건라 랜섬웨어 한미 합동 권고문 발표, 공공기관이 지금 챙겨야 할 필수 대응 5가지

Table of Contents

안녕하세요! 성징어의 IT 잉크사이트(IT Ink-Sight) 성징어입니다.

어제(8월 11일) 경찰청 국가수사본부가 미국 FBI, CISA, NSA, DC3, USSS와 함께 이례적으로 5개 기관 공동 명의의 사이버보안 경고문을 냈습니다. 대상은 건라(GUNRA)라는 랜섬웨어 조직. 한 나라도 아니고 양국 수사기관이 동시에 이름을 걸고 경고문을 낸다는 건, 그만큼 이 조직이 벌써 여러 나라에서 실제 피해를 만들어냈다는 뜻이기도 합니다. 국내에서도 이미 낯선 이름이 아닙니다.

오늘은 이 조직이 정확히 어떤 방식으로 침투하는지, 왜 하필 지금 한미 양국이 함께 나섰는지, 그리고 공공기관과 기업이 당장 무엇부터 점검해야 하는지 하나씩 짚어보겠습니다.

건라 랜섬웨어란 무엇인가

건라 랜섬웨어는 2026년 4월경 처음 활동이 포착된 비교적 신생 조직입니다. 다만 뿌리는 새롭지 않습니다. 2022년 유출된 콘티(Conti) 랜섬웨어 소스코드를 기반으로 파생된 변종이라는 게 보안업계의 공통된 분석입니다. 콘티는 한때 전 세계 랜섬웨어 생태계에서 가장 활발했던 조직 중 하나였고, 그 코드가 유출되면서 여러 후속 조직이 이를 재활용해왔는데 이번에 문제가 된 조직도 그 계보 위에 있는 셈입니다.

조직 이름부터 짚어보면, 건라라는 명칭 자체는 보안업계가 붙인 코드네임에 가깝습니다. 대부분의 랜섬웨어 조직이 그렇듯 실체를 정확히 특정하기는 어렵고, 카스퍼스키를 비롯한 여러 위협 인텔리전스 업체가 공격 패턴과 코드 유사성을 근거로 동일 조직의 소행으로 묶어 분류하는 방식입니다. 이름만 보면 생소하지만 활동 반경은 이미 국경을 넘어섰습니다. 카스퍼스키는 지난해 아랍에미리트 두바이의 한 병원을 공격한 배후로 이 조직을 지목했고, 국내에서도 SGI서울보증을 겨냥한 공격의 배후로 같은 조직이 지목된 바 있습니다. 다시 말해 이미 국내 금융권을 실제로 건드려본 이력이 있는 조직이라는 뜻이고, 이번 한미 합동 권고문이 단순한 예방 차원의 경고만은 아니라는 걸 짐작하게 합니다.

건라 랜섬웨어의 침투 경로 세 가지

경찰청과 FBI가 공동 분석한 자료에 따르면 이 조직이 내부망에 침투하는 경로는 크게 세 갈래입니다. 첫째는 스피어피싱 이메일에 첨부된 악성 문서와 매크로 실행입니다. 그럴듯한 발신자 이름과 업무 관련 제목으로 위장한 메일에 담긴 문서 파일을 열면, 매크로가 자동 실행되면서 내부망 정찰이 시작됩니다. 둘째는 패치되지 않은 VPN 소프트웨어와 이미 공개된 CVE 취약점입니다. 보안 패치가 배포된 지 한참 지났는데도 업데이트를 미루는 조직이 여전히 많고, 이런 알려진 취약점은 공격자 입장에서 가장 손쉬운 진입로입니다. 셋째는 인터넷에 그대로 노출된 원격데스크톱(RDP)에 대한 비밀번호 크래킹이나 취약점 공격입니다.

