2026년 2분기 새로운 랜섬웨어 리더보드

랜섬웨어는 둔화되지 않았고, 단지 캐릭터 라인업이 재편성되었을 뿐입니다. 위협 인텔리전스 기업 브랜드펜스(Brandefense)의 새 보고서는 2026년 2분기를 장악한 상위 5개 랜섬웨어 그룹으로 킬린(Qilin), 더젠틀맨(TheGentlemen), 아키라(Akira), 드래곤포스(DragonForce), 락빗5(LockBit5)를 지목했습니다. 브랜드펜스의 자체 사이버 위협 인텔리전스(CTI) 추적을 바탕으로 한 이 분석은 보안 팀과 일반 사용자에게 현재 가장 활발한 그룹이 어디인지, 나아가 어떤 조직과 개인이 그 여파를 가장 크게 느낄 가능성이 높은지에 대한 개요를 제공합니다.

이 목록의 이름들은 지난 몇 년간 랜섬웨어 뉴스를 접한 사람이라면 익숙하게 들리겠지만, 이들의 지속성은 중요한 사실을 말해줍니다. 즉, 테이크다운(takedown)과 법 집행 기관의 압박이 이들 운영을 완전히 제거하는 경우는 드물다는 점입니다. 대신 브랜드는 재건되고, 계열사는 새로운 플랫폼으로 이동하며, 서비스형 랜섬웨어(RaaS) 모델은 이전 이름이나 리브랜딩된 이름으로 끊임없이 새로운 캠페인을 쏟아냅니다. 락빗5(LockBit5)는 기존의 교란 노력에도 불구하고 계속해서 재등장하는 프랜차이즈의 분명한 사례입니다.

숫자 뒤에 숨은 다섯 그룹

브랜드펜스가 추적한 다섯 그룹은 각기 고유한 계열사 네트워크, 표적 선호도, 협상 스타일로 활동하지만, 현대 랜섬웨어를 규정하는 공통된 플레이북을 공유합니다. 즉, 접근 권한 확보, 데이터 유출, 시스템 암호화, 그리고 정보가 유출되거나 운영이 중단되기 전에 피해자가 돈을 지불하도록 압박하는 것입니다.

이 지점에서 프라이버시에 미치는 영향을 무시할 수 없게 됩니다. 오늘날의 랜섬웨어는 단순히 파일이 잠기는 것에 그치는 경우가 드뭅니다. 그룹들은 점점 더 데이터 탈취를 협상 지렛대로 삼고 있으며, 일부는 한 걸음 더 나아가 이른바 삼중 갈취(triple extortion)로까지 밀고 나갑니다. 여기에는 피해자의 고객이나 파트너에게 직접 연락하는 등의 추가 압박 전술이 포함됩니다. 이러한 확대 방식이 실제로 어떻게 작동하는지 더 깊이 살펴보려면, 삼중 갈취 랜섬웨어에 대한 이전 기사에서 공격자들이 단순한 몸값 요구를 넘어 탈취한 데이터를 어떻게 무기화하는지 상세히 분석한 내용을 확인하세요.

하지만 모든 그룹이 동일한 공식을 따르는 것은 아닙니다. 일부 캠페인은 데이터 탈취 요소 없이 암호화만 수행하는 방식으로 회귀했으며, 이 변종에 대해서는 Jadepuffer의 암호화 전용 랜섬웨어 복귀에 관한 보고서에서 다루었습니다. 브랜드펜스의 2026년 2분기 조사에서 상위 5개 그룹 간의 다양성은 바로 이 현실을 반영합니다. 더 이상 단일한 랜섬웨어 템플릿은 존재하지 않으며, 서로 다른 운영자들이 필요에 따라 조합하는 공유된 도구 모음만이 존재할 뿐입니다.

