랜섬웨어에 걸린 것 같은데 지금 당장 뭘 해야 하나요?
먼저 감염 PC의 랜선을 뽑고 와이파이를 끄세요. 전원은 끄지 마시고요 - 증거와 복구 단서가 사라질 수 있습니다. 다음으로 다른 PC에서 나스·공유폴더 접속을 멈추고, 몸값 요구 화면은 사진으로 남긴 뒤 전문가를 부르는 순서입니다.
협박 금액을 보내도 복구된다는 보장은 없습니다. 한별시스템(053-588-7119)이 감염 범위 진단부터 스냅샷·백업 복원까지 처리하며, 대구·경북은 당일 출동합니다.
왜 랜선은 뽑고 전원은 켜 두라고 하나
랜섬웨어는 감염된 PC 한 대에서 끝나지 않습니다. 그 PC에 연결된 네트워크 드라이브와 공유 폴더를 차례로 암호화하고, 같은 망의 다른 PC로 번지려고 합니다. 랜선을 뽑고 와이파이를 끄면 이 확산 경로가 끊깁니다. 암호화가 진행 중이던 파일도 거기서 멈춥니다.
전원을 끄지 말라는 이유는 두 가지입니다. 하나는 메모리에 남아 있는 흔적입니다. 어떤 종류의 랜섬웨어인지, 어떤 경로로 들어왔는지, 드물게는 암호화에 쓴 키의 단서까지 메모리와 임시 파일에 남는데 전원을 끄면 사라집니다. 다른 하나는 재부팅 자체가 위험할 수 있다는 점입니다. 일부 랜섬웨어는 재시작 시점에 남은 파일을 마저 암호화하도록 만들어져 있습니다. 화면을 그대로 둔 채 망만 끊는 것이 가장 안전합니다.
다른 PC와 NAS에서 바로 막아야 할 것
감염 PC를 격리한 다음에는 깨끗한 PC에서 NAS 관리 화면에 들어가 세 가지를 확인합니다. 첫째, 공유 폴더의 파일 이름이 이상한 확장자로 바뀌어 있는지 봅니다. 바뀌어 있다면 NAS까지 번진 것입니다. 둘째, 감염 PC가 쓰던 사용자 계정을 즉시 비활성화합니다. 랜선을 뽑았더라도 그 계정 정보가 이미 새어 나갔을 수 있기 때문입니다. 셋째, 스냅샷을 절대 지우지 않습니다. 스냅샷은 감염 이전 상태로 가장 빠르게 되돌릴 수 있는 방법입니다.
가장 놓치기 쉬운 것이 백업 작업입니다. NAS가 다른 NAS나 클라우드로 자동 백업을 돌리고 있다면 암호화된 파일이 정상 파일을 덮어쓰기 전에 백업 작업을 일시 중지해야 합니다. 세대별 보관을 켜 두었다면 이전 세대가 남지만, 단순 동기화 방식이면 몇 시간 안에 멀쩡한 사본까지 사라집니다. 감염 PC에 외장하드나 USB 백업을 꽂는 것도 금물입니다.
| 시점 | 할 일 | 이유 |
|---|---|---|
| 즉시 | 감염 PC 망 분리, 전원 유지 | 확산 차단, 증거 보존 |
| 10분 안 | 감염 계정 비활성화, 백업 작업 일시 중지 | NAS 확산과 백업 오염 방지 |
| 30분 안 | 몸값 화면·안내문 사진, 감염 시각 기록 | 종류 식별과 복원 시점 결정 |
| 전문가 도착 후 | 감염 범위 진단, 스냅샷 복원 | 정상 시점으로 되돌리기 |
하지 말아야 할 것과 남겨 둘 것
당황해서 하는 행동이 복구를 더 어렵게 만듭니다. 감염 PC를 포맷하거나 윈도우를 다시 설치하지 마세요. 암호화된 파일이 나중에 공개된 복호화 도구로 풀리는 경우가 있는데, 지워 버리면 그 가능성까지 사라집니다. 인터넷에서 찾은 복구 프로그램을 감염 PC에 설치하는 것도 피하세요. 랜섬웨어를 가장한 2차 감염 프로그램이 섞여 있습니다.
남겨 둘 것은 세 가지입니다. 몸값 요구 화면과 안내문 파일에는 감염 식별 번호가 적혀 있어 어떤 종류인지 알아내는 데 필요합니다. 암호화된 파일 몇 개를 그대로 두면 종류 판별의 근거가 됩니다. 처음 이상을 알아챈 시각과 그 직전에 열었던 메일·파일을 메모해 두면 침입 경로를 찾는 시간이 크게 줄어듭니다. 한국인터넷진흥원 118 상담센터에도 신고할 수 있습니다.