카자흐 랜섬웨어 총책 현지 검거… 국내 기업 노린 3년 공격, 허술한 ‘기본 보안’이 뚫렸다

국내 기업 서버를 상대로 수년간 랜섬웨어 공격을 벌이며 비트코인을 요구한 카자흐스탄 국적 남성이 현지에서 체포됐다. 경기남부경찰청은 15일 카자흐스탄 수사기관과의 공조 끝에 랜섬웨어 조직 총책 A씨를 검거했다고 밝혔다. 경찰은 이 사건을 통해 국내 업체들의 계정 관리와 비밀번호 설정, 접근 통제 등 기초 보안 수준이 여전히 취약한 것으로 보고 있다.

경찰에 따르면 A씨와 조직원들은 2022년부터 2025년 7월까지 국내 다수 업체 서버에 침입해 데이터를 암호화한 뒤 복호화 대가로 비트코인을 요구한 혐의를 받고 있다. 피해 업체들은 금전을 지급하지 않았지만, 서버가 한동안 마비되는 피해를 입은 것으로 전해졌다. 최초 신고는 2022년 9월 접수됐고, 경찰은 감염 서버를 분석해 카자흐스탄 IP를 특정한 뒤 현지 국가안전위원회(NSC)와 공조해 2025년 7월 알마티 소재 주거지를 압수수색하고 전자정보를 확보했다.

이번 사건에서 경찰이 주목한 부분은 공격 수법이다. 피의자들은 국내 업체들이 서버 관리자 계정을 기본 설정 상태로 두거나, 단순한 비밀번호를 사용하는 점을 노린 것으로 조사됐다. 자주 쓰이는 계정 정보를 무작위로 대입해 권한을 탈취한 뒤 랜섬웨어를 실행하는 방식이었다. 외부에서 알려진 취약점을 악용하기보다, 관리 부실이 있는 계정을 집중적으로 파고든 셈이다.

경찰은 이번 수사를 통해 확보한 전자정보를 분석해 여죄를 확인하고 있으며, 카자흐스탄 수사기관과 협조해 추가 범행 여부도 들여다보고 있다. 경기남부청은 현지 기관과의 협업을 통해 피의자를 특정하고 압수수색과 검거까지 이어갔다고 설명했다.

보안 당국이 최근 반복해서 강조하는 대응 수칙도 이번 사건과 맞닿아 있다. 한국인터넷진흥원(KISA) 보호나라는 관리자 비밀번호 복잡도 강화와 주기적 변경, 관리자 로그인 이중 인증, 관리자 페이지 접근 IP 제한, 최신 보안 업데이트 적용 등을 주요 권고 사항으로 제시하고 있다. 경기남부청 역시 기본 설정된 관리자 계정 변경, 비밀번호 정기 갱신, 다단계 인증 적용, 접근 통제와 계정 사용 이력 점검이 중요하다고 밝혔다.

국내 침해사고 신고도 늘어나는 흐름이다. 국회도서관 국가전략정보포털에 수록된 KISA 2025년 상반기 사이버 위협 동향 자료에 따르면, 2025년 상반기 침해사고 신고 건수는 1,034건으로 2024년 같은 기간 899건보다 증가했다. 업종별로는 정보통신 분야 비중이 가장 높았고, 제조와 도소매, 협회 등으로도 피해가 확산된 것으로 나타났다.

랜섬웨어는 몸값을 지급하지 않아도 피해가 남는다. 시스템이 암호화되면 업무가 중단되고, 데이터 복구와 장비 점검, 서비스 재개 과정에서 추가 비용이 발생한다. KISA는 기존 대응 자료에서 정기 백업과 복구 체계, 재해복구 계획, 모의훈련의 필요성을 꾸준히 안내해 왔다.

경찰은 이번 수사 과정에서 확보한 랜섬웨어 복호화 관련 기술 정보를 KISA 등 관계기관과 공유해 피해 확산 방지에 활용할 계획이라고 밝혔다. 수사와 별도로, 국내 기업들이 관리자 계정과 원격 접속 환경, 인증 체계 전반을 다시 점검해야 한다는 지적도 나온다.