2.7의 문제: 랜섬웨어 피해자는 왜 대개 둘 이상의 약점에 직면하는가

2025년 Sophos 보고서에서 가장 과소평가된 숫자

Sophos가 2025년 6월 State of Ransomware 2025 보고서를 발표했을 때 주요 결과는 고무적이었습니다. 데이터가 암호화된 공격은 2024년의 70%에서 줄어든 50%였습니다. 피해자의 53%가 일주일 이내에 완전히 복구해 35%에서 늘었습니다. 몸값 지불액 중앙값은 200만 달러에서 100만 달러로 절반이 되었습니다. 이 숫자들은 실제이며 중요합니다. 하지만 이 보고서는 처음으로 다룬 주제가 하나 더 있었습니다. 기업을 노출시킨 조직적 요인입니다. 저희가 보기에 그 부분의 통계 하나가 기업 리스크 책임자들이 랜섬웨어를 바라보는 방식을 새롭게 정의합니다.

이 설문조사는 17개국의 IT 및 사이버 보안 책임자 3,400명을 대상으로 했으며, 모두 직원 수 100명에서 5,000명 사이의 조직에 속해 있고 지난 12개월 동안 랜섬웨어 피해를 입은 곳이었습니다. 조직이 왜 피해를 입었는지 묻자, 응답자들은 평균 2.7개의 기여 요인을 꼽았습니다.

하나가 아닙니다. 둘도 아닙니다. 피해자들은 평균적으로 한 건의 공격 뒤에 있는 운영상의 조건을 세 개 가까이 꼽았습니다.

이것은 각주가 아닙니다. 단일 통제 중심의 랜섬웨어 방어가 피해자들이 직접 설명하는 사고의 실제 모습과 맞지 않는다는 강력한 증거이며, 백업 아키텍처가 어느새 기업 보안 스택에서 가장 중요한 보완 통제 중 하나가 되었다는 증거입니다.

BackupSec은 2.7이라는 수치가 이 보고서에서 전략적으로 가장 유용한 숫자라고 생각합니다. 이 글에서는 이 수치가 무엇을 측정하는지, 왜 예방에만 의존하는 전략을 옹호하기 어렵게 만드는지, 그리고 백업을 여전히 "진짜" 보안의 부수적인 것으로 취급하는 조직에 어떤 의미가 있는지 풀어 봅니다.

2.7이 실제로 의미하는 것

Sophos가 던진 질문은 "Why do you think your organization fell victim to the ransomware attack?"(귀사가 랜섬웨어 공격의 피해를 입은 이유는 무엇이라고 생각하십니까?)였습니다. 응답자들은 일곱 가지 운영상의 이유 중 둘 이상을 고를 수 있었고, 평균적으로 2.7개를 골랐습니다. 전체 목록과 각 항목을 꼽은 응답자(3,400명 기준)의 비율은 다음과 같습니다.

• 전문성 부족: 40.2%. 공격을 제때 탐지하고 막을 기술이나 지식이 없었습니다.
• 알려지지 않은 보안 공백: 40.1%. 조직이 인지하지 못했던 방어상의 약점입니다.
• 인력/역량 부족: 39.4%. 공격 당시 시스템을 모니터링하는 사이버 보안 전문가가 충분하지 않았습니다.
• 보호 수단 부족: 39.0%. 필요한 사이버 보안 제품과 서비스를 갖추지 못했습니다.
• 알고 있었지만 해결하지 않은 보안 공백: 38.2%.
• 공격을 막지 못한 낮은 품질의 보호 수단: 37.1%.
• 인적 오류: 34.2%.

질문 방식에서 두 가지를 알 수 있습니다. 2.7은 평균값이므로, 어떤 피해자는 요인 하나를, 어떤 피해자는 여러 개를 꼽았습니다. 또한 이 수치는 포렌식 조사의 결과가 아니라 응답자들이 기여했다고 믿는 것을 기록한 것입니다. 요인들은 서로 겹치기도 합니다. Sophos는 이를 보호 문제(응답자의 63%), 인력 및 자원 문제(63%), 보안 공백(65%)으로 묶고, "no single stand-out source"(두드러진 단일 원인은 없다)라고 결론 내립니다.

