Sophos가 2025년 랜섬웨어에 대해 옳게 본 것, 그리고 아무도 묻지 않는 백업 질문

경보를 울려야 할 조용한 숫자 하나

Sophos는 매년 State of Ransomware 보고서를 발표합니다. 이 보고서는 Sophos가 독립적이고 벤더 중립적이라고 설명하는 설문조사를 바탕으로 하며, 대상은 조직이 랜섬웨어 피해를 입은 IT 및 사이버 보안 책임자들입니다. 2025년 6월에 발표된 2025년 판은 직원 수 100명에서 5,000명 사이 조직에 속한 17개국 응답자 3,400명을 다룹니다. 2025년 12월에는 Sophos가 별도의 분석본인 The State of Ransomware in Enterprise 2025를 발표했으며, 이는 직원 수 1,000명에서 5,000명 사이 기업의 응답자 1,733명을 다룹니다. Sophos는 각 보고서에 설문조사를 실시한 연도(2025년 1월에서 3월)를 붙이므로, 보고서가 다루는 공격 중 상당수는 2024년에 일어났습니다.

주요 결과는 고무적입니다. 데이터 암호화 비율은 떨어지고, 복구는 빨라지고 있으며, 몸값을 지불하는 피해자는 줄고 있습니다.

그런데 기업 보고서에는 모든 CISO의 화이트보드에 적혀 있어야 할 숫자가 하나 있습니다.

데이터가 암호화된 기업 가운데 백업을 사용해 데이터를 복원한 비율은 2024년 73%에서 2025년 53%로 떨어졌습니다. Sophos는 이를 4년 만의 최저치라고 부릅니다.

다시 한번 읽어 보십시오. 방어자들이 암호화 전에 랜섬웨어를 막는 데 더 능숙해진 해에, 실제로 암호화를 당한 기업들은 자체 백업으로 복구할 가능성이 측정 가능할 만큼 더 낮아졌습니다.

이것은 사소한 각주가 아닙니다. 저희는 이것이 Sophos 데이터에서 전략적으로 가장 중요한 발견이라고 봅니다. 헤드라인 숫자는 하나의 이야기를 하고, 복구 데이터는 또 다른 이야기를 합니다. 이 글에서는 이 데이터가 랜섬웨어 복원력에 대해 무엇을 드러낸다고 저희가 생각하는지, 그리고 왜 백업 신뢰도가 가장 중요한 지표가 되었는지 살펴봅니다.

표면의 서사: 방어가 이기고 있다

좋은 소식부터 시작하겠습니다. 실제로 좋은 소식이 있기 때문입니다.

2025년 본 보고서의 전체 응답자 3,400명 기준으로 보면 다음과 같습니다.

• 데이터 암호화는 공격의 50%로 떨어졌습니다. 2024년의 70%에서 줄어든 수치이며, 이 연구 6년 중 가장 낮은 비율입니다.
• 몸값을 제외한 평균 복구 비용은 273만 달러에서 153만 달러로 떨어졌습니다.
• 몸값 지불액 중앙값은 50% 떨어졌습니다. 2024년 200만 달러에서 2025년 100만 달러가 되었습니다.
• 피해자의 53%가 일주일 이내에 완전히 복구했습니다. 2024년의 35%에서 늘어난 수치입니다.
• 데이터가 암호화된 피해자의 49%가 몸값을 지불했습니다. 2024년의 56%에서 줄어든 수치입니다.

기업 보고서에 따르면 기업의 경우는 다음과 같습니다.

• 데이터 암호화는 공격의 49%로 떨어졌습니다. 2024년의 66%에서 줄어든 수치입니다.
• 암호화 전에 저지된 공격의 비율은 2년 만에 2023년 22%에서 2025년 47%로 두 배 이상 늘었습니다.

Sophos는 암호화 감소를 조직들이 "are more capable of stopping attacks before the encrypted payload is deployed"(암호화 페이로드가 배포되기 전에 공격을 저지할 역량이 더 커졌다)는 신호로, 복구 속도 향상을 "cyber incident preparation and recovery readiness"(사이버 사고 대비와 복구 준비)에 대한 투자의 신호일 수 있다고 해석합니다. 이 숫자들만 따로 보면 업계가 전환점을 돌았다고 말하는 것처럼 보입니다.

