2025년 Sophos 보고서에서 가장 과소평가된 수치
Sophos가 2025년 State of Ransomware 보고서를 발표했을 때, 대부분의 언론 보도는 암호화율 하락, 복구 시간 단축, 몸값 지불 감소와 같은 헤드라인 지표에 초점을 맞췄습니다. 이러한 수치는 실제이며 중요합니다. 하지만 올해 처음으로 다뤄진 보고서의 한 섹션—기업을 취약하게 만든 조직적 요인—에는 저희가 보기에 엔터프라이즈 리스크 리더들이 랜섬웨어를 바라보는 방식 전체를 재구성하는 단 하나의 통계가 묻혀 있습니다.
설문에 참여한 3,400개 기업 중, 피해 기업들은 자사에 대한 공격이 성공한 배경으로 평균 2.7개의 서로 다른 원인 요인을 지목했습니다.
하나가 아닙니다. 둘도 아닙니다. 성공한 모든 사고에서 거의 세 개에 달하는 독립적인 취약점이 동시에 작용하고 있었습니다.
이는 각주로 치부할 사항이 아닙니다. 이는 단일 통제 기반 랜섬웨어 방어의 시대가 끝났으며, 백업 아키텍처가 어느새 현대 엔터프라이즈 스택에서 가장 중요한 보완 통제 수단이 되었다는 것을 보여주는 수학적 증거입니다.
BackupSec는 이 2.7이라는 수치가 보고서 전체에서 전략적으로 가장 유용한 숫자라고 판단합니다. 이 글에서는 이 수치가 실제로 의미하는 바, 예방 중심 전략을 수학적으로 성립할 수 없게 만드는 이유, 그리고 백업을 여전히 '진짜' 보안의 부차적 요소로 취급하는 기업들에 시사하는 바를 살펴봅니다.
2.7이 실제로 의미하는 것
2025년 Sophos 보고서에서는 처음으로 응답자들에게 공격을 당한 배경이 된 조직적 요인을 지목하도록 요청했습니다. 단순한 기술적 침투 경로뿐 아니라, 자사를 취약하게 만든 보다 광범위한 운영상의 조건까지 포함해서 말입니다. 이 조사 결과는 어떤 경영진 요약본으로도 명확히 담아낼 수 없는 그림을 보여줍니다.
- 40.2%는 전문성 부족을 원인으로 꼽았습니다. 즉, 공격을 제때 탐지하고 차단할 수 있는 기술이나 지식이 충분하지 않았다는 것입니다.
- 40.1%는 인지하지 못한 보안 공백을 원인으로 꼽았습니다. 사고가 발생하기 전까지는 알지 못했던 방어 체계의 취약점입니다.
- 상당한 비율의 응답자가 역량 부족, 보호 제품 부족, 프로세스 규율의 공백, 그리고 자사 공격 표면에 대한 불완전한 가시성을 원인으로 지목했습니다.
- 여기에 더해 기술적 근본 원인도 겹쳐 있었습니다. 취약점 악용(32%), 자격 증명 탈취(23%), 악성 이메일(19%), 피싱(18%) 등입니다.
응답자들이 자사 사고의 원인이라고 생각한 요인들을 합산한 결과, 평균값은 2.7이었습니다. Sophos는 이를 '복잡하고 다면적인 상황'이라고 부릅니다. 저희는 이를 좀 더 정확하게 구조적 필연성이라고 부르고자 합니다.
2025년에 발생한 모든 성공적인 랜섬웨어 사고에 거의 세 개에 달하는 독립적인 실패가 관여했다면, 대다수 기업이 여전히 따르고 있는 암묵적인 방어 모델—'공백을 찾아 메운다'—은 셋 중 단 하나만 찾으면 되는 공격자를 상대로 작동하고 있는 셈입니다. 반면 방어자는 그 세 가지 모두를 동시에 관리해야 합니다.
이것은 보안의 문제가 아닙니다. 비대칭성의 문제입니다.
비대칭성: 하나의 문 대 일곱 개의 문
공격자의 관점에서 수학적으로 생각해 보십시오.
국가 배후 조직이든, RaaS 제휴 조직이든, 독립 공격자이든, 현대의 랜섬웨어 운영자는 여러분의 환경에 존재하는 모든 취약점을 식별하고 악용할 필요가 없습니다. 이들에게 필요한 것은 단 하나의 유효한 경로입니다. 패치되지 않은 시스템 하나, 탈취된 자격 증명 한 세트, 잘못 구성된 클라우드 버킷 하나, 피싱에 취약한 사용자 한 명, 관리상의 공백 하나면 충분합니다.
이제 방어자의 관점에서 수학적으로 생각해 보십시오. 여러분은 다음의 모든 것을 책임져야 합니다.