Sophos는 기술적 진입 지점에 대해서는 따로 물었습니다. 악용된 취약점이 공격의 32%에서 근본 원인이었고, 침해된 자격 증명이 23%, 악성 이메일이 19%, 피싱이 18%였습니다. 이 비율은 공격자가 어떻게 들어왔는지를 설명합니다. 2.7은 그 주변의 조건을 설명합니다.

Sophos 자체의 요약은 "victims are typically facing multiple operational challenges"(피해자들은 대개 여러 운영상의 문제에 동시에 직면해 있다)입니다. 저희는 이를 연이은 불운이 아니라 구조적인 문제로 읽습니다.

피해자들이 대개 세 개 가까운 기여 조건을 꼽는다면, 대부분의 기업이 여전히 따르고 있는 "공백을 찾아서 막는다"는 방어 모델은 그중 하나만 악용할 수 있으면 되는 공격자를 상대하는 셈입니다. 반면 방어자는 그 모두를 한꺼번에 관리해야 합니다.

이것은 보안 문제가 아닙니다. 비대칭의 문제입니다.

비대칭: 문 하나 대 문 일곱 개

공격자의 관점에서 계산해 봅시다.

현대의 랜섬웨어 운영자(국가 연계 그룹, RaaS 제휴 조직, 독립적인 공격 조직)는 여러분 환경의 모든 약점을 찾아내 악용할 필요가 없습니다. 실행 가능한 경로 하나면 됩니다. 패치되지 않은 시스템 하나, 침해된 자격 증명 한 세트, 잘못 구성된 클라우드 버킷 하나, 피싱에 넘어가기 쉬운 사용자 한 명, 관리상의 공백 하나.

이제 방어자의 관점에서 계산해 봅시다. 여러분은 다음을 책임져야 합니다.

1. 수천 개의 자산에 걸친 취약점 관리. 어떤 패치 주기도 확실하게 앞서 나갈 수 없는 속도로 돌아갑니다.
2. 사람 사용자, 서비스 계정, 페더레이션 ID, 그리고 점점 늘어나는 자율 에이전트에 걸친 ID 거버넌스.
3. 이메일 및 협업 보안. 주요 진입 지점이자 인적 변수가 가장 큰 영역입니다. Sophos 설문조사에서 악성 이메일과 피싱을 합치면 공격의 37%에서 근본 원인이었습니다.
4. 시그니처 기반 탐지가 적응하는 속도보다 빠르게 진화하는 페이로드에 맞서는 엔드포인트 보호.
5. 끊임없이 바뀌는 위협 모델에 맞춰 설계해야 하는 네트워크 세분화.
6. 각기 고유한 권한 모델을 가진 수십, 수백 개 서비스에 걸친 클라우드 및 SaaS 구성.
7. 나머지 스택이 이미 막지 못한 상황에서도 작동해야 하는 백업 및 복구 인프라.

공격자는 이 판에서 한 칸만 둡니다. 방어자는 한정된 자원으로 매일 일곱 칸 모두를 둡니다.

이 일곱 영역은 저희가 정리한 틀이며, Sophos의 일곱 가지 응답 선택지가 아닙니다. Sophos의 목록은 전문성, 역량, 알려지지 않은 공백 같은 조직적 조건을 설명하며, 이 조건들은 위의 모든 영역에 걸쳐 있습니다. 그래도 2.7이라는 수치는 이 비대칭을 데이터로 뒷받침합니다. 피해자들은 자신이 겪은 공격(설문은 지난 12개월에 대해 물었으므로 상당수는 2024년에 일어났습니다)을 평균 세 개 가까운 기여 조건이 만들어 낸 결과로 설명했습니다. 이는 태만의 징후가 아닙니다. 완벽한 예방은 구조적으로 달성하기 어렵다는 징후입니다.

"근본 원인만 고치면 된다"가 잘못된 계산인 이유

사고 분석에 대한 흔한 대응은 "근본 원인"을 찾아내 이를 해소하는 것입니다. 대부분의 사고 후 검토도 이런 사고방식을 강화합니다. 2025년 Sophos 데이터는 이 틀이 직관적으로는 만족스럽지만, 피해자들 스스로가 무엇이 잘못되었다고 설명하는지를 놓치고 있음을 보여 줍니다.

