많은 분들이 랜섬웨어에 감염된 직후 가장 먼저 하시는 행동은 검색창에 '복호화 방법'을 입력하는 것입니다. 하지만 실무에서 자주 접하는 사례를 보면, 이 단계에서 잘못된 선택을 하시는 분들이 매우 많습니다. 특히 공격자가 요구한 비트코인 등의 가상자산을 곧바로 송금하시거나, 출처 불명의 '복호화 대행업체'에 연락하셨다가 2차 피해까지 입는 경우가 적지 않습니다.
오늘은 랜섬웨어 감염 시점부터 협상·신고·법적 대응까지의 절차를 단계별로 정리해 드리겠습니다. 첫째 초기 대응, 둘째 신고와 협상 판단, 셋째 법적 책임과 손해 회복까지 순서대로 살펴보겠습니다.
핵심 요약 — 감염 직후 가장 중요한 것은 '결제'가 아니라 '증거 보전'과 '신고'입니다. 협상과 지급 여부는 법적 위험을 충분히 검토한 뒤 결정해야 합니다.
Step 1. 감염 직후 초기 대응 — 골든타임 24시간
랜섬웨어는 감염 시점부터 짧게는 수 시간, 길게는 며칠에 걸쳐 내부 네트워크로 확산되는 경우가 많습니다. 따라서 감염 사실을 인지한 즉시 다음 조치를 하셔야 합니다.
STEP 1-1
감염 단말기 네트워크 분리
유선 LAN 케이블 제거, Wi-Fi 차단, 공유 폴더 연결 해제를 즉시 진행하셔야 합니다. 단, 전원을 강제로 끄지 마시고 그대로 두는 것이 좋습니다. 메모리에 남은 암호화 키나 휘발성 증거가 사라질 수 있기 때문입니다.
STEP 1-2
증거 보전 — 화면·랜섬노트·로그
공격자가 남긴 랜섬노트(README.txt, HOW_TO_DECRYPT 등), 바탕화면 캡처, 암호화된 파일 확장자, 변경된 파일 일부, 시스템 이벤트 로그, 방화벽 로그를 별도 저장매체에 백업하셔야 합니다. 이는 추후 수사기관 신고와 보험금 청구, 그리고 책임 소재 판단의 핵심 자료가 됩니다.
STEP 1-3
내부 보고와 외부 전문가 자문
법인의 경우 정보보호최고책임자(CISO) 또는 대표자에게 즉시 보고하고, 디지털포렌식 전문가와 법률 자문을 병행하셔야 합니다. 특히 개인정보가 포함된 시스템이 감염된 경우, 개인정보보호법상 신고 의무가 발생할 수 있어 시간 관리가 매우 중요합니다.
Step 2. 신고 절차와 협상 여부 판단
초기 대응이 끝나면 신고와 협상이라는 두 갈래 의사결정에 직면합니다. 두 가지는 별개의 절차이며, 신고를 한다고 해서 협상이 불가능해지는 것은 아닙니다.
STEP 2-1
한국인터넷진흥원(KISA) 침해사고 신고
정보통신망법 제48조의3에 따라 정보통신서비스 제공자는 침해사고 발생 시 KISA(국번 없이 118)에 신고해야 합니다. 일반 기업·개인도 동일 번호로 무료 신고가 가능하며, 무료 복호화 도구가 존재하는 변종인지 확인받을 수 있습니다.
STEP 2-2
경찰 사이버수사대 형사 신고
경찰청 사이버범죄 신고시스템(ECRM) 또는 관할 경찰서 사이버수사팀에 정보통신망 침해, 공갈, 컴퓨터 등 사용사기 등으로 고소·진정을 제기하실 수 있습니다. 가상자산 지갑 주소가 확보되면 추적 수사가 진행되며, 일부 사건에서는 국제 공조를 통해 자금 동결까지 이어진 사례가 있습니다.
STEP 2-3
개인정보 유출 시 추가 신고 의무
감염 과정에서 개인정보가 유출·암호화된 경우, 개인정보보호법 제34조에 따라 정보주체 통지와 개인정보보호위원회·KISA 신고 의무가 추가됩니다. 1천 명 이상 유출 시 72시간 이내 신고가 원칙이며, 이를 지키지 못하면 별도의 과징금·과태료 대상이 됩니다.
STEP 2-4
협상·지급 여부의 법적 검토
공격자에게 가상자산을 지급하는 행위 자체는 국내법상 직접적인 처벌 규정이 없지만, 상대방이 국제 제재 대상(특정 해외 해킹 조직 등)일 경우 외국환거래법·국제 제재 위반 소지가 있습니다. 또한 지급해도 복호화가 보장되지 않으며, 같은 조직의 재공격 표적이 되는 사례가 보고되고 있습니다.
실무상 권고 — 협상은 절대 피해자가 단독으로 진행하지 않으셔야 합니다. 디지털포렌식 전문가, 변호사, 필요 시 보험사 자문 패널의 조력을 받아 진행 여부와 조건을 결정하셔야 합니다.
Step 3. 법적 책임 정리와 손해 회복
마지막 단계는 사건 수습 이후의 법적 정리입니다. 피해자 입장에서도, 관리 의무를 부담하는 사업자 입장에서도 책임 소재를 명확히 해 두어야 추후 분쟁에 대응할 수 있습니다.
STEP 3-1
거래처·고객에 대한 통지와 설명
B2B 거래에서 납기 지연, 데이터 손실이 발생한 경우 계약서상 불가항력 조항과 보안 의무 조항을 함께 검토해야 합니다. 통지 시기와 표현은 추후 손해배상 청구 소송에서 그대로 증거가 되므로, 법률 검토를 거친 후 발송하실 것을 권합니다.
STEP 3-2
사이버보험 청구와 면책 검토
가입된 사이버보험이 있다면 약관상 통지 기한(통상 사고 인지 후 7일~30일)을 반드시 준수해야 합니다. 보험사는 보안조치 이행 여부, 패치 관리, 백업 운영 상태를 면밀히 살피며, 이 부분에서 면책되는 사례가 실무상 적지 않게 발생하고 있습니다.
STEP 3-3
민·형사 후속 절차
외주 IT업체의 관리 부주의가 원인이라면 채무불이행·불법행위에 기한 손해배상 청구가 가능합니다. 반대로 사업자가 정보통신망법·개인정보보호법상 안전조치 의무를 위반한 것으로 평가되면, 정보주체에 대한 손해배상과 행정 제재가 동시에 문제됩니다. 형사 사건에서는 공격자가 특정될 경우 배상명령 신청 또는 별도 민사소송으로 손해 회복을 시도하실 수 있습니다.
마치며 — 절차의 순서를 지키는 것이 가장 큰 방어
랜섬웨어 대응의 핵심은 '결제'가 아니라 '순서'입니다. ① 네트워크 분리와 증거 보전, ② KISA·경찰 신고와 개인정보 유출 통지, ③ 협상 여부의 법적 검토, ④ 보험·계약·민형사 책임 정리. 이 순서를 지키시는 것만으로도 피해 규모를 크게 줄일 수 있고, 추후 법적 분쟁에서도 유리한 위치를 확보하실 수 있습니다.
특히 첫 24시간 동안의 기록이 이후 모든 절차의 토대가 된다는 점을 기억하시고, 캡처 한 장, 로그 한 줄까지 보존해 두시기 바랍니다.
