랜섬웨어 공격은 좀처럼 암호화로 시작되지 않는다. 시스템이 잠기고 몸값 요구서가 나타나기 훨씬 전부터, 공격자는 조직의 네트워크에 침입하는 데 필요한 자격 증명을 이미 손에 쥐고 있을 수 있다. 이는 2026 Verizon 데이터 유출 조사 보고서(DBIR)를 바탕으로 한 최근 Security Boulevard 기사의 핵심 메시지이며, 탈취된 자격 증명 랜섬웨어 공격을 바라보는 방식을 재정립한다. 즉, 시스템 잠금은 마지막 장면이지 시작 동작이 아니다.

해당 보고서 보도에서 확인 가능한 발췌 내용은 짧기 때문에, 이 글은 그 내용과 vpn.social이 이미 보도한 내용에만 집중한다. 핵심 요지는 개인과 조직 모두에게 여전히 명확하고 실용적이다.

탈취된 자격 증명이 어떻게 랜섬웨어 침입 경로가 되는가

랜섬웨어를 단일 사건이 아니라 공급망으로 그려보면 이해에 도움이 된다. 서로 다른 행위자들이 각기 다른 단계를 담당한다. 한 집단이 로그인 정보를 확보하고, 다른 집단이 그것을 구매하거나 사용해 네트워크 내부로 들어가며, 랜섬웨어 자체는 접근이 확보된 후 나중에 등장한다.

이는 유효한 사용자 이름과 비밀번호가 정상적인 활동처럼 보이기 때문에 중요하다. 실제 자격 증명으로 로그인하는 공격자는 방화벽을 뚫거나 소프트웨어 취약점을 악용할 필요가 없다. 그저 로그인하면 되고, 보안 도구는 처음에는 아무런 이상 징후도 포착하지 못할 수 있다.

암호화가 시작될 무렵, 공격자는 이미 한동안 내부에 머물렀을 수 있다. 몸값 요구는 피해자가 공격 사실을 알게 되는 순간이지, 공격이 시작된 순간이 아니다.

자격 증명 공급망의 출발점: 인포스틸러와 유출된 로그인 정보

그렇다면 자격 증명은 어디서 오는가? 주요 출처는 인포스틸러 악성코드로, 감염된 기기에서 저장된 로그인 정보, 세션 데이터 및 기타 비밀 정보를 조용히 수집한다. 탈취된 데이터는 일반적으로 범죄자들이 거래하거나 판매할 수 있는 "로그"로 묶인다.

vpn.social은 이러한 변화를 자세히 보도해 왔다. 우리가 보도한 바와 같이, 인포스틸러 로그가 피싱을 제치고 최대 침해 원인으로 부상했으며, 연구자들은 인포스틸러 악성코드를 공격자가 기업 네트워크에 침입하는 점점 더 흔한 수단으로 지목하고 있다. 이는 자격 증명 수집이 랜섬웨어를 포함한 어떤 후속 공격에도 공급하는 별개의 단계라는 공급망 그림과 맞아떨어진다.

감염된 개인 노트북 한 대로 충분할 수 있다. 직원이 감염된 기기의 브라우저에 업무용 로그인 정보를 저장해 두면, 고용주가 전혀 모르는 사이에 그 자격 증명이 범죄 시장에 유통될 수 있다.

2026 DBIR이 랜섬웨어 접근에 대해 말하는 것

Verizon DBIR은 침해가 어떻게 발생하는지에 관한 가장 널리 인용되는 연례 연구 중 하나다. 2026년판 보도에 따르면, 랜섬웨어 공격이 가시화되기 전에 공격자가 이미 필요한 자격 증명을 보유하고 있을 수 있다. 이는 암호화를 시작점으로 취급하는 대신 자격 증명을 공격 사슬의 맨 앞에 두는 관점이다.

우리는 이 글에서 해당 발견에 구체적인 수치를 제시하지 않는다. 출처 발췌문에 수치가 제공되지 않기 때문이다. 정확한 수치를 원하는 독자는 보고서 자체를 참고해야 한다. 다만 그 방향성은 자격 증명 탈취가 초기 접근을 주도한다는 broader한 추세와 일치한다.

실질적인 함의는 초점의 변화다. 랜섬웨어 방어는 사슬의 끝에서 백업과 엔드포인트 보호에만 관한 것이 아니다. 범죄자들이 시작 단계에서 주울 수 있는 유효하고 노출된 로그인의 수를 줄이는 것도 포함된다.

이것이 당신에게 의미하는 것: 노출된 로그인을 줄이기 위한 실용적 단계

모든 인포스틸러를 막을 수는 없지만, 탈취된 로그인 정보를 훨씬 덜 유용하게 만들 수는 있다. 다음 단계를 고려해 보라:

  • 모든 계정에 고유한 비밀번호를 사용하라. 하나의 자격 증명이 유출되더라도 다른 무엇도 잠금 해제해서는 안 된다.
  • 비밀번호 관리자를 도입하라. 고유하고 긴 비밀번호를 현실적으로 만들며, 완전히 신뢰하지 않는 기기의 브라우저에 로그인 정보를 느슨하게 저장하는 것을 피할 수 있다.
  • 다중 인증(MFA)을 켜라. 그러면 탈취된 비밀번호만으로는 로그인하기에 충분하지 않다. 가능한 경우 앱 기반 또는 하드웨어 방식을 선호하라.
  • 기기를 깨끗하게 유지하라. 업데이트를 설치하고, 비공식 소프트웨어 다운로드를 피하며, 인식하지 못하는 프로그램을 제거하라. 인포스틸러는 종종 그런 경로로 유입되기 때문이다.
  • 업무용과 개인용을 분리하라. 개인 또는 공유 기기에서 업무 계정에 로그인하는 것을 피하라.
  • 감염 의심이나 침해 통지 후에는 비밀번호를 변경하라. 알려진 깨끗한 기기에서 수행하고, 활성 세션에서 로그아웃하라.

팀을 관리한다면 같은 논리가 확장된다. MFA를 시행하고, 특권 접근 권한을 보유하는 사람을 제한하며, 더 이상 필요하지 않은 접근 권한을 여전히 가진 계정을 검토하라.

공급선을 차단하라

2026 Verizon DBIR 보도의 핵심 교훈은 탈취된 자격 증명 랜섬웨어 공격이 누군가 몸값 요구서를 보기 훨씬 전에 시작된다는 것이다. 가장 효과적인 방어는 로그인 정보를 탈취하기 어렵게 만들고, 탈취되더라도 가치를 낮추는 것이다.

오늘 간단한 점검으로 시작하라. 중요한 계정을 나열하고, 재사용된 비밀번호를 확인하며, 제공되는 모든 곳에서 MFA를 활성화하라. 그런 다음 로그인 정보를 각 서비스마다 고유한 자격 증명을 가진 비밀번호 관리자로 옮겨라. 자격 증명이 애초에 어떻게 수집되는지 더 깊이 살펴보려면, 인포스틸러 로그가 피싱을 제치고 최대 침해 원인으로 부상에 관한 우리의 보고서를 읽어 보라. 지금의 작은 위생 관리가 사슬의 첫 고리를 끊을 수 있다.