세 가지 다 새로운 수법은 아닙니다. 오히려 익숙한 기본기 수준의 취약점입니다. 그런데도 여전히 뚫린다는 게 문제입니다. VPN 패치를 미루거나 RDP 포트를 외부에 그대로 열어둔 조직이 여전히 많다는 방증이기도 하고요. 정교한 제로데이를 쓰지 않고도 이런 기본적 허점만으로 침투에 성공하고 있다는 사실은, 역설적으로 공공기관 보안 담당자들에게 가장 먼저 손봐야 할 지점이 어디인지를 정확히 짚어줍니다. 신기술 방어체계를 새로 도입하기 전에, 이미 알려진 패치와 포트 관리부터 되짚어보는 게 건라 랜섬웨어 대응의 출발점이라고 할 수 있습니다.

조직명이 왜 이렇게 자주 바뀌는가

보안 뉴스를 챙겨보다 보면 랜섬웨어 조직 이름이 계속 새로 등장하는 게 의아할 수 있습니다. 이는 조직이 수사망을 피하거나 평판을 세탁하기 위해 브랜드를 갈아치우는 경우가 흔하기 때문입니다. 핵심 인력이나 코드베이스는 그대로 유지한 채 이름만 바꿔 활동을 이어가는 사례도 여러 차례 확인된 바 있습니다. 콘티 소스코드가 유출된 이후 여러 파생 조직이 생겨난 배경에도 이런 흐름이 자리하고 있습니다.

그래서 보안 담당자 입장에서는 조직 이름 하나하나를 외우기보다, 공통적으로 반복되는 공격 패턴 자체에 주목하는 게 더 실용적입니다. 스피어피싱, 미패치 VPN, 노출된 RDP라는 세 가지 진입 경로는 조직 이름이 바뀌어도 크게 달라지지 않는 경우가 많기 때문입니다.

이중공갈과 서비스형 랜섬웨어(RaaS)로의 진화

건라 랜섬웨어를 다른 구형 랜섬웨어와 구분 짓는 지점은 협박 방식입니다. 단순히 파일을 암호화해 몸값을 요구하던 과거 방식에서 한 단계 더 나아가, 침투 단계에서 이미 내부 데이터를 외부로 빼돌린 뒤 복호화 대가와 데이터 비공개 대가를 동시에 요구하는 이중공갈(Double Extortion) 방식을 씁니다. 협상이 결렬되면 다크웹에 마련된 전용 유출 사이트에 피해 기업의 자료 일부를 실제로 게시하는 방식으로 압박 수위를 높입니다. 데이터를 복구할 백업이 있더라도, 유출 자체를 막을 수는 없다는 게 이중공갈 방식의 무서운 점입니다.

더 눈여겨봐야 할 대목은 건라 랜섬웨어가 최근 서비스형 랜섬웨어, 즉 RaaS 형태로도 운영되고 있다는 점입니다. RaaS는 랜섬웨어 코드를 직접 개발하는 조직과, 그 코드를 빌려 실제 공격을 대행하는 제휴자가 수익을 나누는 구조입니다. 기술력이 부족한 공격자도 진입할 수 있게 문턱을 낮춰주는 구조라서, 검증된 코드베이스를 갖춘 조직이 RaaS로 전환하면 공격 빈도 자체가 기하급수적으로 늘어날 가능성이 큽니다. 실제로 최근 보안업계 보고서에는 이 조직이 가짜 피해자를 유출 사이트에 게시하는 이른바 ‘팬텀 빅팀’ 정황까지 관측됐다는 분석도 나왔는데, 이는 협상력을 부풀리기 위한 심리전 성격이 짙습니다. 협상 테이블에서 실제 피해 규모를 부풀려 압박 강도를 높이려는 전형적인 심리전 수법으로 해석됩니다.

다른 랜섬웨어 조직들과 비교해보면

RaaS 생태계 자체는 새로운 흐름이 아닙니다. 락빗(LockBit)이나 블랙캣(BlackCat, ALPHV)처럼 이미 전 세계적으로 악명이 높았던 조직들도 같은 RaaS 구조로 운영되며 수년간 수많은 기업과 기관을 공격해왔고, 국제 공조 수사를 통해 일부 인프라가 압수되기도 했습니다. 다만 주요 조직의 인프라가 무너진다고 해서 RaaS 생태계 자체가 사라지지는 않습니다. 코드와 노하우가 다크웹을 통해 계속 재활용되면서, 콘티 소스코드 유출 이후 여러 후속 조직이 생겨난 것처럼 새로운 이름의 조직이 계속 등장하는 구조이기 때문입니다.

