CyberMaxx의 새로운 연구에 따르면, 랜섬웨어 활동이 2026년 2분기에 사상 최고 수준으로 증가했습니다. 이 회사의 2026년 2분기 랜섬웨어 연구 보고서는 전 세계적으로 추적된 2,579건의 랜섬웨어 공격을 기록했으며, 이는 올해 1분기에 기록된 2,282건보다 13% 증가한 수치입니다. 순수한 공격 건수만큼이나 주목할 만한 점은 공격을 수행하는 그룹 수의 증가로, 이는 기업 IT 부서를 훨씬 넘어서는 파급력을 지닌 추세입니다.

기록적인 공격 건수가 시사하는 더욱 분주해진 위협 환경

2026년 1분기 2,282건에서 2분기 2,579건으로의 증가는 일시적인 급증이 아닙니다. 이는 랜섬웨어 운영이 더 효율적이고 반복 가능한 비즈니스로 성숙해짐에 따라 연구원들이 추적해 온 분기별 성장 패턴을 이어가고 있습니다. 이 수치에 집계된 각 공격은 일반적으로 시스템이 암호화되었거나, 데이터가 도난당해 유출 위협을 받았거나, 혹은 둘 다에 해당하는 조직을 나타냅니다. 모든 숫자 뒤에는 병원, 물류 회사, 지방 정부 사무소 등 실제 침해 사고에 대응해야 했던 실체가 존재합니다.

이번 분기 수치가 특히 주목할 만한 이유는 증가 속도 때문입니다. 단일 분기 13% 상승은 초기 접근 브로커부터 협상 및 지불 물류에 이르기까지 랜섬웨어 운영을 지원하는 인프라가 법 집행 기관의 압박이나 개선된 기업 방어에도 불구하고 둔화되기는커녕 규모 면에서 더욱 효율적으로 변하고 있음을 시사합니다.

활성 위협 그룹 54% 급증

CyberMaxx 보고서에서 아마도 더욱 놀라운 데이터 포인트는 활성 랜섬웨어 그룹 수의 증가일 것입니다. 이 보고서는 2026년 2분기 이러한 공격 급증을 주도한 활성 그룹이 106개라고 밝히고 있으며, 이는 직전 분기에 기록된 69개 그룹보다 54% 증가한 수치로, 공격을 수행하는 개별 운영 건수가 크게 늘었음을 보여줍니다.

이러한 확장이 중요한 이유는 위협의 규모뿐만 아니라 그 양상까지 변화시키기 때문입니다. 자원이 풍부한 소수의 대형 랜섬웨어 갱단이 존재하는 문제는 수십 개의 새롭고 작은 조직으로 구성된 파편화된 생태계와 근본적으로 다른 문제입니다. 더 많은 그룹은 일반적으로 더 다양한 전술, 예측 불가능한 표적 선정, 그리고 특정 그룹의 알려진 행동을 기반으로 탐지 규칙을 구축하려는 방어자에게 더 어려운 작업을 의미합니다. 또한 공격을 시작하는 기술적 장벽을 낮추는 서비스형 랜섬웨어 모델이 오래된 그룹이 와해되거나 브랜드를 변경하는 와중에도 새로운 운영자를 계속 끌어들이고 있음을 시사합니다.

변화하는 표적: 비즈니스 서비스가 1위 차지

CyberMaxx의 보고서는 어떤 산업이 이러한 공격의 직격탄을 맞고 있는지에 대한 변화도 지적합니다. 2026년 2분기에는 비즈니스 서비스 부문이 가장 큰 표적이 된 부문으로 떠올랐으며, 이는 기술 부문이 1위를 차지했던 직전 분기와 비교해 변경된 것입니다. 이러한 종류의 부문 순환은 랜섬웨어 보고에서 흔히 나타나며 종종 기회주의적인 표적 선정을 반영합니다. 공격자들은 한 산업에 무기한 집착하기보다는 방어가 가장 취약하거나 몸값을 신속하게 지불해야 한다는 압박이 가장 높은 곳으로 자주 이동합니다.

다른 비즈니스를 대신하여 대량의 고객 데이터, 금융 기록 또는 운영 물류를 처리하는 부문의 경우, 이러한 변화는 다른 회사에 서비스를 제공하는 공급자가 되는 것만으로도 조직이 더 매력적인 표적이 될 수 있음을 상기시켜 줍니다. 성공적인 단 한 번의 공격이 여러 하위 고객사의 운영을 동시에 중단시킬 가능성이 있기 때문입니다.

이것이 의미하는 바

기업 네트워크 보안을 책임지지 않는 사람에게 랜섬웨어 헤드라인은 추상적으로 느껴질 수 있지만, 이러한 공격으로 인한 개인 정보 보호의 여파는 일반 대중에게 직접적으로 영향을 미칩니다. 랜섬웨어 그룹이 기업에 침해하면, 시스템을 암호화하기 전에 고객 데이터, 직원 기록 또는 클라이언트 정보를 빼내는 경우가 많으며, 몸값이 지불되지 않으면 도난당한 해당 데이터는 종종 공개되거나 판매됩니다. 비즈니스 서비스와 같이 공격 대상이 자주 되는 부문의 조직의 고객, 직원 또는 클라이언트라면, 공격자와 직접 상호 작용하지 않더라도 개인 정보가 유출 사고에 휩쓸릴 수 있습니다.

활성 랜섬웨어 그룹 수가 증가한다는 것은 "알려진 악의적 행위자 피하기"에 대한 일반적인 조언이 예전보다 덜 유용하다는 것을 의미하기도 합니다. 단일 분기에 106개의 그룹이 활동하는 상황에서 구체적인 전술, 랜섬 노트, 갈취 방법은 매우 다양하며, 이 모든 것을 포괄하는 단일 방어 플레이북은 존재하지 않습니다.

실행 가능한 교훈

이 보고서에 설명된 규모를 고려할 때, 몇 가지 실질적인 조치를 우선시할 가치가 있습니다. 거래하는 회사로부터의 침해 통지를 면밀히 주시하십시오. 랜섬웨어 관련 데이터 도난은 초기 공격 후 수주 또는 수개월 후에 공개되는 경우가 많기 때문입니다. 모든 계정에 고유하고 강력한 비밀번호를 사용하고 가능한 모든 곳에서 다중 인증을 활성화하십시오. 자격 증명 재사용은 공격자가 네트워크에 초기 접근하는 가장 쉬운 방법 중 하나로 남아 있기 때문입니다. 침해 통지를 받은 경우, 아무리 사소해 보이더라도 금융 거래 내역과 신용 보고서에서 비정상적인 활동이 있는지 모니터링하십시오. 특히 비즈니스 서비스 또는 새롭게 선호되는 표적 부문의 조직에게 이 데이터는 침해를 '만약'이 아닌 '언제'의 문제로 가정하고 이에 따라 사고 대응 계획을 수립하는 것의 가치를 강조합니다. 기록적인 공격 건수와 확장되는 위협 그룹의 영역은 공황 상태에 빠져야 한다는 신호가 아니라, 랜섬웨어 대비 태세가 위협 자체가 진화하는 속도에 발맞춰야 한다는 분명한 신호입니다.