Sophos 데이터에서 가장 지루한 발견이 가장 중요한 발견이기도 하다
해마다 랜섬웨어를 둘러싼 논의는 새로운 공격 기법에 대한 이야기로 더 시끄러워집니다. AI가 생성한 피싱. 딥페이크 소셜 엔지니어링. 적대적 머신러닝. 환경 내 기본 바이너리를 악용하는 Living-off-the-land 기법. 잘 알려지지 않은 종속성을 통한 공급망 침해. 이런 서사는 어김없이 방어자들이 근본적으로 새로운 도구를 필요로 하는, 근본적으로 새로운 위협에 직면해 있다고 암시합니다.
Sophos의 State of Ransomware 보고서는 세 차례 연속된 설문조사에서 그보다 덜 유행에 맞는 답을 내놓았습니다. 2025년 판은 이를 한 문장으로 정리합니다.
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."(3년 연속으로, 피해자들은 악용된 취약점을 공격의 가장 흔한 기술적 근본 원인으로 꼽았으며, 이는 사고의 32%에서 사용되었다.)
이국적인 기법이 아닙니다. 피해자가 이미 운영하고 있던 소프트웨어의 결함이 침입 경로로 쓰인 것입니다. Sophos는 이 범주를 제로데이와 이미 패치가 나와 있던 결함으로 나누지 않으므로, 이 설문조사로는 그 사고 중 몇 건이 공격 당일에 패치가 가능했는지 알 수 없습니다. 설문조사가 말해 주는 것은, 3년 동안 피해자들이 그보다 더 자주 꼽은 단일 침입 경로가 없었다는 사실입니다.
그 연속 기록은 이후 끝났습니다. 2026년 판에서 악용된 취약점은 18%로 떨어져 악성 이메일(26%), 피싱(24%), 침해된 자격 증명(23%)에 뒤처졌습니다. 이 변화는 아래에서 다시 다룹니다. 이 변화가 논지를 약하게 만들기보다 오히려 더 선명하게 만들기 때문입니다. 가장 흔한 침입 경로는 단 1년 만에 바뀌었지만, 방어자의 복구 문제는 그와 함께 바뀌지 않았습니다.
BackupSec은 이 3년간의 기록을 전략적 신호로 읽습니다. 알려진 보안 약점과 해소된 보안 약점 사이의 격차는 예방의 일정에 맞춰 줄어들지 않습니다. 이 글에서는 그 격차가 왜 지속되는지, 왜 예방만으로는 그것을 메울 수 없는지, 그리고 그것이 2026년의 백업 아키텍처에 무엇을 의미하는지 살펴봅니다.
Sophos 데이터가 실제로 보여 주는 것
2025년 Sophos 보고서는 Sophos가 의뢰하고 제3의 전문 기관이 2025년 1월에서 3월 사이에 실시한, 독립적이고 벤더 중립적인 설문조사를 바탕으로 합니다. 대상은 17개국 IT 및 사이버 보안 책임자 3,400명이며, 모두 직원 수 100명에서 5,000명 사이이고 지난 12개월 동안 랜섬웨어 피해를 입은 조직에 속해 있습니다. Sophos는 각 보고서에 설문조사를 실시한 연도를 붙이며, "many of the attacks referenced occurred in 2024."(언급된 공격 중 상당수는 2024년에 일어났다.)라고 밝힙니다. 근본 원인에 관한 질문에는 응답자 3,400명 전원이 답했습니다.
- **악용된 취약점: 공격의 32%**로, 3년 연속 1위 원인입니다(2023년 보고서 36%, 2024년 32%).
- **침해된 자격 증명: 23%**로, 2024년의 29%에서 줄었습니다.
- 악성 이메일: 19%.
- **피싱: 18%**로, 전년도의 11%에서 늘었습니다.
같은 2025년 설문조사를 바탕으로 한 부문별 보고서들도 대체로 이 패턴을 따릅니다. 제조업에서는 악용된 취약점이 32%로 가장 큰 원인이었습니다. 유통에서는 30%로 3년 연속 1위였습니다. 모든 부문이 들어맞는 것은 아닙니다. 의료에서는 악용된 취약점이 33%로 목록의 맨 위에 올랐는데, 이는 "for the first time in three years."(3년 만에 처음)였습니다. 이 패턴은 폭넓었지만 보편적이지는 않았습니다.