그런데 복구 데이터에 이르게 됩니다.

모든 것을 드러내는 모순

낙관적인 서사를 복잡하게 만드는 데이터 포인트가 있습니다.

데이터가 암호화된 기업 가운데 백업을 사용해 복원한 곳은 53%로, 1년 전의 73%에서 줄었습니다. 같은 기간 데이터를 되찾기 위해 몸값을 지불한 곳은 55%에서 48%로 줄었습니다(기업 보고서). 두 경로 모두 줄어든 것입니다. 데이터가 암호화된 기업의 3분의 1 가까이(30%)는 다른 수단을 사용했다고 답했으며, Sophos는 여기에 "restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems"(섀도 복사본에서의 복원, 엔드포인트 보호 제품의 롤백 기능 활용, 영향을 받지 않은 시스템에서의 데이터 복구)가 포함될 수 있다고 봅니다.

2024년에는 백업이 몸값 지불보다 18%포인트 앞섰습니다(73% 대 55%). 2025년에는 그 차이가 5%포인트였습니다(53% 대 48%). 몸값을 지불하는 기업이 줄어든 것은 좋은 소식입니다. 하지만 지불할 필요가 없도록 만들어 주어야 할 복구 계층이 짊어지는 몫은 커지기는커녕 줄어들고 있습니다.

Sophos 자체의 요약은 직설적입니다. "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience."(종합하면, 이러한 결과는 요구에 대한 저항이 강해졌음과 동시에 백업 복원력의 약점과 부족을 가리킨다.)

백업 복원력의 약점과 부족. 저희가 주목하는 부분이 바로 이것입니다. 방어자들은 공격을 초기에 막는 데 능숙해지고 있습니다. 하지만 공격이 성공해 데이터가 암호화되면, 안전망이 되어야 할 백업이 덜 자주 쓰이고 있습니다.

이것은 랜섬웨어가 더 어려워지고 있다는 이야기가 아닙니다. 백업 아키텍처의 민낯이 드러나고 있다는 이야기입니다.

결정적 순간에 백업은 왜 실패하는가?

Sophos 보고서는 백업 사용이 왜 줄었는지 말하지 않습니다. 이 설문조사는 데이터가 어떻게 복구되었는지를 기록할 뿐, 백업이 왜 사용되었거나 사용되지 않았는지는 기록하지 않습니다. 아래의 세 가지 패턴은 저희의 해석이며, Sophos 데이터가 있는 경우 그 데이터로 뒷받침합니다.

패턴 1: 백업이 프로덕션과 함께 침해되고 있다

공격자들은 의도적으로 백업을 노립니다. Sophos의 침해된 백업에 관한 2024년 연구에서 랜섬웨어 피해를 입은 조직의 94%는 공격자가 백업을 침해하려 시도했다고 답했으며, 그 시도의 57%가 성공했습니다. 백업이 침해된 조직은 몸값을 지불할 가능성이 거의 두 배 높았고(67% 대 36%), 복구 비용 중앙값은 8배 높았습니다(300만 달러 대 37만 5천 달러).

데이터 탈취는 압박을 더합니다. 기업 보고서에서 데이터가 암호화된 기업의 30%는 데이터도 탈취당했습니다(전체 기업 피해자의 15%). 깨끗한 복원도 이미 외부로 빠져나간 데이터에 대해서는 아무것도 해 주지 못합니다.

백업 시스템이 프로덕션 환경과 도메인, ID 공급자 또는 자격 증명 세트를 공유한다면, 그것은 별도의 복구 계층이 아닙니다. 같은 킬 체인의 다음 표적입니다.

패턴 2: "백업 성공"은 "복원 성공"과 같지 않다

기업 데이터에는 직접적인 신호가 담겨 있습니다. 최초 몸값 요구액보다 많이 지불한 기업 72곳 중 42%가 그 이유로 "Our backups failed or were malfunctioning"(백업이 실패했거나 오작동했다)을 들었습니다(기업 보고서). 표본은 작지만, 기업 피해자들이 자신들의 백업이 버텨 주지 못했다고 분명한 말로 밝힌 것입니다.

