랜섬웨어복구는 어떤 순서로 해야 할까

얼마 전 사이트 파일이 암호화됐다는 연락을 받았는데, 담당자가 가장 먼저 하려던 일은 백업을 원래 서버에 덮어쓰는 것이었다. 그 서버에 공격자가 아직 접근할 수 있다면 복원한 파일도 다시 암호화된다. 랜섬웨어복구는 파일을 되돌리는 작업보다 피해를 멈추고 안전한 복원 지점을 찾는 작업이 먼저다.

복원 전에 피해 범위부터 멈춘다

암호화가 진행 중이라면 서버의 외부 통신과 내부망 연결을 차단한다. 클라우드 서버는 보안 그룹으로 통신을 막고, 호스팅 계정은 관리 화면에서 사이트를 일시 중지하거나 업체에 격리를 요청할 수 있다. 여러 서버가 같은 저장소를 공유한다면 그 연결도 확인해야 한다. 웹 서버 한 대만 꺼도 공유 폴더를 통해 피해가 이어질 수 있다.

급하다고 감염 서버에서 백업 저장소에 로그인하지는 않는다. 그 서버에서 입력한 비밀번호와 접근 키가 이미 노출됐을 수 있다. 관리자 계정 변경과 백업 확인은 깨끗한 기기에서 진행한다. 감염된 파일, 협박 문구, 발견 시각, 서버 로그는 지우기 전에 별도로 보존한다. 나중에 침입 경로와 최초 감염 시점을 찾는 데 필요하다.

미국 CISA의 대응 지침도 영향받은 시스템을 먼저 격리하고 복구 중인 시스템이 다시 감염되지 않도록 확인하도록 권고한다. 전원을 끄기 전에 메모리와 로그를 확보해야 하는 상황도 있으므로, 규모가 큰 사고라면 보안 담당자와 조치를 맞추는 편이 안전하다.

백업이 있어도 복구 시점을 골라야 한다

백업 파일의 날짜가 가장 최근이라는 이유만으로 바로 쓰면 안 된다. 예를 들어 월요일에 계정이 탈취되고 수요일에 파일이 암호화됐다면, 화요일 백업에도 공격자가 심은 웹셸이나 추가 계정이 들어 있을 수 있다. 웹 접속 로그, 관리자 로그인 기록, 배포 이력, 백업 변경 기록을 맞춰 최초 침입 시점을 추정한다. 그보다 앞선 백업을 우선 검사한다.

웹사이트 복원에 필요한 것은 보통 한 묶음이 아니다. 사이트 코드, 업로드 파일, 데이터베이스, 환경 설정, 작업 예약, 인증서 설정이 서로 다른 위치에 있다. 파일만 어제 것으로 돌리고 데이터베이스는 오늘 것으로 두면 첨부파일 경로와 주문 기록이 어긋날 수 있다. 특히 쇼핑몰은 주문 접수와 결제 처리 시각을 대조해 어느 데이터까지 되살릴지 정해야 한다.

• 백업 파일을 열어 볼 수 있는지와 실제 데이터가 들어 있는지 확인한다.
• 백업 저장소가 감염 서버와 같은 계정으로 수정·삭제 가능한 구조였는지 확인한다.
• 데이터베이스와 업로드 파일의 시각 차이를 기록한다.
• 복원 후 누락될 주문·문의·게시물의 시간 범위를 적어 둔다.

스냅샷도 유용하지만 그 자체로 안전한 백업은 아니다. 같은 관리자 계정으로 스냅샷까지 삭제할 수 있었다면 공격 범위에 포함됐을 가능성을 봐야 한다. 평소에는 별도 계정의 백업과 오프라인 또는 변경 불가 사본을 두고, 실제 복원 시험까지 해야 백업이라고 믿을 수 있다.

깨끗한 서버에 복원하고 접속을 연다

기존 서버에서 악성 파일 몇 개만 지우고 서비스를 다시 여는 방식은 권하지 않는다. 남은 계정, 예약 작업, 시작 스크립트 중 하나만 놓쳐도 같은 사고가 반복된다. 새 운영체제와 필요한 프로그램을 설치한 서버를 만들고, 점검한 백업을 그곳에 복원하는 편이 복구 범위를 명확하게 만든다. 이때 운영체제와 웹 프로그램의 보안 업데이트도 적용한다.

접속을 열기 전에는 관리자 비밀번호, 호스팅 계정, 데이터베이스 비밀번호, 배포 키와 외부 서비스 접근 키를 교체한다. 비밀키가 저장된 환경 파일까지 유출됐을 가능성이 있다면 SSL 인증서의 개인키도 새로 발급받아 교체한다. 계정마다 다중 인증을 켜고, 관리자 페이지와 원격 접속에 허용된 접근 범위를 좁힌다.

서비스 확인은 첫 화면만 열어 보는 것으로 끝나지 않는다. 로그인, 글쓰기, 파일 업로드, 메일 발송, 결제 연동처럼 쓰기 작업까지 검사해야 한다. 복원 직후에는 오류 로그와 비정상 로그인 시도를 집중해서 본다. 정상 동작과 재감염 징후를 확인한 뒤에만 방문자 접속을 다시 연다.

백업이 없다면 복호화 가능성을 따져본다

백업이 없거나 손상됐다면 협박 문구와 암호화된 파일의 사본을 보존하고 랜섬웨어 종류를 식별한다. 노모어랜섬 프로젝트에는 일부 종류에 쓸 수 있는 무료 복호화 도구가 있다. 다만 모든 랜섬웨어에 도구가 있는 것은 아니고, 이름이 같아 보여도 변종에 따라 작동하지 않을 수 있다. 원본을 보존한 뒤 사본에서 먼저 시험해야 한다.

몸값을 지급해도 복호화 키가 오거나 데이터가 온전히 돌아온다는 보장은 없다. 데이터가 외부로 빠져나갔다면 파일을 복구해도 유출 문제는 남는다. 개인정보나 고객 자료가 관련됐다면 유출 범위와 적용되는 신고·통지 의무도 확인해야 한다. 호스팅 업체에는 격리 시각, 보존 가능한 로그, 스냅샷과 백업 이력을 구체적으로 요청하는 것이 좋다.

운영하면서 본 복구 실패의 공통점은 백업이 없었다는 사실보다 백업을 믿고 너무 빨리 원래 서버를 열었다는 데 있었다. 평소에 복원에 걸리는 시간과 되살릴 수 있는 시점을 한 번이라도 측정해 두면, 사고가 났을 때 비용과 중단 시간을 훨씬 차분하게 판단할 수 있다.