6개 정부 기관의 공동 사이버보안 자문이 이유 없이 발표되는 경우는 드물다. 이번에는 그 이유가 바로 군라(Gunra) 랜섬웨어다. 이미 미국과 한국 전역의 병원, 금융기관, 정부 네트워크를 침해한 빠르게 확산되는 위협이다. 미국 5개 기관이 한국의 유관 기관과 협력하여 이들 분야의 조직에 "이것은 가상의 위험이 아니라 실제 피해자가 발생한 활발한 공격 캠페인"임을 경고하는 공동 경보를 발령했다.
이번 자문은 CISA와 FBI가 2026년 8월 발표한 경고에 이은 것으로, 당시 이 그룹의 활동이 처음으로 연방 차원의 지속적인 주목을 받기 시작했다. 그 이후로 군라의 범위가 확장되고 전술이 더욱 파괴적으로 변하면서 상황은 더욱 우려스러워졌다.
6개 기관 자문의 핵심 내용
이번 최신 자문은 이례적으로 광범위한 연합을 보여준다. CISA, FBI, 국방부 사이버범죄센터, NSA, 미국 비밀경호국(US Secret Service)이 한국 정부 기관과 함께 동일한 위협 행위자를 조사하고 있다. 두 나라의 이렇게 많은 기관이 단일 자문에 공동 서명한다는 것은, 일반적으로 해당 위협이 국경과 분야를 넘어 공유 정보와 통일된 대응이 필요한 수준에 이르렀음을 의미한다.
군라 랜섬웨어는 2026년 초 조사관들의 레이더에 처음 포착되었지만, 그 영향의 규모는 시간이 지나면서 더욱 분명해졌다. FBI와 CISA의 이전 공동 자문은 군라가 최소 51개 병원과 정부 기관 및 금융기관을 침해했음을 확인했다. 이 숫자만으로도 의료계 IT 책임자들은 주목할 만하다. 병원은 환자 치료 중단이 신속한 몸값 지불의 긴박한 압박을 만들기 때문에 정확히 그 이유로 표적이 되는 경우가 많기 때문이다.
군라 랜섬웨어의 작동 방식
군라는 이제 익숙한 이중 갈취(double-extortion) 전략을 따른다. 공격자는 파일을 암호화하기 전에 민감한 데이터를 탈취한 후, 피해자가 지불을 거부하면 해당 데이터를 공개적으로 유출하겠다고 협박한다. 운영 중단과 데이터 유출로 인한 평판 및 규제 위험이라는 이중 압박은 효과가 있기 때문에 주요 랜섬웨어 그룹의 기본 모델이 되었다.
군라를 특히 위험하게 만드는 것은 이전 보도에서 확인된 전술이다. 이 그룹은 파일을 암호화하기 전에 백업 시스템을 무력화하는 것이 관찰되었다. 백업은 랜섬웨어에 대한 조직의 보험 정책이자, 피해자가 비용을 지불하지 않고 시스템을 복원할 수 있게 해주는 안전망이어야 한다. 군라 운영자들은 백업을 의도적으로 표적 삼아 무력화함으로써 이 안전망을 제거하고, 피해자에게 공격자와 협상하는 것 외에는 선택지를 훨씬 더 적게 남겨둔다.
우려를 더하는 것은 FBI가 군라가 랜섬웨어 서비스 제공(RaaS) 모델로 확장되었음을 지적했다는 점이다. 이는 악성코드와 인프라가 이제 더 넓은 범위의 제휴 업체, 즉 도구를 라이선스하고 핵심 개발자와 수익을 분배하는 범죄자들에게 제공됨을 의미한다. RaaS 모델은 더 많은 독립 행위자가 동시에 캠페인을 실행하기 때문에 공격의 빈도와 지리적 확산을 가속화하는 경향이 있다.
위험에 처한 대상과 그 중요성
의료, 금융, 정부는 자문에서 명시적으로 언급된 세 분야이며, 각각 서로 다른 이해관계를 지닌다. 병원은 시스템 다운 시 생명과 안전에 직결된 결과를 초래하므로 역사적으로 더 빨리 지불할 가능성이 높다. 금융기관은 갈취 금액에 더해 직접적으로 현금화할 수 있는 데이터를 보유하고 있다. 정부 기관은 장기간 중단을 견딜 수 없는 민감한 시민 데이터와 핵심 서비스를 관리한다.
프라이버시 측면도 특별한 주의가 필요하다. 군라는 암호화하기 전에 데이터를 탈취하므로, 몸값 지불 여부와 관계없이 모든 성공적인 침해는 잠재적인 데이터 노출 사건이다. 환자 기록, 금융 계좌 정보, 정부 보유 개인정보는 조직이 깨끗한 백업에서 시스템을 복원한 후에도 유출 사이트에 공개될 수 있다. 몸값을 지불한다고 해서 탈취된 데이터가 삭제된다는 보장은 없으며, 지불을 거부하는 조직은 데이터가 공개적으로 표면화될 수 있다고 가정해야 한다.
이것이 당신에게 의미하는 바
병원, 은행, 정부 기관에서 IT, 보안, 규정 준수 업무를 담당한다면, 이 자문은 암호화에 대한 방어뿐만 아니라 데이터 탈취와 백업 무력화에 특별히 대비한 방어 체계를 정직하게 검토하도록 촉구해야 한다. 환자, 고객, 시민으로서 이들 기관이 보유한 데이터를 신뢰하고 있다면, 실질적인 시사점은 더 많은 사고가 확인되고 공개되면서 앞으로 몇 달간 군라와 관련된 침해 알림이 증가할 수 있다는 것이다.
6개 기관 자문은 랜섬웨어 동향을 주시하는 모든 이에게 주목할 만한 또 다른 사실을 반영한다. 이러한 위협에 대한 국제적 공조는 줄어들기보다 오히려 더 보편화되고 있다. 미국과 한국 간 군라의 국경을 넘나드는 활동은 랜섬웨어 운영자들이 국가 경계를 존중하지 않으며, 이를 추적하는 조사 기관들도 마찬가지임을 상기시킨다.
실행 가능한 핵심 조치
의료, 금융, 정부 분야의 조직은 몇 가지 구체적인 조치를 우선해야 한다. 첫째, 백업 시스템이 기본 네트워크와 분리되어 있고 공격자가 랜섬웨어를 배포하는 데 사용할 수 있는 동일한 접근 권한으로 백업에 도달하거나 무력화할 수 없는지 확인하라. 둘째, 데이터 유출 방지 통제를 검토하라. 군라의 이중 갈취 모델은 암호화가 위협의 절반에 불과하기 때문이다. 셋째, 사고 대응 계획이 시스템 중단뿐만 아니라 공개적 데이터 유출을 예상 가능한 결과로 포함하는지 확인하라. 마지막으로 CISA, FBI 및 국제 파트너의 자문을 지속적으로 확인하라. 군라가 단일 그룹에서 랜섬웨어 서비스 제공 운영으로 빠르게 진화하고 있다는 점은 이 위협이 여전히 활발히 형태를 바꾸고 있음을 시사하기 때문이다.
개인의 경우 최선의 방어는 여전히 경계심이다. 계정의 비정상적인 활동을 모니터링하고, 침해 알림을 진지하게 받아들이며, 데이터를 보유한 기관이 피해를 입었다는 소식을 받으면 신용 모니터링을 고려하라. 군라 같은 랜섬웨어 그룹은 속도와 당황에 의존한다. 네트워크를 방어하든 개인 정보를 보호하든, 침착하고 준비된 대응이 여전히 가장 효과적인 대응 수단이다.