인적 비용도 분명합니다. 데이터가 암호화된 모든 기업이 IT/사이버 보안 팀에 여파가 있었다고 보고했습니다. 40%는 경영진의 압박이 커졌다고, 39%는 향후 공격에 대한 불안이나 스트레스가 커졌다고 답했으며, 27%의 사례에서는 팀의 리더가 교체되었습니다.

"성공"이라고 적힌 작업 로그는 백업이 실행되었다는 사실을 알려 줍니다. 비즈니스가 필요로 하는 속도나 완전성으로 복원이 이루어질지는 알려 주지 않습니다.

3-2-1-1-0 규칙의 "0"이 다루는 것이 바로 이 실패 유형입니다. Veeam의 보안 모범 사례 가이드는 이를 SureBackup으로 모든 백업의 복구 가능성을 자동 검증했을 때의 "0 errors"(오류 0)로 정의합니다. 완료된 작업은 검증된 복원이 아니며, 검증은 실제 사고에서 마주하게 될 복구 시나리오를 테스트할 때만 의미가 있습니다.

패턴 3: 조직 계층이 가장 약한 고리다

Sophos는 2025년에 처음으로 피해자들에게 자신들을 노출시킨 조직적 요인에 대해 물었습니다. 본 보고서의 전체 응답자 3,400명 기준으로 보면 다음과 같습니다.

• 40.2%가 전문성 부족을 꼽았습니다. 공격을 제때 탐지하고 막을 기술이나 지식이 없었다는 것입니다.
• 40.1%가 알려지지 않은 보안 공백을 꼽았습니다. 스스로 인지하지 못했던 방어상의 약점입니다.
• 39.4%가 인력 또는 역량 부족을 꼽았습니다.
• 응답자들은 평균 2.7개의 기여 요인을 꼽았습니다.

기업 분석본도 거의 같습니다. 알려지지 않은 보안 공백(40%), 인력 또는 역량 부족(39.2%), 전문성 부족(38.9%)이 목록의 상위를 차지하며, 평균 세 개의 요인이 꼽혔습니다.

솔직하게 읽으면 이렇습니다. 보안 팀은 인력과 기술이 부족하고, 스스로 볼 수 없는 사각지대를 안고 있습니다. 저희는 백업 인프라가 이 세 가지 약점이 모두 만나는 지점에 있다고 봅니다. 백업을 운영하는 사람들이 사고 대응, 패치, ID 관리까지 함께 맡고 있다면, 백업 인프라는 사고가 나서 제 역할을 요구받기 전까지 아키텍처 차원의 관심을 거의 받지 못합니다.

산업별 보고서가 더해 주는 것

Sophos는 2025년 설문조사의 산업별 분석본도 발표했습니다.

제조 및 생산 부문(응답자 332명)에서는 암호화 비율이 5년 만의 최저치인 40%로 떨어졌고, 몸값 지불액 중앙값은 120만 달러에서 줄어든 100만 달러였습니다. 47%는 IT/사이버 보안 팀에서 향후 공격에 대한 불안이나 스트레스가 커졌다고 보고했습니다. 백업 사용률은 58%로 변동이 없었습니다.

유통 부문(16개국 응답자 361명)에서는 암호화 비율이 48%로 떨어져 역시 5년 만의 최저치를 기록했습니다. 알려지지 않은 보안 공백이 가장 흔한 운영상 요인이었으며, 피해자의 46%가 이를 꼽았습니다. 데이터가 암호화된 유통 기업의 58%가 몸값을 지불했으며, Sophos는 이를 "the second highest ransom payment rate in five years"(5년 중 두 번째로 높은 몸값 지불률)라고 부릅니다. 몸값 요구액 중앙값은 100만 달러에서 200만 달러로 두 배가 되었고, 백업 사용률은 4년 만의 최저치인 62%로 떨어졌습니다.

