어느 날 아침, 직원들이 시스템에 로그인할 수 없고 관리자 비밀번호가 맞지 않으며 서버에 정체불명의 계정과 파일이 생겨난 것을 발견했습니다. 이는 컴퓨터가 고장 난 것이 아니라 회사가 침해당한 것입니다. 서버가 무차별 대입 공격을 받고, 비밀번호가 변경되며, 데이터가 열람되고 심지어 암호화되어 몸값을 요구받는 일은 중소기업에서 점점 더 흔해지는 실제 위협입니다. 실제로 이런 일이 닥쳤을 때, 처음 몇 시간 동안 어떻게 대응하느냐가 피해 규모를 직접 좌우합니다. 오늘은 서버 침해를 발견했을 때 가장 먼저 무엇을 해야 하는지, 그리고 이후 어떻게 예방할지를 명확히 정리해 드리겠습니다.
먼저 알아두세요: 이런 징후가 있다면 이미 침해당했을 수 있습니다
비밀번호가 갑자기 맞지 않거나 관리자 계정이 변경됨; 서버에 낯선 사용자 계정이 생김; 시스템에 알 수 없는 프로그램과 예약 작업이 실행 중임; CPU/네트워크가 이유 없이 최대로 치솟음(채굴이나 데이터 유출 가능성); 파일이 대량으로 암호화되고 몸값 요구 메시지가 나타남; 로그인 로그에 낯선 IP로부터의 실패 시도가 대량으로 기록됨——이것들이 모두 침해의 전형적인 신호입니다. 이 중 몇 가지라도 보인다면 일반적인 장애로 넘기지 말고 보안 사고로 대응해야 합니다.
최우선 대응: 먼저 출혈을 멈추고, 성급하게 재설치하지 마세요
많은 분들이 가장 먼저 “빨리 시스템을 재설치하자”고 생각합니다——하지만 잠시 멈추세요. 재설치는 조사 단서를 없애버리고, 침입 경로를 찾지 못하면 재설치 후에도 똑같이 다시 뚫립니다. 올바른 대응 순서는 다음과 같습니다:
- ① 격리, 확산 차단: 감염된 장비를 네트워크에서 분리합니다(랜선을 뽑거나 방화벽에서 차단). 공격자의 추가 조작을 막고, 악성코드가 내부망에서 다른 장비로 횡적으로 확산되는 것을 방지합니다.
- ② 현장 보존: 우선 재부팅하지 말고, 성급하게 파일을 삭제하지 마세요. 로그, 의심스러운 파일, 계정 등은 “어떻게 침입했는지”를 밝히는 핵심 증거이므로, 촬영하거나 내보낼 수 있는 것은 먼저 보관합니다.
- ③ 관련 비밀번호 전부 변경: 다른 깨끗한 장비에서 서버, 관리 콘솔, 데이터베이스, 이메일 등 영향받을 수 있는 모든 비밀번호를 변경합니다. 특히 재사용한 취약한 비밀번호는 반드시 바꿉니다.
- ④ 영향 범위 평가: 어떤 장비와 데이터가 침해당했는지, 데이터가 유출되거나 암호화된 것은 없는지 확인합니다. 가장 먼저 발견된 한 대만 쳐다보지 마세요.
침입 경로 파악: 공격자는 주로 어디로 들어오는가
- 취약한 비밀번호 무차별 대입: 원격 데스크톱(RDP), SSH, 데이터베이스가 인터넷에 직접 노출된 상태에서 취약한 비밀번호를 사용하면 자동화 프로그램이 몇 시간 만에 뚫어냅니다. 가장 흔한 침입 경로입니다.
- 오래된 취약점 미패치: 시스템이나 소프트웨어에 알려진 고위험 취약점(예: 전형적인 이터널블루)이 있는데 패치를 제때 하지 않으면, 기성 도구로 손쉽게 스캔되어 뚫립니다.
- 피싱/트로이 목마: 직원이 피싱 메일을 클릭하거나 악성 소프트웨어를 설치하면, 공격자가 이를 통해 침입 지점을 확보한 뒤 내부로 침투합니다.
- 대외 서비스의 취약점: 웹사이트, OA 등 외부에 공개된 시스템 자체에 보안 취약점이 있어, 이를 악용해 서버를 장악합니다.