설문조사 자체에 관해 한 가지 유의할 점이 있습니다. 설문조사는 피해자들이 근본 원인이라고 믿는 것을 기록하며, Sophos 자체의 사고 데이터는 조금 다르게 읽힙니다. 2025 Active Adversary Report의 2024년 사고 대응 및 MDR 사례 전반에서는 침해된 자격 증명이 1위(41%), 악용된 취약점이 2위(22%)였습니다. 어느 쪽이든 취약점 악용은 최상위 또는 그 근처에 있습니다.
설문조사 결과를 중요하게 만드는 것은 그 지속성입니다. 비율은 36%에서 32%로 다소 낮아진 뒤 그 수준을 유지했고, 3년 동안 그 무엇도 이를 앞지르지 못했습니다.
이는 이 문제에 대해 아키텍처 차원의 무언가를 말해 줍니다.
조직이 패치를 해도 패치가 실패하는 이유
"공격의 3분의 1이 악용된 취약점에서 시작된다"는 말에 대한 직관적인 반응은 "그렇다면 더 빨리 패치하라"입니다. 이 반응은 옳지만 운영상으로는 충분하지 않으며, 그것이 부족한 이유는 솔직하게 살펴볼 가치가 있습니다.
분모 문제. 중견 조직은 운영 체제, 애플리케이션, 펌웨어, 컨테이너 이미지, SaaS 구성 전반에 걸쳐 수천 개의 서로 다른 소프트웨어 구성 요소를 쉽게 운영할 수 있습니다. 벤더 권고문은 끊임없이 도착합니다. 최고의 역량을 갖춘 보안 팀이라 해도 CVE가 공개된 당일에 모든 구성 요소를 패치할 수는 없습니다. "악용될 수 있는 것"이라는 분모는 구조적으로 "이번 주에 패치할 수 있는 것"이라는 처리 능력보다 큽니다.
중요도 문제. 많은 패치는 다운타임, 회귀 테스트, 또는 매출을 지키려는 비즈니스 책임자와의 조율을 필요로 합니다. 패치가 가장 필요한 시스템(외부에 노출된 애플리케이션, 레거시 프로덕션 시스템, OT 및 산업 제어 인프라)은 흔히 다운타임 비용이 가장 큰 시스템이기도 합니다. 그래서 패치는 일정이 잡히고, 미뤄지고, 묶음으로 처리되다가 결국 잊힙니다. 그렇게 쌓인 유지 관리 부채야말로 침입 경로를 찾는 공격자가 가장 먼저 살펴볼 곳입니다.
발견 문제. 보이지 않는 것은 패치할 수 없습니다. 2025년 Sophos 설문조사에서 조직이 인지하지 못한 보안 공백은 공격의 40.1%에서 기여 요인이었으며, 이는 전문성 부족(40.2%)에 바로 뒤이은 수치입니다. 응답자들은 평균 2.7개의 기여 요인을 꼽았으므로, 이것들은 유일한 원인이 아니라 기여 원인입니다. 유통 부문에서는 알려지지 않은 보안 공백이 가장 많이 언급된 운영상 원인으로, 피해자의 46%가 이를 꼽았습니다. 섀도 IT, 문서화되지 않은 시스템, 잊힌 클라우드 워크로드, 그리고 자체 종속성 트리를 가진 서드파티 통합은 현대의 공격 표면을 파악하기 정말로 어렵게 만듭니다. 자산 목록이 보여 주는 것과 공격자가 실제로 도달할 수 있는 것 사이의 격차에 많은 악용된 취약점이 자리합니다.
시간 창 문제. 취약점이 알려져 있고 패치가 존재하는 경우에도, 악용까지 걸리는 시간은 급격히 줄었습니다. Mandiant의 악용까지 걸리는 시간 분석은 2018–2019년에 평균 63일, 2021–2022년에 32일, 2023년에 5일을 측정했습니다. 패치가 나온 뒤에 악용된 것으로 추적된 결함 가운데 12%는 하루 이내에, 29%는 일주일 이내에 악용되었습니다. 그리고 2023년에 추적된 악용된 취약점의 70%는 아직 패치가 전혀 존재하지 않던 제로데이 상태에서 사용되었습니다. 몇 년 전의 패치 시간 창은 사라졌습니다.
