%가 몸값을 지불했습니다. 이는 5년 내 두 번째로 높은 지불률입니다. 소매업의 몸값 요구액 중간값은 200만 달러로 두 배가 되었습니다.

업종을 막론하고 패턴은 일관됩니다. 조직들은 공격을 차단하는 능력은 나아지고 있지만, 그에 비례해 공격으로부터 복구하는 능력은 나아지지 않고 있습니다. 예방 성숙도와 복구 성숙도 사이의 격차는 점점 벌어지고 있으며, 바로 그 격차 속에서 몸값 지불이 발생합니다.

Sophos 보고서가 권고하는 것 (그리고 빠뜨린 것)

Sophos 자체 권고안은 예방, 보호, 탐지, 대응이라는 네 가지 영역에 초점을 맞추고 있습니다. 이는 합리적이며 데이터로도 뒷받침됩니다. 구체적으로 보고서는 다음을 권고합니다.

• 흔히 나타나는 기술적·운영적 근본 원인 제거(악용된 취약점, 취약한 ID 통제)
• 강화된 설정, MFA, 그리고 철저한 패치 관리를 통한 기초 보안 강화
• MDR(Managed Detection and Response) 역량에 대한 투자
• 상세한 사고 대응 계획 수립

모두 옳고, 모두 필요합니다. 그러나 보고서가 중심에 두지 않는 다섯 번째 축이 있으며, 2025년 백업 활용률 수치야말로 그것이 중심에 놓여야 하는 이유입니다.

복구 아키텍처 자체가 현대화되어야 합니다. 방어만으로는 충분하지 않습니다.

하드웨어 장애나 실수로 인한 삭제로부터 복구하도록 설계된 백업 환경은, 2주 동안 네트워크 내부에 머물러온 집요한 공격자로부터 복구하도록 설계된 백업 환경과는 다릅니다. 전자는 이중화(redundancy)의 문제입니다. 후자는 아키텍처의 문제입니다. 그리고 데이터는 대부분의 엔터프라이즈 백업 환경이 여전히 전자의 방식으로 운영되고 있음을 보여줍니다.

백업 신뢰도 격차: 대신 측정해야 할 것

2025년 Sophos 보고서에서 단 하나의 운영상 변화를 가져가야 한다면, 바로 이것이어야 합니다. 백업 성공률 측정을 멈추고, **백업 신뢰도(backup confidence)**를 측정하기 시작하십시오.

백업 성공률은 백업 소프트웨어가 별다른 노력 없이 제공해주는 지표입니다. '작업이 완료되었는가?'라고만 묻습니다. 이 지표는 이제 복구 지표로서는 의미가 없습니다. 위협 행위자들은 이 사실을 알고 있고, 방어자들도 서서히 이를 깨닫고 있습니다. 대시보드가 보여주는 것과 실제 사고에서 벌어지는 일 사이의 간극이야말로, 백업 기반 복구율이 20%포인트나 하락한 정확한 원인입니다.

백업 신뢰도는 다른 지표입니다. 이는 다음을 묻습니다.

• 오늘, 적대적 조건 하에서, 불변(immutable) 스토리지로부터 티어 1 시스템을 명시된 RTO 이내에 복구할 수 있는가?
• 프로덕션 ID 제공자가 손상되었을 때도 복구 절차가 작동하는가?
• 어떤 프로덕션 계층의 자격 증명으로도 보존 정책을 변경할 수 없다는 사실을 검증했는가?
• 작업 완료 여부뿐 아니라 공격자 행동까지 백업 시스템 텔레메트리로 모니터링하고 있는가?
• IR 팀이 '몸값을 지불해야 하는가?'라는 질문을 받았을 때, 그 답의 기술적 근거는 무엇인가?

이 질문들에는 답이 있습니다. 그러나 대부분의 기업은 현재 자신들의 답이 무엇인지조차 모르고 있으며, Sophos 데이터는 바로 그러한 불확실성이 대규모로 현실화된 결과입니다.

2025년 Sophos 데이터에서 얻은 결론

보고서 전체를 꼼꼼히 읽어보면, 저희가 발견한 이야기는 대부분의 요약본이 전한 이야기와는 다릅니다. 그 이야기는 다음과 같습니다.

업계는 랜섬웨어가 전체 페이로드에 도달하는 것을 막는 데 있어 의미 있는 진전을 이루었습니다. 이는 실질적이고 중요한 개선이며, 마땅히 인정받아야 합니다.