정리 및 복구: 깨끗함을 확인한 뒤 서비스 재개
출혈을 멈추고 침입 경로를 찾은 뒤에야 복구를 논할 수 있습니다. 핵심은 공격자의 발판이 완전히 제거되고 침입 경로가 막힌 것을 확인한 다음 시스템을 업무에 복귀시키는 것입니다. 악성 계정, 프로그램, 예약 작업, 백도어를 제거하고, 악용된 취약점에 패치를 적용하며, 닫아야 할 공용 포트를 닫습니다. 깨끗한 것이 확인된 백업에서 데이터를 복구합니다(이것이 평소 오프라인 백업이 그토록 중요한 이유입니다——몸값을 요구받을 때, 이것이 몸값을 내지 않아도 되는 자신감이 됩니다). 모든 처리를 마치고 잔여 위협이 없음을 확인한 뒤, 다시 네트워크에 연결해 서비스를 제공합니다.
다음 침해 예방: 이 방어선들을 보강하세요
- RDP/SSH/데이터베이스를 인터넷에 직접 노출하지 마세요: 제로 트러스트/VPN 등 안전한 채널로 접속하고, 업무 포트는 인터넷에서 숨깁니다.
- 강력한 비밀번호 + 다중 인증: 취약한 비밀번호와 기본 비밀번호를 배제하고, 중요한 시스템에는 2차 인증을 활성화합니다.
- 적시 패치: 시스템과 핵심 소프트웨어를 최신 상태로 유지해 오래된 취약점에 기회를 주지 않습니다.
- 방화벽 + 침입 방지: 네트워크 입구에서 무차별 대입 공격과 알려진 공격을 차단하고, 로그를 보관해 추적에 활용합니다.
- 내부망 격리 + 오프라인 백업: 구간별 격리로 횡적 확산을 방지하고, 3-2-1 백업으로 최악의 상황에서도 복구할 수 있습니다.
자주 묻는 질문
Q: 침해를 발견하면 그냥 시스템을 재설치하면 되지 않나요?
A: 바로 재설치는 권장하지 않습니다. 먼저 격리하지 않고 침입 경로를 찾지 않으면 재설치 후에도 곧바로 다시 뚫리는 경우가 많으며, 재설치는 조사 증거를 없애버립니다. 먼저 격리하고, 현장을 보존하고, 침입 경로를 조사한 뒤 정리하고 복구해야 합니다.
Q: 데이터가 암호화되어 몸값을 요구받으면 돈을 줘야 하나요?
A: 몸값 지불은 권장하지 않습니다——돈을 내도 복호화를 해주지 않을 수 있고, 2차 협박을 불러올 수도 있습니다. 진정한 자신감은 평소 깨끗한 오프라인 백업을 갖추고 백업에서 바로 복구하는 것입니다. 따라서 백업은 반드시 미리 하고, 정기적으로 복구 가능 여부를 검증해야 합니다.
Q: 보안 담당자가 없어서 사고가 나면 자체적으로 해결하지 못할 것 같은데 어떻게 해야 하나요?
A: 보안 사고 대응은 전문성이 요구되고 시간이 촉박합니다. 자신이 없을 때는 최대한 빨리 전문 네트워크 보안 서비스 업체를 찾아 긴급 대응을 맡기세요. 개입이 빠를수록 피해가 작아집니다. 평소에도 예방과 모니터링을 철저히 하고, 사고가 난 뒤에야 대비하지 마세요.
Q: 소규모 회사도 표적이 되나요?
A: 그렇습니다, 오히려 많습니다. 많은 공격이 자동화되어 목표를 가리지 않으며, 인터넷에 노출된 취약한 비밀번호나 오래된 취약점이 있으면 스캔 대상이 됩니다. 소규모 회사는 방어가 취약해 오히려 더 쉽게 뚫립니다.
서버가 침해당하고 몸값을 요구받았는데, 급하게 불을 끄려 해도 보안 팀이 없으신가요?
Siwenlide는 베이징 및 인근 지역 중소기업에 보안 사고 긴급 대응과 일상적인 방어를 제공합니다. 신속한 격리 조치, 침입 경로 조사, 정리 및 복구를 수행하고, 방화벽, 침입 방지, 제로 트러스트 접속, 내부망 격리, 오프라인 백업 등의 방어선을 보강하여 다음번에는 침입하지 못하게 합니다. 사후 진화보다 사전 예방이 훨씬 수월합니다. siwenlide.com 을 방문하시거나 400-686-2011로 전화하세요. 긴급한 상황이라면 바로 전화 주시기 바랍니다.