이 문제들 가운데 어느 것도 취약점 관리 도구를 하나 더 산다고 해결되지 않습니다. 이것들은 조직이 IT를 운영하는 방식의 구조적 특징이며, 악용된 취약점이 3년 동안 Sophos 목록의 맨 위에 머문 이유를 설명하는 데 도움이 됩니다.
AI라는 주의 분산
2025년 Sophos 데이터는 AI 기반 공격에 관한 지배적인 서사를 바로잡는 데에도 유용했습니다.
2025년 업계의 논의는 AI가 생성한 피싱 캠페인, 딥페이크 소셜 엔지니어링, 머신러닝을 활용한 탐지 회피에 크게 쏠려 있었습니다. 이러한 위협은 실재하며 주목할 가치가 있습니다. 2025년 설문조사에서 피싱은 실제로 공격의 11%에서 18%로 늘었습니다. Sophos는 그 증가분 가운데 얼마가 AI로 작성된 미끼에서 비롯되었는지 밝히지 않으며, 저희도 알 수 없습니다. 2025년 데이터가 보여 주는 것은 피싱이 악용된 취약점을 가장 흔한 침입 경로의 자리에서 밀어내지 못했다는 사실입니다.
2026년 판은 그림을 한 단계 진전시킵니다. 이메일 기반 공격이 선두에 올랐습니다. 악성 이메일(26%)과 피싱(24%)을 합하면 전체 사고의 절반을 차지했고, 악용된 취약점은 14%포인트 떨어져 18%가 되었습니다. Sophos는 이 변화 역시 AI 때문이라고 보지 않습니다.
리스크 책임자들이 얻어야 할 실질적인 교훈은, 저희의 것을 포함해 가장 중요한 방어 투자는 올해 선두에 있는 공격 경로라고 말하는 어떤 서사에도 회의적이어야 한다는 것입니다. 선두는 12개월 안에 바뀌었습니다. 특정한 문 하나를 닫는 데 의존하는 방어는 움직이는 표적에 거는 것입니다. 더 오래가는 투자는 어떤 단일 침입 경로도 결과를 좌우하는 부담을 덜 지게 만드는 투자입니다.
"부담을 덜 진다"는 것이 실제로 의미하는 것
취약점 악용을 완전히 없앨 수 없다는 사실을 받아들이면 다음과 같은 아키텍처상의 통찰이 따라옵니다. 공격 중 의미 있는 비율이 제때 패치하지 못한 결함에서 계속 시작된다면(세 차례 연속된 Sophos 설문조사에서 대략 3분의 1, 그리고 네 번째 설문조사에서도 여전히 5건 중 1건 가까이), 전략적 질문은 "어떻게 더 빨리 패치할 것인가?"에서 "패치하지 못하면 무슨 일이 일어나는가?"로 바뀝니다.
이것은 대부분의 보안 아키텍처가 여전히 피하고 있는 질문입니다.
예방이 효과가 있다고 가정하는 방어 모델에서 취약점 악용은 제거해야 할 실패로 취급됩니다. Sophos 데이터를 진지하게 받아들이는 방어 모델에서는, 아키텍처의 나머지 부분이 파국적인 결과 없이 흡수해야 하는 반복되는 조건으로 취급됩니다.
제거에서 흡수로의 전환은 성숙한 신뢰성 엔지니어링이 수년 전에 이룬 것과 같은 전환입니다. 분산 시스템에서 장애를 없앨 수는 없습니다. 장애가 발생했을 때 우아하게 성능이 저하되도록 시스템을 설계합니다. 평균 장애 간격만이 아니라 평균 복구 시간을 측정합니다. 복원력을 예방이 실패한 뒤의 뒷정리 작업이 아니라 핵심 아키텍처 속성으로 다룹니다.
보안도 서서히 같은 논리를 적용하기 시작했습니다. 저희가 보기에 Sophos 데이터는 그 전환이 이미 늦었다는 강력한 증거입니다.
백업 아키텍처가 전환점이 되는 지점
취약점이 악용되어 공격자가 발판을 확보하면, 그 뒤에 이어지는 연쇄는 잘 알려져 있습니다. 측면 이동, 권한 상승, 정찰, 데이터 유출, 그리고 결국 페이로드 배포입니다. 그 과정은 빠르기도 합니다. Sophos의 2025 Active Adversary Report의 바탕이 된 2024년 사례에서, 랜섬웨어 사고 대응 사례의 체류 시간 중앙값은 4일, MDR 사례에서는 3일이었습니다. 이것이 공격자가 복구를 가능하게 해 줄 통제 수단을 찾아내 무력화하는 데 주어진 시간이며, 대부분의 검토 주기보다 짧습니다.