이런 맥락에서 보면 이번에 문제가 된 조직도 이 큰 흐름 속 하나의 사례로 이해하는 게 정확합니다. 특정 조직 하나를 완전히 소탕한다고 해서 위협이 사라지는 게 아니라, RaaS라는 사업 모델 자체가 존속하는 한 유사한 조직이 계속 나타날 수밖에 없다는 뜻입니다. 그래서 보안 담당자 입장에서는 특정 조직명을 외우는 것보다, 공통적으로 반복되는 침투 경로와 협박 패턴에 대응하는 체계를 갖추는 쪽이 더 근본적인 해법이 됩니다.

국내외 실제 피해 사례로 본 파급력

말로만 위협적인 조직이 아니라는 걸 보여주는 사례가 이미 여럿 나와 있습니다. 아랍에미리트 두바이의 아메리칸 호스피탈은 지난해 이 조직의 공격을 받아 40테라바이트가 넘는 민감한 환자 데이터가 유출된 것으로 파악됐습니다. 의료기관 특성상 환자 개인정보와 진료기록이 통째로 노출됐다는 뜻이라, 피해 규모를 단순히 데이터 용량으로만 가늠하기도 어렵습니다. 병원 시스템이 마비되면 진료 자체가 지연되는 등 이차 피해로도 이어질 수 있다는 점에서 의료기관 대상 공격은 특히 민감합니다.

국내에서는 SGI서울보증이 건라 랜섬웨어의 공격 배후로 지목된 사례가 있었습니다. 보증보험사는 계약자와 채권자의 신용정보, 금융거래 정보를 대량으로 보유하고 있는 업종이라, 이런 기관이 표적이 됐다는 사실 자체가 국내 금융권 전반에 던지는 경고 신호로 볼 수 있습니다. 주요 기반시설, 금융, 의료, 제조업까지 업종을 가리지 않고 공격을 확대하고 있다는 게 경찰청과 FBI의 공통된 분석이기도 합니다. 두 사례 모두 공통적으로 데이터 규모가 크고 민감도가 높은 업종이라는 점에서, 규모가 큰 조직일수록 오히려 더 매력적인 표적이 될 수 있다는 역설을 보여줍니다.

한미 합동 보안 권고문, 왜 지금 나왔나

경찰청은 8월 11일 발표문에서 “한미 양국 정부 기관이 국내외에 발생하고 있는 건라 랜섬웨어 조직의 해킹 수법을 알려 경각심을 높이고 사이버 보안 조치 강화를 권고하기 위해 합동 보안 권고문을 발행했다”고 밝혔습니다. 이번 권고문은 양국 수사기관의 공동 수사 과정에서 확보한 최신 공격 기법과 침해 지표(IOC)를 반영해 만들어졌다는 점에서 실무적으로도 참고 가치가 높습니다. 단순히 조직의 이름을 공개하는 수준을 넘어, 실제 공격에 쓰인 파일 해시값이나 통신 패턴 같은 구체적 지표까지 함께 배포됐다는 점이 이번 권고문의 실질적 의미입니다.

경찰청 관계자는 “현재 관련 공격을 수사하고 있으며 추가 위협 정보를 관계 기관과 기업에 신속하게 공유할 계획”이라고 밝혔습니다. 아울러 “금융·의료·제조업 등 국내외 다양한 분야를 대상으로 공격을 확대하고 있어 각별한 주의가 요구된다”고 덧붙였는데, 이는 특정 업종만 안심할 수 없다는 뜻이기도 합니다. 이번처럼 미국 5개 기관과 공동 명의로 권고문을 낸 사례 자체가 흔치 않다는 점에서, 정보당국이 건라 랜섬웨어를 상당히 무겁게 보고 있다는 신호로 읽힙니다. 향후 유사한 초국가적 사이버 위협에 대해서도 이런 다자간 공동 권고문 발행 사례가 늘어날 가능성이 높다는 전망도 나옵니다.

