백업만 믿다 150억 날린 제약사…에브리존 "랜섬웨어, 단말에서 막아야"

김준영 에브리존 전략사업본부 총괄 팀장이 23일 "지금은 랜섬웨어에 감염되면 개인정보와 기밀 정보까지 유출된다고 봐야 한다"고 말했다. 랜섬웨어 피해를 방지하기 위해서는 방산 업체가 기술 유출과 업무 중단을 함께 막는 보안 체계를 갖춰야 한다고 제안했다.

김 팀장은 이날 방산기술보호·보안협의회가 주최한 '2026 AI기반 방산기술보호 컨퍼런스'에서 'AI 시대의 랜섬웨어: 탐지에서 차단과 복구로'를 주제로 발표했다.

에브리존은 한국인터넷진흥원(KISA) 자료를 인용해 국내 랜섬웨어 신고가 2024년 195건에서 2025년 274건으로 40.5% 늘었다고 소개했다. 그러면서 올해 신고 건수가 지난해를 크게 넘어설 것으로 내다봤다.

김준영 에브리존 전략사업본부 총괄 팀장이 23일 '2026 AI기반 방산기술보호 컨퍼런스'에서 'AI 시대의 랜섬웨어: 탐지에서 차단과 복구로'를 주제로 발표하고 있다. (사진=박광하 기자)

최근 랜섬웨어 피해 사례로는 SGI서울보증, 국내 제약사, 중소형 병원 등을 언급했다. SGI서울보증은 4일간 업무가 중단돼 주요 보증 업무에 차질이 생겼다. 한 제약사는 2주간 전산 시스템 장애로 의약품 주문과 출고 시스템이 마비됐다. 중소 규모 병원 20곳은 동일한 랜섬웨어에 동시에 감염돼 진료에 차질을 빚었다. 지난달 상담한 고객사 한 곳에서만 감염이 동시에 50건 가까이 벌어졌다는 사례도 소개했다.

김 팀장은 방산 업체가 감염되면 연구 데이터가 암호화돼 개발 일정에 차질이 생긴다고 설명했다. 공장이 멈추면 무기 납품 일정도 어긋난다고 짚었다. 과거에는 암호화로 끝났지만 이제는 오랫동안 쌓은 연구개발 데이터가 외부로 유출될 수 있다고 강조했다.

9월 11일 시행된 개정 개인정보 보호법도 언급했다. 개인정보의 위조, 변조, 훼손도 유출 신고와 통지 대상에 포함돼 암호화만으로도 대응 부담이 커졌다는 설명이다.

랜섬웨어 침투 경로로는 ▲위장 이메일 첨부파일 실행 ▲외부에 노출된 원격접속 계정 탈취 ▲웹, 데이터베이스(DB) 서버 침투 등을 제시했다. 김 팀장은 "AI가 이들 경로를 통한 공격을 더 빠르고 정교하게 만든다"고 말했다.

특히 견적 요청서, 입사지원서, 세금계산서로 위장한 메일이 자연스러운 한국어는 물론 수신자의 말투까지 흉내 내고 있다고 짚었다. 생성형 AI 덕분에 악성코드 제작 시간이 수개월에서 수 시간으로 줄었다는 점도 언급했다.

그는 랜섬웨어를 만드는 조직과 퍼뜨리는 조직, 정보를 빼내는 조직이 나뉘어 있고 협상을 맡는 콜센터까지 운영한다고 전했다. 감염 피해자가 메일을 보내면 5분에서 10분 안에 답이 온다고 한다.

에브리존은 피해를 겪은 뒤 자사 제품을 도입한 국내 한 제약사 사례도 소개했다. 이 업체는 2022년 랜섬웨어에 감염돼 공장 가동이 한 달가량 멈췄다. 이후 백업 솔루션에 대규모로 투자했지만 이듬해 다시 감염됐다. 백업으로 데이터는 복구했지만 완료까지 약 7일이 걸렸고 업무 중단 등으로 150억원 가까운 손실이 났다. 해당 업체는 복구만으로는 부족하다고 보고 2023년 화이트디펜더를 도입했다.

그는 "백업은 복구를 가능하게 하지만 업무 중단과 손실까지 막지는 못한다"고 정리했다. 그러면서 랜섬웨어를 네트워크에서는 막을 수 없고 엔드포인트에서 막아야 한다고 말했다.

23일 '2026 AI기반 방산기술보호 컨퍼런스' 참석자가 에브리존 홍보 부스에서 상담을 받고 있다. (사진=박광하 기자)

화이트디펜더는 악성코드 특징 정보(시그니처)에 의존하지 않고 파일 접근과 변경 행위를 분석해 암호화를 막는 행위 기반 제품이다. 자체 개발한 '트리플 디펜더 엔진'이 프로세스, 서비스, 커널 수준에서 암호화 시도를 탐지해 차단한다. '화이트 롤백 엔진'은 탐지 즉시 원본을 안전한 공간에 백업해 뒀다가 차단 뒤 복원한다. 에브리존은 기존 백신과 엔드포인트 탐지 및 대응(EDR) 솔루션과도 호환된다고 설명했다.