그 통제 수단 가운데 가장 중요한 것이 백업 환경입니다.
악용된 취약점을 통해 침해된 시스템에서 백업 인프라에 도달할 수 있다면, 그 취약점은 단지 공격을 가능하게 한 것이 아닙니다. 공격이 이기도록 만든 것입니다. 인터넷에 노출된 애플리케이션에서 악용된 CVE가 아키텍처 관점에서 중요한 이유는 그 호스트에서 벌어지는 일보다, 그 뒤 며칠 동안 공격자가 복구 계층에 무엇을 할 수 있게 되느냐에 있습니다.
이것이 Sophos 데이터가 암시하는 전환점입니다. 악용된 취약점은 특정 연도의 순위와 관계없이 주요 침입 경로 가운데 하나로 남을 것입니다. 결과를 결정하는 변수는 그러한 발판이 확보되는 시스템에서 복구 아키텍처에 도달할 수 있느냐입니다.
구체적으로는 다음을 의미합니다.
ID 분리. 프로덕션 시스템을 보호하는 자격 증명이 백업 인프라에 대한 접근 권한을 부여해서는 안 됩니다. 침해된 도메인 관리자 계정으로 백업 리포지토리에 도달할 수 있다면, 여러분의 백업은 패치되지 않은 취약점이 노출시킨 공격 표면의 일부입니다.
검증된 불변성. 소프트웨어 기반 보존 정책은 충분한 권한을 가진 누구든 수정할 수 있습니다. 하드웨어나 플랫폼이 강제하는 보존 잠금은 이를 견디도록 설계되었지만, "구성되어 있다"와 "의도대로 실제로 작동한다"는 서로 다른 주장이며, 둘을 구분하는 것은 테스트뿐입니다. 불변성이 백업 플랫폼, 스토리지 계층, 강화된 리포지토리 중 어디에서 강제되든, 중요한 속성은 그것이 설정 패널에서 단지 활성화되었느냐가 아니라 적대적 조건에서 테스트되었느냐입니다.
네트워크 및 신뢰 격리. 프로덕션 시스템과 같은 네트워크 도메인에 있는 백업 환경은 위협 모델링 관점에서 프로덕션의 일부입니다. 논리적, 물리적 격리야말로 백업 인프라를 "또 하나의 표적"에서 "다른 표적이 버티지 못할 때 살아남는 계층"으로 바꾸는 것입니다.
정기적인 복원 검증. 2025년 Sophos 설문조사에서 데이터가 암호화된 조직 가운데 백업으로 데이터를 복원한 곳은 54%에 그쳤으며, 이는 6년 만의 최저치이자 3년 연속 하락입니다. Sophos는 나머지 조직에 그 이유를 묻지 않습니다. 다만 29%가 "other means"(다른 수단)를 사용했다고 보고하며, 여기에는 공개된 복호화 키가 포함되었을 가능성이 있다고 말합니다(복수 응답 허용). 실패한 백업에 관한 Sophos의 유일한 직접적 데이터는 범위가 좁습니다. 최초 요구액보다 많이 지불한 조직 151곳 가운데 38%가 백업이 실패했거나 오작동했다고 답했습니다. 2026년 판은 반등을 보여 주며, 데이터가 암호화된 피해자의 66%가 백업으로 복구했습니다. 어느 쪽이든, 현실적인 조건에서 한 번도 복원해 본 적 없는 백업은 통제 수단이 아니라 가설입니다.
전략의 재구성
리스크 책임자들에게 취약점 악용이 3년 동안 목록의 맨 위를 지킨 사실은 취약점 관리 프로그램에 대한 고발이 아닙니다. 취약점 관리는 아무리 잘 실행되더라도 랜섬웨어 방어의 무게 전체를 혼자 감당할 수 없다는 증거입니다.
공격의 32%가 악용된 취약점에서 시작되었다는 2025년의 결과는 같은 설문조사의 또 다른 수치와 함께 읽어야 합니다. 데이터가 암호화된 조직의 49%가 몸값을 지불했으며, 이는 전년도의 56%에서 줄어든 수치입니다. 2026년 판에서는 이 비율이 48%였고, Sophos는 4년 평균을 약 50%로 제시합니다. 저희가 보기에 이 숫자들은 서로 연결되어 있습니다. 이 숫자들은 복구 계층을 신뢰할 수 없기 때문에 예방에 무오류를 요구하는 태세를 보여 줍니다. 바로잡는 방법은 예방을 더 무오류로 만드는 것이 아닙니다. 예방의 실패가 비즈니스 결과를 좌우하지 않을 만큼 복구를 신뢰할 수 있게 만드는 것입니다.