프라이버시가 진짜 전장인 이유

현재 거의 모든 최상위 랜섬웨어 운영을 관통하는 공통점은 초기 접근입니다. 탈취한 자격 증명만으로도 충분한데 공격자가 굳이 새로운 익스플로잇을 작성할 필요는 거의 없습니다. 최근 업계 분석에 따르면, 손상된 로그인 정보가 소프트웨어 취약점을 제치고 랜섬웨어의 선호 진입로가 되었으며, 이 변화는 Sophos의 손상된 로그인 정보에 관한 조사 결과를 다룬 기사에서 자세히 설명했습니다. 이러한 추세와 함께, 인포스틸러(infostealer) 멀웨어는 공격자들에게 조용하지만 핵심적인 공급망이 되어 로그인 자격 증명을 대량으로 수집하고, 이것이 나중에 바로 이들 랜섬웨어 그룹이 수행하는 침투에 그대로 등장합니다. 인포스틸러 로그가 피싱을 제치고 최고의 침해 원인으로 떠오른 현상에 관한 기사에서 이 파이프라인이 어떻게 작동하는지 설명합니다.

이것이 프라이버시에 중요한 이유는, 랜섬웨어를 단순한 엔드포인트 보안 문제가 아니라 근본적으로 자격 증명과 데이터 보호 문제로 재정의하기 때문입니다. 계정 간에 재사용된 모든 암호, 감염된 기기에서 노출된 모든 세션 토큰은 킬린, 아키라, 드래곤포스 같은 그룹이 악용할 수 있는 잠재적 발판이 됩니다. 피해자는 대기업에만 국한되지도 않습니다. 랜섬웨어 그룹이 암호화 전에 데이터를 유출하면, 몸값 지불 여부와 관계없이 직원, 고객, 환자의 개인정보가 협상 재료로 전락하는 경우가 많습니다.

이것이 당신에게 의미하는 것

대부분의 독자는 락빗5나 더젠틀맨으로부터 기업 네트워크를 직접 방어하지는 않겠지만, 그 하류 효과는 모두에게 미칩니다. 거래하는 기업이 이들 그룹 중 하나에 공격받으면, 계정 자격 증명부터 금융 정보에 이르기까지 여러분의 개인 데이터가 갈취 과정의 일부로 노출되거나 유출될 수 있습니다. 과거 사례(예: 스타들러 레일(Stadler Rail)이 몸값 요구를 거부한 사건)에서 보듯 일부 피해자는 지불을 거부하며, 이 경우 탈취된 데이터가 결과와 상관없이 결국 공개될 수 있습니다.

실질적인 시사점은 랜섬웨어 방어가 점점 더 기본적인 자격 증명 위생에서 시작된다는 점입니다. 이는 조직과 개인 모두에게 해당됩니다. 유일하고 강력한 암호, 다중 요소 인증(MFA), 인포스틸러 멀웨어(종종 불법 복제 소프트웨어나 악성 다운로드를 통해 유포됨)에 대한 경계심은 이들 그룹의 진입점이 될 확률을 낮춥니다.

실행 가능한 핵심 사항

  • 여러 서비스에서 재사용되는 모든 계정은 부채로 간주하세요. 랜섬웨어 조직은 해킹을 통한 침투보다는 점점 더 자격 증명을 구매하거나 수집합니다.
  • 가능한 모든 곳에서 다중 요소 인증(MFA)을 활성화하세요. 손상된 로그인 정보가 이러한 공격의 주요 진입점으로 남아 있기 때문입니다.
  • 거래하는 모든 조직의 유출 통지를 주의 깊게 살펴보고, 탈취된 데이터가 랜섬웨어 협상의 일부가 되는 경우가 많다는 점을 고려하여 진지하게 대처하세요.
  • 현재 어떤 랜섬웨어 그룹이 활동 중인지 계속 파악하세요. 위협 환경을 알면 조직과 개인 모두 사후 대응 대신 선제적으로 위험을 예측하는 데 도움이 됩니다.

브랜드펜스가 제시한 2026년 2분기 랜섬웨어 환경은 이 위협이 사라지는 것이 아니라 진화하고 있음을 확인시켜 줍니다. 이에 앞서 나가려면 그룹의 이름뿐 아니라 그 작동 방식에도 주의를 기울여야 합니다.