랜섬웨어 그룹 진화: LockBit 해체 이후 위협 지형의 변화

2024년 Operation Cronos로 LockBit 인프라가 붕괴됐지만 랜섬웨어 생태계는 오히려 분산·진화했다. RansomHub, Play, 블랙캣 후신들의 동향을 분석한다.

2024년 2월 FBI·유로폴·NCA가 합동으로 수행한 Operation Cronos는 세계 최대 랜섬웨어 서비스형(RaaS) 그룹 LockBit의 서버 34대를 압수하고 관련자를 검거·기소하는 성과를 거뒀다. 그러나 랜섬웨어 위협은 사라지지 않았다 — 오히려 더 분산되고 다변화됐다.

LockBit 붕괴 이후 생태계 재편

LockBit의 공백을 채운 것은 단일 후계 그룹이 아니라 여러 신흥 세력이었다. 기존 LockBit 계열 어필리에이트(실행 파트너)들이 다른 RaaS 플랫폼으로 분산 이동하며 생태계 자체의 복원력을 보여줬다.

        2025~2026 주요 랜섬웨어 그룹:

        RansomHub, Play, Akira, BlackSuit(Royal 후신), Fog, Lynx, INC Ransom

이중·삼중 협박 전술의 고도화

1차: 데이터 암호화 → 복호화 키 대가 요구
2차: 탈취 데이터 공개 협박 (데이터 유출 전용 사이트 운영)
3차: 피해 기업 고객·파트너·규제기관에 직접 연락하여 압박
4차(신규): DDoS 공격 병행으로 서비스 마비 이중 압박

랜섬웨어 주요 공격 경로 (2025~2026)

VPN·RDP 취약점 및 탈취된 자격증명 (전체의 약 40%)
피싱 이메일 첨부파일 (매크로·ISO·LNK 파일)
공급망 공격 — 소프트웨어 업데이트 채널 침해
패치 미적용 공개 취약점 (MOVEit, Citrix Bleed 등)

국내 랜섬웨어 피해 현황

국내에서도 제조·의료·물류 분야 중소기업이 주요 표적이 되고 있다. 정확한 신고 건수와 피해 규모는 한국인터넷진흥원(KISA)과 개인정보보호위원회가 공표하는 연간 통계를 확인할 것을 권한다.

랜섬웨어 대응의 핵심은 예방이 아니라 복구 가능성이다. 백업이 없으면 협상 테이블에서 선택지가 사라진다.

핵심 대응 전략

3-2-1-1 백업 원칙: 3개 사본, 2개 미디어, 1개 오프사이트, 1개 오프라인
네트워크 세그멘테이션: 랜섬웨어 횡이동(Lateral Movement) 차단
EDR/XDR 도입: 행위 기반 랜섬웨어 조기 차단
취약점 패치 주기 단축: 공개 취약점 72시간 내 패치 목표
랜섬웨어 대응 플레이북 수립: 사고 발생 시 의사결정 지연 방지