그러나 복구 계층, 즉 깨끗한 백업으로부터 복구할 수 있기에 결코 몸값을 지불할 필요가 없다는 아키텍처적 약속은 조용히 속이 비어가고 있습니다. 백업 기반 복구율의 20%포인트 하락은 연기에 불과합니다. 그 밑에 자리한 아키텍처적 격차가 바로 불입니다.

규제 산업에서 운영되거나, 복잡한 하이브리드 환경을 관리하거나, 혹은 단순히 자신의 자금으로 다음 랜섬웨어 캠페인에 자금을 대고 싶지 않은 기업이라면, 이것이 2026년의 최우선 논의 주제입니다. '백업이 있는가?'가 아닙니다. Sophos 설문에 응답한 모든 조직은 백업을 보유하고 있었습니다. 질문은 이것입니다. 우리의 백업 아키텍처는 실제 공격자를 견뎌낼 수 있는가, 그리고 필요해지기 전에 그것을 증명할 수 있는가?

BackupSec이 신뢰도 격차에 접근하는 방식

BackupSec는 백업 환경이 평상시 조건에서 단순히 작동하는 것을 넘어, 적대적 조건 하에서도 관찰 가능(observable)하고, 자문 가능(advisable)하며, 증명 가능(provable)해야 한다는 전제 위에 서비스를 구축했습니다. 저희 접근 방식의 모든 요소는 Sophos 데이터가 드러낸 실패 지점과 정확히 대응합니다.

• ZeroMON(저희 관찰 가능성 플랫폼)은 백업 운영과 보안 신호에 대한 지속적인 모니터링을 제공합니다. 실시간 작업 추적, 구성 드리프트(configuration drift) 경고, 포렌식 감사 추적, 용량 분석, 그리고 Veeam 대응 가시성까지 포함합니다. 이는 Sophos 데이터가 시사하는 '조용한 백업 실패'를 포착하는 계층입니다. '우리 백업이 대시보드가 말하는 대로 실제로 작동하고 있는가?'라는 질문에 대한 운영상의 답입니다.
• ZeroTAM(저희 전문 자문 서비스)은 엔터프라이즈 팀에 아키텍처 검토, 랜섬웨어 복구 계획, 용량 전략, 위기 대응을 위한 전담 백업 보안 어드바이저를 제공합니다. 이는 Sophos 응답자의 40.2%가 지목한 '전문성 부족'이라는 문제를 해결하는 인적 계층으로, 담당자가 계속 바뀌는 지원 티켓이나 일반적인 안내에 그치지 않습니다.
• ZeroPEN(저희 백업 침투 테스트 및 복구 검증 서비스)은 53%라는 백업 활용률 격차를 직접적으로 다룹니다. 저희는 실제 공격자와 동일한 방식으로 귀사의 백업 관리 플레인, 접근 통제, 불변성(immutability) 설정, 격리 태세를 침투 테스트합니다. 이어서 귀사의 RTO/RPO 목표에 대해 실제 복구 시나리오를 실행하고, 복구된 데이터가 깨끗하고 완전하며 공격자의 지속성(persistence)으로부터 자유로운지 검증합니다. 결과물은 단순한 발견 사항 목록이 아니라, 복구가 실제로 작동한다는 문서화된 증거입니다.

BackupSec는 온프레미스로 배포됩니다. 저희는 읽기 전용 API 접근을 통해 연결합니다. 귀사의 백업 데이터, 텔레메트리, 구성 세부 정보는 결코 귀사의 환경을 벗어나지 않습니다. 저희는 귀사의 백업 플랫폼을 대체하지 않습니다. 이미 운영 중인 플랫폼을 관찰 가능하고, 자문 가능하며, 증명 가능하게 만들 뿐입니다.

Sophos 엔터프라이즈 데이터에 나타난 53%라는 백업 활용률은 정해진 운명이 아닙니다. 이는 저물어가고 있는 한 아키텍처 시대의 결과물일 뿐입니다. 앞으로 12개월 안에 신뢰도 격차를 해소하는 조직이야말로, 내년 보고서의 '몸값을 지불했다' 항목에서 더 이상 이름이 오르지 않을 조직이 될 것입니다.

BackupSec와 함께 복구 준비 상태를 검증해 보십시오 →

본 분석은 Sophos의 State of Ransomware 2025 보고서 및 관련 업종별 발간물을 바탕으로 합니다. 여기 제시된 해석과 프레임워크는 BackupSec 고유의 관점입니다. 2025년 조사 결과가 귀사의 환경에 구체적으로 어떻게 적용되는지 논의하시려면 저희 팀에 문의해 주십시오 →