피해자들이 평균 2.7개의 기여 요인을 꼽는다면, 단일 근본 원인에서 멈추는 검토는 불완전할 가능성이 큽니다. 그 검토는 공격자가 어느 문으로 들어왔는지 알려 줍니다. 하지만 건물에 잠기지 않은 문이 왜 그렇게 많아서 그중 하나는 언제든 열려 있을 수밖에 없었는지는 알려 주지 않습니다.

이는 운영상 중요합니다. 작년 사고의 특정 진입 경로에 쓴 자원은 내년의 결과를 좌우할 아키텍처 공백에 쓰지 못한 자원입니다. 저희가 Sophos 데이터를 읽는 방식은 이렇습니다. 단일 근본 원인 방식으로 일하는 조직은 어떤 진입 경로든 파국적인 결과로 이어질지 여부를 결정하는 계층형 통제에 과소 투자하고 있을 가능성이 큽니다.

전략적 재구성은 이렇습니다. 충분히 복잡한 기업 환경이라면 공격자는 결국 실행 가능한 경로를 찾아냅니다. 그 경로가 몸값 지불로 이어질지를 결정하는 질문은 "모든 문을 닫았는가?"가 아니라 "그중 하나가 열렸을 때 우리 아키텍처가 살아남는가?"입니다.

대부분의 기업이 과소평가하는 보완 통제

2.7이라는 수치가 가리키는 아키텍처적 통찰은 이것입니다. 예방이 어느 정도 규칙적으로 실패한다면, 비즈니스 결과를 결정하는 계층은 하류로 옮겨 갑니다.

바로 여기서 백업 아키텍처는 "인프라 위생"에서 "핵심 전략적 통제"로 올라섭니다.

단일 경로 위협 모델에서 백업은 대비책입니다. 다중 요인 위협 모델에서 백업은 필연적으로 일어날 예방 실패에 대한 보완 통제입니다. 직원 수 1,000명에서 5,000명 사이 조직의 응답자 1,733명을 바탕으로 한 Sophos의 첫 번째 State of Ransomware in Enterprise 2025 보고서는 무엇이 걸려 있는지 보여 줍니다.

• 데이터가 암호화된 기업 피해자의 48%가 데이터를 되찾기 위해 몸값을 지불했습니다. 2024년의 55%에서 줄어든 수치입니다.
• 암호화된 데이터를 복원하기 위한 기업의 백업 사용은 4년 만의 최저치인 53%로 떨어졌습니다. 2024년의 73%에서 줄어든 수치입니다.
• 2025년 본 보고서에 따르면 직원 수 1,000명에서 5,000명 사이 조직은 복구에 평균 183만 달러를 썼습니다(지불한 몸값 제외).

Sophos는 지불 수치와 백업 수치를 함께 놓고, 이것이 "to stronger resistance to demands together with weaknesses and lack of backup resilience"(요구에 대한 저항이 강해졌음과 동시에 백업 복원력의 약점과 부족)를 가리킨다고 해석합니다. 또한 데이터가 암호화된 기업의 30%가 다른 수단으로 복원했다고 언급하므로, 백업 사용의 감소가 오로지 백업 실패만의 이야기는 아닙니다. 그래도 그림은 일관됩니다. 암호화까지 이르는 공격은 줄었지만, 암호화까지 이르렀을 때 백업이 복구를 감당한 것은 기업 사례의 약 절반뿐이었습니다. 예방의 성숙도와 복구의 성숙도 사이의 격차가 바로 몸값 지불이 자리 잡는 곳입니다.

기업 리스크 책임자에게 이는 아키텍처에 대한 관심을 구체적으로 재배분해야 함을 뜻합니다. 탐지, ID, 패치에 대한 투자는 모두 여전히 필수입니다. 하지만 그중 어느 것도 2.7을 없애지 못합니다. 그날그날 어느 세 개의 문이 열려 있는지를 바꿀 뿐입니다. 열린 문 하나가 존립을 위협하는 사고로 번질지 결정하는 통제는 대부분의 조직이 현대화를 소홀히 해 온 바로 그것입니다. 비즈니스 핵심 데이터의 깨끗하고, 불변이며, 검증된 사본을 보관하고, 적대적 조건에서 이를 복원할 수 있는 아키텍처입니다.