산업별 양상은 엇갈립니다. 유통 부문의 백업 사용은 줄었고, 제조 부문은 유지되었습니다. 산업별 보고서가 기업 데이터와 공유하는 점은 예방이 백업 기반 복구보다 빠르게 개선되고 있다는 것입니다. 두 부문 모두 암호화 비율은 떨어졌지만, 백업 사용은 줄거나 제자리였습니다. 저희가 보기에 예방의 성숙도와 복구의 성숙도 사이의 이 격차가 바로 몸값 지불이 자리 잡는 곳입니다.

Sophos 보고서의 권고 사항 (그리고 저희가 더 무게를 두고 싶은 부분)

본 보고서와 기업 보고서는 똑같은 네 가지 권고로 끝을 맺습니다.

• 예방: 보고서가 밝힌 기술적, 운영적 근본 원인을 제거합니다.
• 보호: 탄탄한 기본 보안을 갖추고, 엔드포인트(서버 포함)를 잘 방어합니다. 여기에는 악의적 암호화를 막고 롤백할 수 있는 전용 안티랜섬웨어 보호가 포함됩니다.
• 탐지 및 대응: 연중무휴 위협 탐지 및 대응을 갖추고, 내부에 자원이나 기술이 부족하다면 MDR(managed detection and response) 공급자를 활용합니다.
• 계획 및 준비: 능숙하게 실행할 수 있는 사고 대응 계획을 갖추고, 양질의 백업을 확보하며 그 백업으로부터 데이터를 복원하는 연습을 정기적으로 합니다.

모두 옳습니다. 백업도 포함되어 있습니다. 계획 및 준비 항목 아래 한 문장으로요. 기업의 백업 수치를 고려하면, 저희는 복구에 그보다 더 큰 무게를 두겠습니다.

복구 아키텍처 자체를 방어하는 데 그치지 말고 현대화해야 합니다.

하드웨어 장애와 실수로 인한 삭제로부터 복구하도록 설계된 백업 환경은, 이미 네트워크 안에 들어와 백업부터 노리는 공격자로부터 복구하도록 설계된 환경과 같지 않습니다. 전자는 중복성의 문제이고, 후자는 아키텍처의 문제입니다. 복원 연습은 필요하지만, 공격자가 연습에 쓴 백업에 접근할 수 있다면 도움이 되지 않습니다.

백업 신뢰도 격차: 대신 무엇을 측정해야 하는가

2025년 Sophos 데이터에서 운영상의 변화 하나만 가져간다면 이것이어야 합니다. 백업 성공률을 복구 지표로 삼는 것을 멈추고, 백업 신뢰도를 측정하기 시작하십시오.

백업 성공률은 백업 소프트웨어가 공짜로 주는 지표입니다. 작업이 완료되었는가라는 한 가지 질문에만 답합니다. 그것만으로는 복구 지표가 되지 못합니다. 저희는 대시보드가 보여 주는 것과 사고 때 실제로 얻는 것 사이의 격차가, 백업 기반 복구가 20%포인트 떨어진 현상에 반영된 요인 중 하나라고 봅니다.

백업 신뢰도는 다른 질문을 던집니다.

• 경합 상황에서, 오늘 당장, 명시된 RTO 안에 불변 스토리지로부터 티어 1 시스템을 복원할 수 있는가?
• 프로덕션 ID 공급자가 침해되었을 때도 복구 절차가 작동하는가?
• 어떤 프로덕션 계층 자격 증명으로도 보존 정책을 수정할 수 없다는 것을 검증했는가?
• 작업 완료만이 아니라 공격자 행위를 찾기 위해 백업 시스템 텔레메트리를 모니터링하는가?
• IR 팀이 "몸값을 지불해야 하는가?"라는 질문을 받았을 때, 그 답의 기술적 근거는 무엇인가?

이 질문들에는 답이 있습니다. 많은 기업이 아직 자신의 답을 모를 뿐입니다.

2025년 Sophos 데이터에서 저희가 얻은 것

보고서를 전부 읽고 나서 저희가 보는 이야기는 이렇습니다.

조직들은 랜섬웨어가 데이터를 암호화하기 전에 막는 데 의미 있게 나아졌습니다. 이는 실질적인 개선이며 인정받을 만합니다.