그 교정은 아키텍처 차원의 일이며, 이미 늦었습니다. 격차를 메우는 조직은 사고가 어느 문으로 들어왔든 복구 계층이 그것을 흡수할 수 있는 조직일 것입니다. 2026년 데이터는 가장 붐비는 문이 얼마나 빨리 바뀔 수 있는지 보여 줍니다.
BackupSec의 역할
BackupSec은 예방이 때로는 실패할 것이라는 전제에서 출발합니다. 그리고 예방이 실패할 때 결과는 두 가지에 달려 있습니다. 깨끗하고 격리된 데이터 사본이 존재하는가, 그리고 다가오는 공격에 맞서 백업 계층이 버텨 내는지 누군가 확인했는가입니다.
저희 서비스 중 세 가지가 위에서 설명한 공백에 대응합니다.
- ZeroMON은 Veeam Backup & Replication을 모니터링합니다. OVA 형태로 온프레미스에서 실행되고, 읽기 전용 계정으로 연결되며, 어떤 것도 BackupSec이나 제3자에게 보내지 않습니다. Veeam의 작업 상태와 구성 변경(누가 무엇을 언제 변경했는지)을 추적하고, Veeam 자체 리포지토리 설정이 보고하는 그대로 불변성 상태를 보여 주며, Veeam Security & Compliance Analyzer의 결과를 보여 줍니다. 또한 ZeroMON 어플라이언스를 대상으로 한 스캔과 연결 시도를 초기 정찰 신호로 기록하는 허니팟을 포함합니다. 경보는 이메일과 인앱 알림으로 전달됩니다. Veeam의 구성을 읽는 방식이므로, 스토리지 자체의 오브젝트 수준 잠금을 검증하지는 않습니다.
- ZeroTAM은 아키텍처, 랜섬웨어 복구 계획, 용량을 위한 전담 백업 보안 어드바이저를 팀에 제공하며, 위기 시에는 우선 지원을 제공합니다. 소프트웨어가 아니라 자문 서비스입니다.
- ZeroPEN은 Veeam Backup & Replication과 Veeam ONE, Enterprise Manager를 대상으로 하는 위협 주도형 모의 침투 테스트입니다. MITRE ATT&CK에 매핑된 랜섬웨어 킬 체인을 8단계로 시뮬레이션하며, 초기 접근부터 Veeam 서버 장악, 리포지토리 접근, 백업 무력화를 거쳐 암호화 능력 입증까지 이어집니다. 비파괴적 방식입니다. "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services."(ZeroPEN은 실제 백업을 삭제하거나, 실제 암호화를 수행하거나, 프로덕션 또는 백업 서비스를 중단하는 일이 절대 없습니다.) 발판을 확보한 공격자가 무엇에 도달할 수 있는지에 대한 감사 대응이 가능한 증거와, 치명적 발견 사항에 대한 재테스트를 받게 됩니다.
32%라는 수치는 결코 정해진 운명이 아니었으며, 2026년의 18%라는 수치도 유예가 아닙니다. 둘 다 정문을 묘사할 뿐입니다. 결과를 결정하는 것은 예방 계층과 함께 복구 계층도 무너지느냐입니다. 둘을 분리한다고 해서 악용된 취약점에 면역이 되는 것은 아닙니다. 다만 놓친 패치 하나가 몸값 지불 여부를 결정할 가능성을 크게 낮춥니다.
백업 모의 침투 테스트에 대해 BackupSec과 상담하기 →
이 분석은 Sophos State of Ransomware 2025 및 2026 보고서, 제조업, 유통, 의료 부문에 대한 2025년 Sophos 부문별 보고서, Sophos의 2025 Active Adversary Report, 그리고 Mandiant의 2023년 악용까지 걸리는 시간 분석을 바탕으로 합니다. 해석과 프레임워크는 BackupSec 자체의 것입니다. 이것이 여러분의 환경에 어떻게 적용되는지 논의하려면 저희 팀에 문의하십시오 →