히토미 광고 랜섬웨어 글을 올린 뒤로 “이미 걸렸는데 이제 어떻게 하냐”는 질문을 가장 많이 받았습니다. 보안 일을 하면서 사고 대응을 자주 보는데, 피해를 키우는 건 대부분 감염 그 자체보다 그다음 30분입니다. 당황해서 몸값부터 송금하거나, 이것저것 지우다가 복구 단서를 날려 버리는 경우가 많거든요.
그래서 이번 글은 예방이 아니라 이미 감염된 뒤에 무엇을 어떤 순서로 해야 하는지만 정리했습니다. 개인 PC 기준이고, 회사 PC라면 1번만 하고 바로 보안 담당자에게 넘기세요.
1. 네트워크부터 끊는다
랜섬웨어는 같은 네트워크의 공유 폴더, NAS, 연결된 외장하드까지 같이 암호화하려고 합니다. 화면에 협박 메시지가 뜨거나 파일 확장자가 이상하게 바뀐 걸 봤다면 가장 먼저 할 일은 연결을 끊는 것입니다.
- 랜선을 뽑고 Wi-Fi를 끕니다.
- USB 메모리, 외장하드, NAS 연결을 해제합니다.
- 클라우드 동기화 프로그램(구글 드라이브, 원드라이브 등)도 멈춥니다. 암호화된 파일이 클라우드 원본을 덮어쓸 수 있습니다.
전원은 가능하면 그대로 두는 편을 권합니다. 메모리에 남은 흔적이 원인 분석에 도움이 될 때가 있기 때문입니다. 다만 파일이 지금도 계속 암호화되고 있는 게 눈에 보이면 전원을 끄는 것이 피해를 줄이는 길입니다.
2. 증거를 남긴다
협박 메시지 화면, 바뀐 파일 확장자, 메모장 형태로 생긴 안내 파일(랜섬노트)을 휴대폰으로 찍어 두세요. 이 세 가지가 있어야 어떤 랜섬웨어인지 알아낼 수 있고, 신고할 때도 필요합니다. 랜섬노트 파일과 암호화된 파일 몇 개는 지우지 말고 따로 보관합니다.
3. 118과 경찰에 신고한다
| 어디에 | 방법 | 무엇을 받나 |
|---|---|---|
| KISA 118 | 국번 없이 118 → ARS 2번 (해킹·바이러스 긴급상담, 365일 24시간) | 대응 방법 상담, 침해사고 신고 안내 |
| KISA 보호나라 | boho.or.kr → 침해사고 신고 | 침해사고 접수 |
| 경찰청 ECRM | ecrm.police.go.kr 사이버범죄 신고 | 수사 의뢰 (안내에 따라 경찰서 방문이 필요할 수 있음) |
“신고해 봐야 소용없다”고 생각하는 분이 많은데, 같은 랜섬웨어의 피해 사례가 모여야 복구 도구도 나오고 유포 경로도 막힙니다. 상담만 받아도 지금 상황에서 하지 말아야 할 일을 정리할 수 있습니다.
4. 무료 복호화 도구가 있는지 확인한다
모든 랜섬웨어가 풀리지는 않지만, 수사기관과 보안 업체가 키를 확보해 무료로 풀어 주는 경우가 꽤 있습니다. 몸값을 내기 전에 반드시 아래 두 곳부터 확인하세요.
- No More Ransom (nomoreransom.org): 수사기관과 보안 업체가 함께 운영하는 국제 프로젝트입니다. 한국어 페이지가 있고, Crypto Sheriff 메뉴에 암호화된 파일과 랜섬노트를 올리면 어떤 종류인지, 복호화 도구가 있는지 알려 줍니다. 최근에도 Phobos, LockBit 3.0, Akira 등 여러 종류의 도구가 목록에 올라 있습니다.
- KISA 암호이용활성화 누리집 (seed.kisa.or.kr): KISA는 2023년 12월 Rhysida 랜섬웨어 복구 도구를 세계 최초로 개발해 이곳에 배포했습니다. 파일 확장자가 .rhysida로 바뀌었다면 여기부터 보세요.
주의할 점이 있습니다. “랜섬웨어 복구 전문”이라며 검색 광고를 하는 업체 중에는 사실상 해커와 협상해 몸값을 대신 내고 수수료를 붙이는 곳도 있습니다. 무료 도구가 없다는 판정이 나온 뒤에 결정해도 늦지 않습니다.
5. 몸값은 마지막까지 미룬다
No More Ransom도 KISA도 몸값을 내지 말라고 권합니다. 돈을 보내도 키를 준다는 보장이 없고, 한 번 낸 사람은 “돈을 내는 사람”으로 분류돼 다시 표적이 되기 쉽습니다. 무엇보다 지금은 못 풀어도 몇 달 뒤 복호화 도구가 공개되는 경우가 있으니, 암호화된 파일은 지우지 말고 외장하드에 따로 보관해 두세요.
복구 후에는 백업 구조부터 바꾼다
복구가 끝났다면 같은 일을 다시 겪지 않도록 백업 방식을 점검해야 합니다. KISA가 2025년 7월 발표한 ‘랜섬웨어 대응을 위한 데이터백업 8대 보안수칙’에서 개인도 그대로 쓸 만한 내용만 추리면 이렇습니다.
- 3-2-1 보관: 중요한 데이터는 사본 3개, 그중 2개는 서로 다른 저장매체, 1개는 다른 장소(클라우드나 오프라인)에 둡니다.
- 평소엔 뽑아 두기: 백업용 외장하드를 PC에 계속 꽂아 두면 같이 암호화됩니다. 백업할 때만 연결하세요.
- 복구 연습: 1년에 한 번은 백업에서 실제로 파일을 되살려 보세요. 백업이 깨져 있는 걸 사고 당일에 알게 되는 경우가 생각보다 많습니다.
그리고 감염 경로를 막아야 합니다. 히토미 사례처럼 불법 사이트의 악성 광고로 들어오는 경우가 많으니 브라우저와 윈도 업데이트, 백신 실시간 감시는 꼭 켜 두세요.
함께 보면 좋은 글
- 히토미 광고 랜섬웨어 감염됐을 때 대처법과 예방 3가지
- 히토미 광고 랜섬웨어 제거 완전 가이드 – 감염 제거부터 예방까지
- 랜섬웨어 감염 증상 5가지 – 당신의 PC가 위험할 수도 있습니다
- 무료 바이러스 제거 프로그램 TOP 5 추천