수년간 랜섬웨어의 전형적인 이미지는 암호화된 파일과 화면에 표시되는 몸값 요구 메모였다. PortalGeek이 설명한 새로운 전술은 그 시나리오를 바꾼다: **암호화 없는 living off the land 랜섬웨어**는 단 하나의 파일도 암호화하지 않고 조직 자체의 도구를 활용하여 기업 네트워크를 마비시킨다. 결과는 동일하다. 기업이 멈추는 것이다. 하지만 그곳에 도달하는 경로는 탐지하기 더 어렵다. 이 기사에서는 이것이 어떻게 작동하는지, 왜 그렇게 포착하기 어려운지, 그리고 기업과 재택근무하는 개인 모두 무엇을 점검해야 하는지 설명한다. ## 암호화 없는 랜섬웨어의 작동 방식 공개된 정보에 따르면, 이 전술은 많은 방어 체계가 주로 감시하는 파일 암호화에 의존하지 않고 기업 네트워크의 운영을 마비시킨다. 눈에 띄는 악성 프로그램을 배포하는 대신, 공격자는 환경에 이미 존재하는 유틸리티, 즉 PowerShell과 같은 관리 도구와 원격 접속 소프트웨어를 악용한다. 이 접근 방식은 "living off the land"(땅에서 먹고 살기)로 알려져 있다. 침입자는 이미 설치된 것을 사용한다. 데이터를 암호화하지 않고도 서비스를 중단시키고, 접근을 차단하거나 시스템을 무력화할 수 있으며, 비즈니스 연속성에 미치는 영향은 마찬가지로 심각하다. 기업에게 파일이 암호화되었든 아니든 운영할 수 없다는 것이 핵심 문제다. ## 합법적인 도구를 사용하면 탐지가 어려워지는 이유 핵심은 공격자가 실행하는 것 중 언뜻 보기에 이상한 것이 없다는 점이다. PowerShell은 시스템 관리자들이 매일 사용하고, 원격 접속 소프트웨어는 기술 지원의 일상적인 요소다. 유효한 자격 증명을 가진 공격자가 같은 도구를 실행하면, 그 활동은 일상 업무로 오인될 수 있다. 이는 몇 가지 실질적인 결과를 낳는다: - **전형적인 신호가 줄어든다.** 알려진 악성 파일을 찾는 백신은 합법적인 프로그램이 사용될 때 차단할 것이 거의 없다. - **초점이 자격 증명으로 이동한다.** 접근이 유효하다면, 질문은 더 이상 "이 소프트웨어가 무엇인가?"가 아니라 "누가 어디서 사용하고 있는가?"가 된다. - **행동의 중요성이 커진다.** 도구의 비정상적인 사용(이상한 시간대, 예상치 못한 기기에서의 사용)을 탐지하는 것이 특정 파일을 탐지하는 것보다 더 유용해진다. 이것은 단일 제품으로 해결되는 위협이 아니다. 접근 제어, 가시성, 복구 능력 등 여러 계층이 필요하다. ## 재택근무와 가정 네트워크에 의미하는 바 기업 네트워크는 사무실에서 끝나지 않는다. 집에서 연결하는 모든 노트북, 모든 원격 접속 도구, 재사용된 모든 비밀번호가 공격자가 침입할 수 있는 표면을 넓힌다. 이 방법이 합법적인 접근을 활용하는 데 의존한다면, 원격 근무자의 자격 증명은 특히 가치 있는 관문이 된다. 실제로 가정 네트워크의 보안은 기업의 보안에 영향을 미친다: - 출하 시 비밀번호가 설정된 라우터나 펌웨어가 업데이트되지 않은 라우터는 약점이다. - 개인 서비스와 기업 서비스 간에 반복된 비밀번호는 외부 유출이 결국 업무에 영향을 미치기 쉽게 만든다. - 설치 후 잊혀진, 또는 강화된 인증이 없는 원격 접속 프로그램은 기기로 향하는 직접적인 경로를 제공한다. 전반적인 맥락도 중요하다. [스페인에서의 랜섬웨어 피해자 증가와 AI를 이용한 데이터 탈취](/en/ransomware-espa-a-v-ctimas-2026-19-y-robo-de-datos-con-ia)에 관한 우리의 분석에서 다룬 것처럼, 위협은 계속 증가하고 있으며 조직과 그에 연결된 개인 모두에게 영향을 미친다. ## 실질적인 조치: MFA, 최소 권한, 모니터링, 백업 이 조치 중 어느 것도 새로운 것은 아니지만, 함께 적용하면 합법적인 도구를 악용하려는 자의 행동 여지를 크게 줄인다. 1. **다중 인증(MFA).** 이메일, 기업 VPN, 원격 데스크톱, 모든 관리 패널에서 활성화하라. 비밀번호가 유출되더라도 MFA는 중요한 장벽을 추가한다. 2. **최소 권한.** 각 계정은 필요한 권한만 가져야 한다. 일반 사용자가 높은 권한으로 PowerShell을 실행할 필요가 없다면, 제한하는 것이 좋다. 3. **원격 접속 소프트웨어 관리.** 어떤 도구가 승인되었는지 목록을 유지하고 사용하지 않는 것은 제거하라. 4. **행동 모니터링.** 관리 도구의 활동을 기록하고 검토하며, 일상적이지 않은 사용에 대한 경보를 설정하라. 5. **격리되고 테스트된 백업.** 주요 네트워크와 분리된 백업을 보관하고 복원 가능한지 확인하라. 차단되는 것이 파일뿐만 아니라 시스템이라면, 문서화된 복구 계획도 갖추는 것이 좋다. 6. **가정 위생.** 라우터의 자격 증명을 변경하고, 펌웨어를 업데이트하며, 비밀번호 관리자를 통해 고유한 비밀번호를 사용하고, 운영 체제를 최신 상태로 유지하라. ## 결론: 공격자가 하기 전에 당신의 설정을 점검하라 **암호화 없는 living off the land 랜섬웨어**는 위험이 항상 의심스러운 파일의 형태로 오는 것은 아니라는 점을 상기시킨다. 때로는 유효한 계정과 이미 당신의 기기에 있는 도구와 함께 온다. 그래서 방어는 자격 증명을 보호하고, 권한을 제한하며, 행동을 감시하고, 복구할 수 있도록 보장하는 데 달려 있다. 이번 주에 몇 분을 할애하여 원격 근무 설정을 점검하라: 주요 계정에 MFA가 활성화되어 있는가? 라우터의 관리 비밀번호를 변경했는가? 백업이 격리되어 있고 테스트해 보았는가? 문제의 규모를 더 잘 이해하려면 [스페인의 랜섬웨어 동향](/en/ransomware-espa-a-v-ctimas-2026-19-y-robo-de-datos-con-ia)에 관한 우리의 기사를 참고할 수 있다.