- 취약점 관리: 수천 개에 달하는 자산 전반에 걸쳐, 그 어떤 패치 주기로도 확실히 앞서 나갈 수 없는 사이클 속에서 이루어져야 합니다.
- ID 거버넌스: 사람인 사용자, 서비스 계정, 연합 ID, 그리고 점점 늘어나는 자율 에이전트 전반에 걸쳐 이루어져야 합니다.
- 이메일 및 협업 보안: 가장 흔한 침투 경로이자 인간 변수가 가장 크게 작용하는 영역입니다.
- 엔드포인트 보호: 시그니처 기반 탐지가 적응하는 속도보다 더 빠르게 진화하는 페이로드에 맞서야 합니다.
- 네트워크 세그멘테이션: 끊임없이 변화하는 위협 모델에 맞춰 설계되어야 합니다.
- 클라우드 및 SaaS 구성: 각기 다른 권한 모델을 가진 수십, 수백 개의 서비스 전반에 걸쳐 관리되어야 합니다.
- 백업 및 복구 인프라: 나머지 스택이 이미 막지 못한 상황에서도 반드시 작동해야 합니다.
공격자는 이 판에서 단 한 칸만 공략하면 됩니다. 방어자는 유한한 자원으로 매일 이 일곱 칸 모두를 지켜내야 합니다.
Sophos가 제시한 2.7이라는 수치는 이러한 비대칭성이 더 이상 가설이 아니라는 것을 실증적으로 확인해 줍니다. 2025년에 실제로 발생한 사고들에서 방어자들은 거의 세 칸에서 동시에 실패하고 있었습니다. 이는 방어자들이 태만해서가 아니라, 이 모델 자체가 완전한 예방에 구조적으로 불리하게 짜여 있기 때문입니다.
'근본 원인만 고치면 된다'는 접근이 수학적으로 틀린 이유
사고를 분석할 때 흔히 나오는 대응 방식은 '근본 원인'을 파악하고 이를 시정하는 것입니다. 컴플라이언스 프레임워크도 이러한 사고방식을 강화하며, 대부분의 사고 후 검토(post-incident review) 역시 마찬가지입니다. 2025년 Sophos 데이터는 이러한 접근 방식이 직관적으로는 만족스러울지 몰라도, 실제 현대 사고가 전개되는 방식과는 점점 더 괴리되고 있다는 것을 보여줍니다.
성공한 사고에 평균 2.7개의 원인 요인이 관여한다면, 단 하나의 근본 원인을 지목하는 것은 정의상 불완전한 분석일 수밖에 없습니다. 이는 공격자가 어느 문으로 들어왔는지는 말해주지만, 어째서 그 건물에 잠기지 않은 문이 그토록 많아서 그중 하나는 언제든 열려 있을 수밖에 없었는지는 말해주지 않습니다.
이는 실무적으로도 중요한 의미를 갖습니다. 작년 사고의 특정 침투 경로에 집착하며 소모한 자원은, 내년 사고를 좌우할 아키텍처상의 공백에는 투입되지 못한 자원이기 때문입니다. Sophos 데이터가 시사하는 바는, 단일 근본 원인 모드로 운영되는 기업들이 어떤 침투 경로든 파국적인 결과로 이어질지 여부를 결정하는 계층화된 통제에 구조적으로 과소 투자하고 있다는 것입니다.
전략적으로 재구성하자면 다음과 같습니다. 충분히 복잡한 엔터프라이즈 환경이라면, 공격자는 결국 유효한 경로를 찾아냅니다. 그 경로가 몸값 지불로 이어질지 여부를 결정하는 질문은 '우리가 모든 문을 잠갔는가'가 아니라 '문 하나가 열렸을 때 우리 아키텍처가 버텨내는가'입니다.
대다수 기업이 과소평가하는 보완 통제 수단
2.7이라는 수치가 피할 수 없이 드러내는 아키텍처적 통찰은 다음과 같습니다. 예방이 수학적 규칙성을 가지고 실패할 수밖에 없다면, 비즈니스 성과를 좌우하는 계층은 더 하류(downstream)로 이동합니다.
바로 이 지점에서 백업 아키텍처는 '인프라 위생 관리' 수준에서 '핵심 전략적 통제 수단'으로 격상됩니다.
단일 벡터 위협 모델에서 백업은 최후의 대비책일 뿐입니다. 그러나 2.7 요인 위협 모델에서 백업은 필연적으로 발생할 모든 예방 실패를 보완하는 통제 수단입니다. 2025년 Sophos 데이터는 이를 극명하게 보여줍니다.
- 예방 부문의 개선에도 불구하고, 기업의 48%가 몸값을 지불했습니다.
- 암호화된 데이터를 복구하기 위한 백업 활용률은 전년도 73%에서 53%로 떨어져 4년 만에 최저치를 기록했습니다.