하지만 복구 계층, 즉 깨끗한 백업에서 복원할 수 있으니 조직이 결코 몸값을 낼 필요가 없으리라는 약속은 짊어지는 몫이 줄어들고 있습니다. 기업 데이터에서 백업 기반 복구가 20%포인트 떨어진 것은 연기입니다. 저희는 그 아래 있는 아키텍처의 공백이 불이라고 봅니다.

규제 산업에 속해 있거나, 복잡한 하이브리드 환경을 운영하거나, 단지 다음 랜섬웨어 캠페인에 자금을 대 주고 싶지 않은 기업이라면, 지금 이 대화를 나눠야 합니다. 질문은 "백업이 있는가?"가 아닙니다. 질문은 이것입니다. 우리의 백업 아키텍처는 실제 공격자를 견뎌 내는가, 그리고 필요해지기 전에 그것을 입증할 수 있는가?

BackupSec이 신뢰도 격차에 접근하는 방식

BackupSec은 백업 환경이 정상 조건에서 운영되는 것만으로는 부족하며, 적대적 조건에서 관찰 가능하고 테스트되어야 한다는 전제에서 출발합니다. 저희 서비스 중 세 가지가 위에서 본 실패에 대응합니다.

• ZeroMON은 Veeam Backup & Replication을 모니터링합니다. 작업 상태, 누가 무엇을 언제 변경했는지 기록하는 Forensic & Audit 이력과 함께 구성 드리프트, Security Analyzer 체크리스트, 보고서, 그리고 모니터링 어플라이언스의 허니팟을 제공합니다. Veeam 자체 리포지토리 설정이 보고하는 그대로 불변성 상태를 보여 주며, Veeam의 구성을 읽을 뿐 스토리지의 오브젝트 수준 잠금을 검증하지는 않습니다. 경보는 이메일과 인앱 알림으로 전달됩니다. ZeroMON은 OVA 형태로 온프레미스에 배포되고 읽기 전용 계정으로 연결되며, 수집한 어떤 것도 BackupSec이나 제3자에게 보내지 않습니다.
• ZeroTAM은 아키텍처 검토, 랜섬웨어 복구 계획, 용량 계획, 위기 시 우선 지원을 위한 전담 백업 보안 어드바이저를 팀에 제공합니다. 소프트웨어가 아니라 자문 서비스이며, 위에서 본 전문성 부족과 역량 부족이라는 결과에 직접 대응합니다.
• ZeroPEN은 Veeam Backup & Replication, Veeam ONE, Enterprise Manager를 대상으로 하는 위협 주도형 모의 침투 테스트입니다. MITRE ATT&CK에 매핑된 랜섬웨어 킬 체인을 8단계로 시뮬레이션합니다. 초기 접근, 탐색 및 인벤토리 파악, 자격 증명 악용, Veeam 서버 장악, 리포지토리 접근, 백업 무력화, 데이터 유출 시뮬레이션, 암호화 능력 입증입니다. 비파괴적 방식입니다. ZeroPEN은 "never deletes real backups, performs real encryption, or stops production or backup services"(실제 백업을 삭제하거나, 실제 암호화를 수행하거나, 프로덕션 또는 백업 서비스를 중단하는 일이 절대 없습니다). 이 과정에는 복원 무결성 및 불변성 검증도 포함되며, 감사 대응이 가능한 보고서 패키지와 치명적 발견 사항에 대한 재테스트로 마무리됩니다.

저희는 백업 플랫폼을 대체하지 않습니다. 이미 운영 중인 플랫폼을 보고 테스트할 수 있도록 돕습니다.

Sophos 기업 데이터의 53%는 정해진 운명이 아닙니다. 저희가 보기에 그것은 다른 위협을 전제로 만들어진 백업 아키텍처를 반영합니다.

백업 보안에 대해 BackupSec과 상담하기 →

이 분석은 Sophos의 State of Ransomware 2025 보고서, State of Ransomware in Enterprise 2025 보고서, 그리고 2025년 산업별 보고서를 바탕으로 합니다. 해석은 BackupSec 자체의 것입니다. Sophos는 이후 The State of Ransomware 2026을 발표했으며, 이 글은 2025년 데이터를 다룹니다. 이러한 결과가 여러분의 환경에 어떻게 적용되는지 논의하려면 저희 팀에 문의하십시오 →