2026년 상반기 랜섬웨어 피해 통계로 보는 배경

건라 랜섬웨어 하나만 놓고 볼 문제는 아닙니다. 과학기술정보통신부 집계에 따르면 2026년 상반기 국내 사이버 침해사고는 전년 동기 대비 19.5% 늘어난 1,236건으로 집계됐고, 이 중 랜섬웨어 신고 건수는 145건으로 76.8% 급증했습니다. 이 조직의 활동 확대는 이런 전반적인 증가 추세 위에 얹힌, 가장 최근에 확인된 구체적 사례라고 보는 게 정확합니다.

랜섬웨어 공격자들이 시스템을 암호화하기 전에 데이터를 먼저 빼돌리는 이중갈취 방식이 이제는 예외가 아니라 표준이 됐다는 점도 눈에 띕니다. 제조, 물류, 유통, IT 서비스 업종까지 산업 전반이 표적이 되고 있는데, 세 가지 침투 경로로 특정 업종을 가리지 않고 공격한다는 점과 맞물려 봐야 할 대목입니다. 통계만 놓고 보면 랜섬웨어는 이제 특정 기업의 문제가 아니라 산업 전반이 함께 짊어져야 할 상시적 리스크로 자리잡은 셈입니다.

랜섬웨어 협상, 돈을 내면 끝나는 걸까

몸값을 지불하면 상황이 종료될 거라 기대하는 조직도 있지만, 실제로는 그렇지 않은 사례가 더 많습니다. 이중공갈 구조에서는 돈을 지불해도 유출된 자료가 삭제된다는 보장이 없고, 오히려 협상에 응하는 조직으로 알려지면 같은 조직이나 다른 공격자로부터 재차 표적이 될 위험도 있습니다. 국내외 보안 당국이 공통적으로 몸값 지불을 권장하지 않는 이유도 여기에 있습니다. 결국 사전 예방과 백업 체계 구축이 사후 협상보다 훨씬 비용 효율적이라는 결론으로 이어집니다.

해외에서는 랜섬웨어 조직에 어떻게 대응하고 있나

이번 한미 합동 권고문이 낯선 방식은 아닙니다. 미국 CISA는 이미 ‘스톱랜섬웨어(StopRansomware)’라는 상시 협의체를 운영하며 주요 랜섬웨어 조직에 대한 기술 분석 보고서를 정기적으로 공개해왔고, 유로폴과 인터폴 역시 여러 국가 수사기관과 함께 랜섬웨어 조직의 서버 인프라를 직접 압수하는 국제 공조 수사를 여러 차례 진행한 바 있습니다. 이번 건라 랜섬웨어 권고문도 이런 국제 공조 흐름의 연장선에 있다고 볼 수 있습니다.

주목할 점은 공조의 성격이 사후 수사에서 사전 경고로 조금씩 옮겨가고 있다는 것입니다. 조직이 실제로 큰 피해를 낸 뒤에야 뒤늦게 대응책을 발표하는 대신, 공격 징후와 침해 지표를 미리 공유해 잠재적 피해를 줄이려는 접근입니다. 건라 랜섬웨어 권고문 역시 이미 확인된 국내외 피해 사례를 근거로, 추가 피해가 발생하기 전에 조직들이 스스로 점검할 시간을 벌어주려는 목적이 커 보입니다. 국내 기업과 공공기관 입장에서는 이런 해외발 정보를 수동적으로 받아보는 데 그치지 않고, 자체 위협 인텔리전스 체계에 곧바로 반영하는 실행력이 중요해지는 대목이기도 합니다.