실제 사고에서 2.7은 어떤 모습일 수 있는가

Sophos는 2.7을 순서대로 분해하지 않으므로, 아래 내용은 설문 데이터가 아니라 기업 환경에서 기여 요인들이 어떻게 조합될 수 있는지에 대한 저희의 예시입니다.

첫 번째 요인은 대개 진입 경로입니다. 패치되지 않은 경계 장비, 여러 시스템에서 재사용된 침해된 자격 증명, 또는 성공한 피싱 이메일입니다. 사고 후 보고서가 "근본 원인"이라고 부르게 될 실패입니다.

두 번째 요인은 대개 초기 발판이 확장되도록 허용한 권한 또는 가시성의 실패입니다. 과도한 상시 권한, 측면 이동 탐지의 공백, 또는 사업 부문 간의 불충분한 세분화입니다.

세 번째 요인은 저희가 집중하는 것입니다. 억제된 침해를 몸값 지불로 바꿔 놓는 복구 계층의 실패입니다. 프로덕션에서 접근할 수 있는 백업 자격 증명, 침해된 관리자가 수정할 수 있는 보존 정책, 또는 팀이 지금 마주한 시나리오를 상대로 한 번도 테스트해 본 적 없는 복원 절차입니다. Sophos에는 이에 관한 좁은 데이터 포인트가 하나 있습니다. 2025년 본 보고서에서 최초 몸값 요구액보다 많이 지불한 151개 조직 중 38%가 백업이 실패했거나 오작동했다고 답했습니다.

사고 대응에서 관심을 받는 것은 처음 두 요인입니다. 재무적 결과를 결정하는 것은 세 번째 요인인 경우가 많으며, 사고가 이 질문을 강요하기 전까지는 정직하게 평가하기 어렵습니다.

2.7이라는 수치가 가리키는 운영상의 현실이 바로 이것입니다. 요인들은 추상적이지 않습니다. 이들이 합쳐져, 관리 가능한 보안 이벤트를 이사회 수준의 위기로 바꾸는 실패의 연쇄가 됩니다.

리스크 배분에 주는 의미

2.7이라는 결과를 아키텍처적으로 의미 있는 것으로 받아들인다면(피해 조직 3,400곳을 대상으로 한 설문조사이므로 무시하기 어렵습니다), 배분에 관한 몇 가지 결론이 따라옵니다.

투자를 단일 계층 안이 아니라 실패의 연쇄 전체에 걸쳐 분산하십시오. 복구 아키텍처는 그대로 둔 채 이메일 보안에만 더 투자하면, 어떤 요인이 먼저 실패하는지가 바뀔 뿐 실패의 총 개수는 줄지 않습니다. 백업을 소모품 항목처럼 취급하면서 예방에 불균형적으로 예산을 배분하는 기업 보안 예산은, 피해자들이 설명하는 사고의 실제 모습을 반영하지 않는 위협 모델을 전제로 운영되고 있는 것입니다.

아키텍처를 단일 경로 테스트가 아니라 다중 요인 시나리오로 평가하십시오. 방어 하나가 버틴다는 것을 확인하는 테스트는 여러분의 환경이 실제 공격을 견딘다는 증거가 아닙니다. Sophos 설문조사에서 피해자들은 평균 세 개 가까운 기여 요인을 꼽았습니다. 도상 훈련과 레드팀 활동은 이러한 복합 조건을 명시적으로 테스트하도록 설계되어야 합니다.

백업 완료가 아니라 복구 신뢰도를 측정하십시오. Sophos는 기업의 백업 사용이 왜 53%로 떨어졌는지 말하지 않으며, 감소분의 일부는 다른 복구 방법을 반영합니다. 저희의 해석은 이렇습니다. 많은 백업 아키텍처는 단일 요인 장애(서버가 죽었다, 사용자가 파일을 삭제했다)를 위해 설계되었는데, 이제 다중 요인 조건(공격자가 2주 동안 네트워크에 머물며 모든 것을 건드렸다)에서 제 역할을 하도록 요구받고 있습니다. 둘은 서로 다른 문제입니다. Sophos 자체의 권고는 "make quality backups and regularly practice restoring data from them"(양질의 백업을 만들고 그 백업으로부터 데이터를 복원하는 연습을 정기적으로 하라)입니다.

