랜섬웨어 복구 비용 계산하고 견적 받는 방법

얼마 전 작은 쇼핑몰 운영자에게 서버가 암호화됐다는 연락을 받았다. 처음 물은 건 몸값이 얼마냐는 얘기가 아니었다. 정상 복원에 성공한 백업이 언제 것인지, 주문 데이터베이스가 그 백업에 들어 있는지였다. 이 두 가지에 따라 랜섬웨어 복구 비용은 크게 달라진다.

복구비를 파일을 되살리는 작업비만으로 보면 예산이 모자라기 쉽다. 새 서버를 만들고, 침입 경로를 막고, 주문 누락분을 확인하는 동안에도 인건비와 영업 손실은 쌓인다. 견적을 받기 전에 비용을 작업별로 나눠야 하는 이유다.

복구 비용은 네 항목으로 계산한다

실무에서는 감염 범위 확인, 깨끗한 환경 재구축, 데이터 복원과 검증, 서비스 중단 손실을 따로 잡는다. 침입 경로를 찾지 않은 채 백업만 올리면 같은 계정이나 취약점을 통해 다시 감염될 수 있다.

조사 비용: 감염된 서버와 계정 확인, 로그 보존, 유출 가능성 조사
재구축 비용: 운영체제와 프로그램 재설치, 보안 설정, 인증 정보 교체
데이터 비용: 백업 반출과 복원, 데이터베이스 무결성 및 누락분 확인
중단 비용: 담당자 투입 시간, 주문 지연, 고객 응대와 매출 손실

계산식은 단순하다. 작업 인원별 시간에 단가를 곱한 금액, 임시 인프라 비용, 서비스 중단 손실을 더한다. 여기서 단가는 업체의 공개 요금이 아니라 실제 계약 단가나 내부 인건비를 넣어야 한다. 유출 조사나 고객 통지가 필요한 사고라면 그 비용도 별도 항목으로 둔다.

예를 들어 한 사이트의 재구축과 검증에 8시간이 들고 담당 인력의 시간당 비용을 7만 원으로 잡으면 인건비는 56만 원이다. 임시 서버와 백업 반출에 10만 원, 서비스 중단 12시간의 손실을 시간당 8만 원으로 가정하면 96만 원이다. 합계는 162만 원이다. 실제 견적이 아니라 계산 방법을 보여주는 예시이며, 매출 손실을 인건비와 중복 계산하지 않았는지도 확인해야 한다.

백업이 있어도 복원 시간에 따라 금액이 달라진다

백업 파일이 있다는 말과 복원할 수 있다는 말은 다르다. 웹 파일은 살아 있어도 주문 데이터베이스가 빠져 있을 수 있고, 자동 백업 계정까지 침해됐다면 사본을 신뢰하기 어렵다. 저는 사고가 나면 백업 날짜보다 먼저 보관 위치와 복원 시험 기록을 확인한다.

가장 비용이 낮은 경우는 감염 서버와 분리된 정상 백업이 있고, 새 서버에서 복원 절차를 이미 시험해 둔 경우다. 이때도 감염 원인 조사와 비밀번호 교체는 필요하다. 백업은 있지만 실제로 열어 본 적이 없다면 데이터베이스 버전 차이, 누락된 설정 파일, 저장 공간 부족으로 작업 시간이 늘어난다. 백업마저 암호화됐다면 복구 가능성부터 다시 판단해야 한다.

클라우드 백업을 쓴다면 저장 요금만 보지 말고 반출량, 복원 요청, 임시 디스크와 서버 사용 시간을 확인한다. 호스팅 업체가 제공하는 스냅샷도 같은 관리 계정으로 삭제할 수 있는 구조인지 확인할 필요가 있다. CISA는 접근 가능한 백업도 공격 대상이 될 수 있으므로 분리 보관과 정기적인 복원 시험을 권고한다.

견적을 받기 전에 감염 범위를 고정한다

암호화된 파일을 발견했을 때는 해당 서버의 네트워크 연결을 끊고, 같은 계정으로 접근할 수 있는 다른 서버가 있는지 확인한다. 바로 포맷하면 복구는 빨라 보일 수 있지만 침입 경로를 찾는 데 필요한 로그가 사라질 수 있다. 감염 시각, 몸값 요구문, 파일 확장자, 백업 시각을 기록하고 가능한 범위에서 로그와 디스크 사본을 보존한다.

외부 업체에는 감염된 장비 수, 운영체제, 데이터 규모, 마지막 정상 백업 시각을 먼저 전달한다. 그다음 견적서에서 조사, 재구축, 데이터 복원, 검증을 각각 얼마로 계산했는지 본다. ‘복구 성공’이 로그인 화면 표시를 뜻하는지, 실제 주문과 결제 내역까지 검증하는지에 따라 작업 범위가 다르다.

추가 서버가 발견되면 비용을 어떤 기준으로 늘리는가
복구가 불가능한 경우에도 청구되는 조사비는 얼마인가
백업 복원 후 악성 코드와 침입 경로를 어떻게 확인하는가
작업 결과로 어떤 로그와 검증 기록을 인계하는가

백업이 없다는 이유로 무조건 유료 복호화 서비스를 계약할 필요는 없다. 랜섬웨어 종류에 따라 공개된 무료 복호화 도구가 있을 수 있다. No More Ransom은 일부 유형에 무료 도구를 제공하지만 모든 유형을 풀 수 있는 것은 아니다. 암호화된 원본을 보존한 뒤 유형을 확인하고, 도구를 쓴다면 복사본에서 먼저 시험하는 편이 안전하다.

몸값과 재발 방지 비용도 따로 본다

몸값은 복구 견적과 같은 항목으로 취급하면 안 된다. 돈을 보내도 정상 복호화 키를 받거나 유출된 데이터가 삭제된다는 보장이 없다. 한국인터넷진흥원도 비용을 지불하더라도 복구가 보장되지 않는다고 안내한다. 업체가 ‘돈만 내면 바로 복구된다’고 단정한다면 작업 범위와 책임 조건을 다시 확인해야 한다.

사고가 수습된 뒤에는 백업 보관비를 아끼는 것보다 복원 가능한 사본을 확보하는 쪽이 대개 낫다. 운영 서버와 권한을 분리한 백업, 이전 시점으로 돌아갈 수 있는 보관 주기, 정기적인 복원 시험이 기본이다. 작은 사이트라면 비싼 보안 상품보다 관리자 계정의 다중 인증과 분리 백업부터 챙기는 편이 현실적이다.

랜섬웨어 복구 비용은 서버 사양보다 백업의 상태와 중단 시간에 더 민감하다. 평소 월 비용을 계산할 때도 백업 저장료만 적지 말고, 실제로 복원하는 데 몇 시간이 걸리는지 한 번 재봐야 한다. 그 시간이 사고 때 지불할 금액을 가장 잘 보여준다.