공공기관이 더 매력적인 표적이 되는 이유

민간 기업보다 공공기관이 오히려 더 매력적인 표적이 될 수 있다는 점도 짚고 넘어갈 필요가 있습니다. 공공기관은 대민 서비스를 멈출 수 없다는 특성 때문에 시스템 마비 상황에서 협상 압박에 취약한 편이고, 보유한 데이터의 성격상 유출 시 파급력도 훨씬 큽니다. 주민등록정보, 복지 수급 자료, 의료보험 데이터처럼 대체 불가능한 개인정보를 대량으로 다루는 기관일수록, 데이터 비공개를 조건으로 한 이중공갈 협박에 더 크게 흔들릴 수밖에 없습니다.

게다가 예산과 인력이 제한적인 중소 규모 공공기관일수록 VPN 패치나 RDP 노출 점검 같은 기본적인 보안 조치조차 후순위로 밀리기 쉽습니다. 전담 보안 인력이 없어 외부 위탁 운영에 의존하는 경우, 위탁업체와의 계약 범위에 최신 위협 정보 반영 조항이 명시돼 있는지도 함께 점검해볼 필요가 있습니다. 결국 조직의 규모나 예산 수준과 무관하게, 기본적인 패치 관리 체계 하나만 제대로 갖춰도 상당수의 공격을 막아낼 수 있다는 점은 아무리 강조해도 지나치지 않습니다.

공공기관·기업이 지금 챙겨야 할 대응 방안

KISA가 배포한 랜섬웨어 대응 가이드라인 개정본은 해커가 기업에 침투할 때 쓰는 주요 경로로 홈페이지 취약점 공격, 중앙관리솔루션 침투, 관리자 PC 감염 세 가지를 꼽고 있는데, 앞서 살펴본 침투 경로와 상당 부분 겹칩니다. 그만큼 기본기부터 다시 점검할 필요가 있다는 뜻입니다.

실무적으로는 다음 다섯 가지를 우선순위로 두는 게 좋습니다. 첫째, VPN 및 원격접속 장비의 패치 현황을 즉시 재점검하는 것입니다. 둘째, 외부에 노출된 RDP 포트를 폐쇄하거나 최소한 다중인증(MFA)을 의무화하는 것입니다. 셋째, 이메일 첨부파일에 대한 매크로 자동 실행을 기본 차단으로 설정하는 것입니다. 넷째, 중요 데이터의 오프라인 백업 체계를 별도로 구축해 이중갈취 협박 자체의 실효성을 낮추는 것입니다. 다섯째, 침해 지표(IOC) 정보를 관제 시스템에 즉시 반영해 건라 랜섬웨어와 유사한 공격 패턴을 조기 탐지하는 것입니다. 다섯 가지 모두 대규모 예산이 필요한 항목이라기보다는, 조직 내부 프로세스 점검만으로도 상당 부분 해결 가능한 항목이라는 공통점이 있습니다.

공공 IT 컨설팅 관점에서 본 시사점

이런 합동 권고문이 공공 IT 업무에 영향을 주기까지는 시차가 꽤 있는 편입니다. 하지만 이미 국내 금융권 공격 이력이 확인된 조직이라면, 침해사고 대응 매뉴얼이나 위협 인텔리전스 갱신 항목에 우선적으로 반영할 가치가 있습니다. 특히 오프라인 백업 체계나 RDP 노출 점검처럼 예산 부담이 크지 않으면서도 즉시 실행 가능한 항목부터 사업 범위에 담아두면, 발주기관 입장에서도 설득력 있는 제안이 될 수 있습니다.

공공기관 정보화 사업 제안 단계에서는 이런 최신 위협 사례를 과업 배경이나 현황 분석 챕터에 구체적으로 인용하는 것만으로도 제안서의 설득력이 달라집니다. 발주기관 입장에서는 추상적인 “보안 강화”보다, 실제로 국내 금융권을 공격한 이력이 있는 조직의 이름과 침투 경로를 구체적으로 짚어주는 제안이 훨씬 와닿기 때문입니다.