복구 계층을 이제 그 역할이 된 보완 통제로 다루십시오. 예방이 때때로 실패할 수밖에 없다면, 결과를 결정하는 계층은 데이터의 깨끗하고 격리된 불변 사본을 보관하며 적대적 조건에서 이를 신속하게 복원할 수 있는 계층입니다. 이 계층은 그것이 보호하는 프로덕션 환경과 같은 엄격함으로 설계되고, 관리되고, 테스트되어야 합니다.

BackupSec의 역할

BackupSec의 접근 방식은 하나의 전제 위에 세워져 있습니다. 예방은 결국 어딘가에서 실패할 것이며, 그때 그 실패가 복구 가능한 것인지 존립을 위협하는 것인지를 결정하는 것은 복구 계층이라는 전제입니다.

저희 서비스 중 세 가지가 2.7이라는 수치가 제기하는 질문에 대응합니다.

• ZeroMON은 "우리 백업 환경은 지금 실제로 무엇을 하고 있는가?"에 답합니다. Veeam Backup & Replication을 모니터링하며, 작업 상태, 누가 무엇을 언제 변경했는지 기록하는 구성 변경 이력(Forensic & Audit), Security Analyzer 체크리스트, 보고서, 그리고 모니터링 어플라이언스의 허니팟을 제공합니다. Veeam 자체 리포지토리 설정이 보고하는 그대로 불변성 상태를 보여 주며, Veeam의 구성을 읽을 뿐 스토리지의 오브젝트 수준 잠금을 검증하지는 않습니다. 경보는 이메일과 인앱 알림으로 전달됩니다. ZeroMON은 OVA 형태로 온프레미스에 배포되고, 읽기 전용 계정으로 연결되며, BackupSec이나 어떤 제3자에게도 아무것도 보내지 않습니다.
• ZeroTAM은 "우리가 보고 있는 것을 해석할 전문성이 있는가?"에 답합니다. Sophos 목록에서 가장 흔한 요인 뒤에 있는 질문입니다. 전담 백업 보안 어드바이저가 아키텍처, 랜섬웨어 복구 계획, 용량을 다루며, 위기 시 우선 지원을 제공합니다. 소프트웨어가 아니라 자문 서비스입니다.
• ZeroPEN은 "공격자가 우리 백업을 상대로 어디까지 갈 수 있는가?"에 답합니다. Veeam Backup & Replication, Veeam ONE, Enterprise Manager를 대상으로 하는 위협 주도형 모의 침투 테스트로, MITRE ATT&CK에 매핑된 8단계로 랜섬웨어 킬 체인을 시뮬레이션하며, 초기 접근부터 백업 무력화를 거쳐 암호화 능력 입증까지 진행합니다. 비파괴적 방식입니다. "never deletes real backups, performs real encryption, or stops production or backup services."(실제 백업을 삭제하거나, 실제 암호화를 수행하거나, 프로덕션 또는 백업 서비스를 중단하는 일이 절대 없습니다.) 발견 사항은 감사 대응이 가능한 증거와 함께 제공되며, 치명적 발견 사항은 재테스트됩니다.

저희는 백업 플랫폼을 대체하지 않습니다. 그 플랫폼이 뒷받침하는 복구 계층을 관찰 가능하게 만들고, 이해할 수 있게 만들고, Sophos 데이터가 설명하는 다중 요인 조건을 상대로 테스트할 수 있도록 돕습니다.

여러분의 조직이 Sophos 2025 보고서를 읽고 모든 문을 닫는 것이 답이라고 결론 내리고 있다면, 데이터는 다른 것을 말하고 있습니다. 모든 문이 계속 닫혀 있지는 않을 것이며, 그중 하나가 열렸을 때 무슨 일이 일어날지를 결정하는 아키텍처야말로 2026년에 나눌 가치가 있는 대화입니다.

BackupSec과 상담하기 →

이 분석은 Sophos의 State of Ransomware 2025 및 State of Ransomware in Enterprise 2025 보고서를 바탕으로 합니다. 해석과 프레임워크는 BackupSec 자체의 것입니다. 이 분석이 여러분의 환경에 어떻게 적용되는지 논의하려면 저희 팀에 문의하십시오 →