- 직원 수 1,000명에서 5,000명 규모 기업의 평균 복구 비용은 183만 달러에 달했으며, 이는 지불된 몸값을 제외한 수치입니다.
이러한 수치를 2.7 요인이라는 배경 속에서 읽으면 이야기는 일관된 그림으로 맞춰집니다. 기업들은 일부 공격을 예방하는 데는 나아지고 있지만, 예방이 실패했을 때 결과를 좌우하는 복구 아키텍처는 개선하지 못하고 있습니다. 그 결과는 예방 성숙도와 복구 성숙도 사이의 격차 확대이며, 몸값 지불은 바로 그 격차 속에서 발생합니다.
엔터프라이즈 리스크 리더들에게 이는 아키텍처적 관심의 구체적인 재배분을 의미합니다. 탐지, ID, 패치에 대한 투자는 여전히 필수적입니다. 그러나 이들 중 어느 것도 2.7을 없애지는 못합니다. 이들은 그저 어느 날 어떤 세 개의 문이 열려 있을지를 바꿀 뿐입니다. 열린 문이 존폐를 위협하는 사고로 이어질지 여부를 결정하는 통제 수단은, 대다수 기업이 가장 현대화하지 못한 영역입니다. 바로 비즈니스에 필수적인 데이터의 깨끗하고 불변하며 검증된 사본을 보유하고, 적대적인 조건에서도 이를 복구할 수 있는 아키텍처입니다.
실제 사고에서 2.7은 어떤 모습으로 나타나는가
이를 구체적으로 살펴보기 위해, 실제 엔터프라이즈 환경에서 2.7이 통상적으로 어떻게 구성되는지 생각해 보십시오. 구체적인 요인은 상황마다 다르지만, 그 패턴은 일관됩니다.
첫 번째 요인은 대개 침투 경로입니다. 패치되지 않은 엣지 디바이스, 여러 시스템에 재사용된 탈취 자격 증명, 또는 성공한 피싱 이메일 등이 여기에 해당합니다. 이는 사고 후 보고서가 '근본 원인'이라고 부를 실패입니다.
두 번째 요인은 대개 최초의 침투 거점이 확장되도록 허용한 권한 또는 가시성의 실패입니다. 과도하게 부여된 상시 권한, 수평 이동(lateral movement) 탐지의 공백, 또는 사업부 간 불충분한 세그멘테이션 등이 여기에 해당합니다.
세 번째 요인은 거의 언제나 억제된 침해를 몸값 지불로 뒤바꾸는 복구 계층의 실패입니다. 프로덕션 환경에서 접근 가능한 백업 자격 증명, 탈취된 관리자가 수정할 수 있는 보존 정책, 또는 팀이 현재 직면한 실제 시나리오를 상정하고 한 번도 테스트해 본 적 없는 복구 절차 등이 여기에 해당합니다.
앞선 두 요인은 사고 대응 과정에서 주목을 받습니다. 세 번째 요인은 재무적 결과를 결정짓습니다. 그리고 세 번째 요인이야말로, 사고가 그 질문을 강제하기 전까지 대다수 기업이 가장 정직하게 평가할 준비가 되어 있지 않은 영역입니다.
이것이 바로 2.7이라는 수치가 가리키는 실무적 현실입니다. 이 요인들은 추상적인 개념이 아니라, 관리 가능한 보안 이벤트를 이사회 차원의 위기로 바꾸어 놓는 구체적인 실패의 연쇄입니다.
리스크 배분에 갖는 의미
2.7이라는 결과가 아키텍처적으로 의미가 있다고 받아들인다면—그리고 3,400개 기업을 기반으로 한 Sophos 데이터셋을 보면 이를 무시하기는 어렵습니다—몇 가지 배분에 관한 결론이 도출됩니다.
단일 계층이 아니라 실패 체인 전체에 투자를 분산하십시오. 복구 아키텍처는 그대로 둔 채 이메일 보안에만 투자를 집중하는 것은 어느 요인이 먼저 실패하는지를 바꿀 뿐, 전체 실패 건수를 줄이지는 못합니다. 백업을 상품화된 항목으로 취급하면서 예방에 불균형적으로 예산을 배분하는 엔터프라이즈 보안 예산은, 더 이상 실제 사고 전개 방식을 반영하지 못하는 위협 모델을 기준으로 운영되고 있는 것입니다.
단일 벡터 테스트가 아니라 다중 요인 시나리오를 기준으로 아키텍처를 평가하십시오. 하나의 방어선이 버틴다는 것을 확인해 주는 침투 테스트는 여러분의 환경이 실제 공격에서 살아남는다는 증거가 되지 못합니다. Sophos 데이터는 실제 공격이 거의 세 가지 취약점을 동시에 악용한다는 것을 보여줍니다. 테이블탑 훈련과 레드팀 활동은 이러한 복합적인 조건을 명시적으로 테스트하도록 설계되어야 합니다.