정보시스템 감리나 ISMS-P 인증 컨설팅을 수행할 때도 마찬가지입니다. 침해사고 대응 절차서나 업무연속성계획(BCP) 항목을 점검할 때, 최근 확인된 실제 조직명과 공격 사례를 근거로 제시하면 발주기관 담당자가 항목의 필요성을 훨씬 쉽게 납득합니다. 특히 예산 편성 시기에는 “왜 이 항목이 지금 필요한가”를 설득하는 근거 자료 하나하나가 실제 사업 착수 여부를 가르는 경우가 많으므로, 이런 최신 사례를 평소에 정리해두는 습관이 실무에서 꽤 유용합니다. 건라 랜섬웨어 사례가 보여주듯, 정교한 신기술보다 기본적인 패치와 접근통제가 여전히 가장 큰 방어선이라는 사실은 새삼스럽지만 계속 확인되고 있습니다.

자주 묻는 질문 몇 가지

이미 백업이 있는데도 안심할 수 없나요? 이중공갈 방식에서는 시스템 복구용 백업이 있어도 유출 자체를 막지는 못합니다. 데이터 암호화 문제는 백업으로 해결되지만, 협상 결렬 시 자료가 다크웹에 공개되는 위험은 별개로 남습니다. 그래서 백업 체계와 함께 애초에 데이터가 외부로 빠져나가지 못하게 하는 접근통제와 이상 트래픽 탐지 체계를 같이 갖추는 게 중요합니다.

중소 규모 조직도 표적이 될 수 있나요? 서비스형 랜섬웨어 구조 특성상 오히려 방어 체계가 허술한 중소 규모 조직이 손쉬운 표적으로 몰릴 가능성이 있습니다. 대형 기관만 노린다는 통념과 달리, 공격 대행자 입장에서는 침투 난이도가 낮은 곳을 우선적으로 노리는 경우가 많기 때문입니다.

침해 지표(IOC)는 어디서 확인할 수 있나요? 이번 한미 합동 권고문처럼 경찰청이나 KISA, CISA가 배포하는 보안 권고문에는 실제 공격에 쓰인 파일 해시값이나 악성 도메인 목록 같은 구체적 지표가 포함되는 경우가 많습니다. 보안관제 시스템이나 침입탐지시스템(IDS)에 이런 지표를 정기적으로 반영해두면 유사한 공격 시도를 조기에 걸러낼 수 있습니다.

패치를 다 했는데도 뚫릴 수 있나요? 완벽한 보안은 존재하지 않지만, 패치 관리와 RDP 노출 차단만으로도 앞서 살펴본 세 가지 침투 경로 중 두 가지를 상당 부분 막을 수 있습니다. 다만 스피어피싱은 기술적 조치만으로 완전히 차단하기 어려운 영역이라, 임직원 대상 모의훈련이나 이메일 첨부파일 실행 정책 같은 사람 중심의 대응책도 함께 갖춰야 합니다. 기술적 통제와 인적 대응책을 같이 가져가는 게 결국 가장 현실적인 방어선입니다.

마무리하며

건라 랜섬웨어 한미 합동 권고문은 결국 “아직 안 뚫린 조직도 언제든 표적이 될 수 있다”는 메시지로 읽힙니다. 신생 조직 하나의 이야기로 끝날 사안이 아니라, 이중공갈과 RaaS라는 큰 흐름 속에서 계속 반복될 패턴이라는 점을 함께 기억해두면 좋겠습니다.

특히 인상적인 부분은 이번 권고문이 사고가 터진 뒤의 뒷수습이 아니라, 아직 국내에서 대규모 피해가 확산되기 전 단계에서 나왔다는 점입니다. 두바이 병원과 SGI서울보증 사례라는 구체적인 선례가 있는 만큼, 지금 이 시점에 기본적인 패치와 접근통제만 다시 한번 점검해도 상당한 리스크를 줄일 수 있는 여지가 남아있는 셈입니다. 거창한 보안 솔루션 도입 계획을 세우기 전에, 오늘 당장 VPN 패치 현황과 RDP 노출 여부부터 확인해보시는 걸 권해드립니다. 여러분 조직은 VPN 패치와 RDP 노출 점검, 최근에 챙겨보셨나요? 댓글로 여러분의 대응 경험이나 궁금한 점을 남겨주시면 함께 이야기 나눠보겠습니다.