파일 이름이 갑자기 바뀌고 문서가 열리지 않는 순간에는 이미 피해가 진행 중일 수 있습니다. 랜섬웨어 예방의 핵심은 보안 업데이트를 유지하고, 실행 권한을 줄이며, 감염된 컴퓨터와 분리된 백업을 준비하는 것입니다.
1. 먼저 열리는 통로부터 줄인다
가장 먼저 확인할 곳은 운영체제와 자주 쓰는 프로그램의 업데이트 상태입니다. Windows 업데이트, macOS 소프트웨어 업데이트, 웹 브라우저와 문서 편집기 설정에서 자동 업데이트가 켜져 있는지 확인합니다. 업데이트가 실패한 상태라면 보안 프로그램보다 먼저 원인을 해결해야 합니다.
업무용 컴퓨터라서 오래된 프로그램을 당장 바꿀 수 없다면 무조건 삭제할 필요는 없습니다. 해당 프로그램 제조사의 지원 종료 여부와 최신 보안 안내를 확인하고, 인터넷 연결을 제한하거나 별도 컴퓨터에서만 실행하는 식으로 위험을 좁힙니다. 반대로 오래된 프로그램을 쓰고 있다는 이유로 업데이트 자체를 중단하면 공격 통로가 그대로 남습니다.
출처가 불명확한 첨부파일과 실행 파일은 열지 않습니다. 문서 파일이더라도 매크로, 스크립트, 콘텐츠 사용을 요구하면 발신자에게 다른 경로로 사실 여부를 확인합니다. 급여·계약·배송처럼 즉시 확인을 재촉하는 메일은 표시된 발신자 이름보다 실제 주소와 첨부파일 확장자를 먼저 봅니다.
공유 폴더는 필요한 사람에게만 쓰기 권한을 주고, 모든 사용자가 수정할 수 있는 폴더는 줄입니다. 랜섬웨어는 한 계정에서 시작해 접근 가능한 네트워크 저장소로 번질 수 있기 때문입니다.
2. 권한과 원격 접속을 점검한다
일상 작업에는 관리자 계정 대신 일반 사용자 계정을 사용합니다. 프로그램 설치나 시스템 설정 변경처럼 관리자 권한이 필요한 순간에만 승인하도록 하면 악성 파일이 곧바로 시스템 전체를 바꾸기 어려워집니다. 계정이 하나뿐인 개인용 PC라면 관리자 계정의 비밀번호를 길게 만들고, 평소에는 승인 창의 프로그램 이름과 경로를 확인합니다.
이메일, 클라우드 저장소, 원격 접속 계정에는 다중 인증을 적용합니다. 설정 위치는 각 서비스의 계정 보안 메뉴에서 확인하며, 복구용 이메일과 인증 수단도 함께 점검합니다. 다중 인증이 있어도 이미 탈취된 세션이나 승인된 악성 프로그램까지 막는 것은 아니므로 수상한 로그인 알림을 무시해서는 안 됩니다.
사용하지 않는 원격 데스크톱과 원격 관리 기능은 끄고, 필요한 경우 인터넷 전체에 공개하지 말고 사내 VPN이나 허용된 네트워크에서만 접근하게 합니다. 공유기 관리자 비밀번호도 기본값을 그대로 두지 않습니다. 설정 이름과 접근 방식은 운영체제, 공유기 제조사, 조직 정책에 따라 다르므로 해당 제품의 공식 안내에서 확인합니다.
문서 열람만 하는 계정에는 프로그램 설치와 공유 폴더 수정 권한을 주지 않습니다. 반대로 백업 관리 계정까지 일상 업무에 사용하면 백업 저장소도 함께 암호화될 수 있으므로, 백업 전용 계정은 평소 로그아웃 상태로 분리하는 편이 안전합니다.
3. 감염돼도 되돌릴 백업을 만든다
백업은 파일이 복사돼 있다는 사실보다 복구할 수 있는지가 중요합니다. 외장 드라이브, NAS, 클라우드 중 하나만 사용하지 말고 서로 다른 저장 위치를 나눠 준비합니다. 백업 원본과 컴퓨터가 항상 같은 계정과 네트워크에 연결돼 있으면 랜섬웨어가 백업 파일까지 암호화할 수 있습니다.
업무 파일은 자동 백업 주기와 보관 기간을 정하고, 이전 버전이나 삭제 파일 복구 기능이 켜져 있는지 확인합니다. 외장 드라이브는 백업할 때만 연결하고 작업이 끝나면 분리합니다. 클라우드 동기화 폴더는 실시간 백업과 같지 않습니다. PC에서 암호화된 파일이 동기화되면 정상 파일을 덮어쓸 수 있으므로 버전 기록과 별도 백업을 함께 확인해야 합니다.
백업이 있다는 이유만으로 안심하면 안 됩니다. 실제로 복원해 파일이 열리는지 시험하고, 복구에 필요한 계정과 암호화 키의 보관 위치를 기록합니다. 소규모 조직이라면 고객 문서, 회계 자료, 인증서처럼 잃었을 때 업무가 멈추는 파일부터 우선순위를 정합니다. 개인 사용자는 사진과 문서 폴더의 복구 여부를 먼저 시험하면 됩니다.
백업 장치가 한 대뿐이고 계속 연결돼 있다면 그것은 예방책이라기보다 감염 대상에 가깝습니다. 반대로 중요하지 않은 임시 파일까지 장기간 보관할 필요는 없으므로, 복구가 필요한 자료와 다시 내려받을 수 있는 자료를 구분합니다.
4. 의심 순간에는 격리부터 시작한다
파일 확장자가 바뀌거나 바탕화면에 금전 요구 문서가 나타나면 즉시 해당 컴퓨터의 유선 랜 케이블을 뽑고 Wi-Fi와 VPN을 끕니다. 네트워크 공유 폴더와 외장 백업 장치도 분리합니다. 감염되지 않은 다른 기기에서 이메일과 클라우드 계정의 로그인 세션을 확인하고, 조직 계정은 관리자에게 알립니다.
이미 암호화가 진행 중이라면 원인을 찾겠다며 파일을 계속 열거나 프로그램을 재실행하지 않습니다. 컴퓨터를 끄는 것이 항상 최선은 아닙니다. 전원이 켜진 상태에서 메모리나 접속 기록 보존이 필요한 업무 환경이라면 담당자가 먼저 상태를 기록해야 하고, 개인용 PC에서 추가 확산을 막아야 하는 상황이라면 네트워크 차단이 우선입니다.
감염 시각, 표시된 문구, 바뀐 파일명, 연결돼 있던 장치와 최근 실행한 파일을 사진이나 메모로 남깁니다. 백업이 정상인지 확인하기 전에는 감염된 시스템에 다시 연결하지 않습니다. 금전을 지불해도 복호화나 데이터 반환이 보장되지 않고, 공격자에게 추가 정보를 제공할 수 있으므로 먼저 계정 차단과 증거 보존, 안전한 복구 경로를 판단합니다.
복구는 감염 원인을 제거한 뒤 운영체제와 보안 업데이트를 적용하고, 깨끗한 백업에서 필요한 파일만 옮기는 순서로 진행합니다. 백업을 복원했는데도 같은 계정과 취약한 원격 접속을 그대로 두면 재감염될 수 있습니다. 결국 가장 중요한 기준은 백업 장치가 평소 컴퓨터와 분리돼 있고 실제 복원이 확인됐는가입니다.