백업 완료 여부가 아니라 복구 신뢰도를 측정하십시오. Sophos의 엔터프라이즈 데이터에 나타난 53%라는 백업 활용률은 백업이 전반적으로 실패하고 있다는 이야기가 아닙니다. 이는 단일 요인 실패(서버 한 대가 고장 났다거나, 사용자가 파일 하나를 삭제한 경우)를 상정해 설계된 백업 아키텍처가, 다중 요인 조건(공격자가 2주간 네트워크에 침투해 모든 것을 건드린 경우) 하에서 작동하도록 요구받고 있다는 이야기입니다. 이 둘은 서로 다른 문제이며, 대다수의 엔터프라이즈 백업 환경은 전자를 위해 구축되어 있습니다.
복구 계층을, 이미 그렇게 되어 버린 보완 통제 수단으로 대하십시오. 예방이 수학적 규칙성을 가지고 실패한다면, 결과를 결정짓는 계층은 데이터의 깨끗하고 격리되며 불변하는 사본을 보유하고 적대적인 조건에서도 신속하게 복구할 수 있는 계층입니다. 이 계층은 그것이 보호하는 프로덕션 환경과 동일한 엄격함을 가지고 설계, 거버넌스, 테스트되어야 합니다.
BackupSec이 필요한 이유
BackupSec의 전체 접근 방식은 하나의 아키텍처적 전제를 중심으로 구축되어 있습니다. 예방은 결국 실패하며, 그 실패가 일어났을 때 실패가 회복 가능한 것인지 아니면 존폐를 위협하는 것인지를 결정하는 것은 복구 계층이라는 전제입니다.
Sophos 데이터의 2.7이라는 결과는 여러 면에서 이 전제를 실증적으로 뒷받침합니다. 저희가 제공하는 세 가지 서비스—가시성(observability), 자문, 그리고 침투 테스트를 거친 복구 증명—는 2.7이라는 수치가 엔터프라이즈 리스크 리더들로 하여금 반드시 마주하게 만드는 질문들에 답하기 위해 설계되었습니다.
- ZeroMON은 '우리 백업 환경은 지금 실제로 무엇을 하고 있는가?'라는 질문에 답합니다. 백업 운영 및 보안 신호에 대한 지속적인 모니터링, 실시간 포렌식 감사 추적, 구성 드리프트 탐지, 그리고 전체 백업 자산에 걸친 Veeam 대응 가시성을 통해서입니다.
- ZeroTAM은 '우리가 보고 있는 것을 해석할 전문성을 갖추고 있는가?'라는 질문에 답합니다. 여러분의 환경, 복구 우선순위, 아키텍처를 파악하고 있는 전담 백업 보안 어드바이저를 통해, 순환하는 지원 티켓의 번거로움 없이 선제적인 가이드와 위기 대응을 제공합니다.
- ZeroPEN은 '예방 계층이 실패했을 때 실제로 복구할 수 있는가?'라는 질문에 답합니다. 관리 플레인, 접근 통제, 불변성(immutability) 태세를 대상으로 하는 백업 침투 테스트를 실시한 뒤, 여러분이 설정한 RTO 및 RPO 기준에 맞춰 깨끗하고 완전하며 시간 내에 이루어지는 복구를 검증하는 실제 복구 시나리오를 진행합니다.
BackupSec는 온프레미스로 배포되며, 읽기 전용 API 접근을 통해 연결되고, 백업 데이터나 텔레메트리를 여러분의 환경 밖으로 이동시키는 일이 결코 없습니다. 저희는 여러분의 백업 플랫폼을 대체하지 않습니다. 대신 그 플랫폼이 지원하는 복구 계층을, Sophos 데이터가 설명하는 다중 요인 조건 하에서도 관찰 가능하고, 자문 가능하며, 증명 가능하게 만듭니다.
만약 귀사가 Sophos의 2025년 보고서를 읽고 그 해답이 모든 문을 잠그는 것이라고 결론짓고 있다면, 데이터는 다른 이야기를 하고 있습니다. 모든 문이 계속 잠겨 있지는 않을 것이며, 그중 하나가 열렸을 때 무슨 일이 벌어질지를 결정하는 아키텍처야말로 2026년에 나눌 가치가 있는 대화라는 것입니다.
이 분석은 Sophos의 State of Ransomware 2025 보고서 및 2025년의 보다 폭넓은 랜섬웨어 연구 동향을 토대로 작성되었습니다. 여기에 제시된 해석과 프레임워크는 BackupSec의 자체적인 견해입니다. 이 분석이 귀사의 구체적인 환경에 어떻게 적용될 수 있는지 논의하려면, 저희 팀에 문의하기 →