파일이 잠겼다면, 업무는 어떻게 될까요?

월요일 아침, 출근해 컴퓨터를 켜니 공유 폴더의 파일이 열리지 않습니다. 파일 이름 뒤에는 낯선 확장자가 붙어 있고, 화면에는 복구하고 싶다면 연락하라는 협박 문구가 떠 있습니다.

이럴 때 많은 기업이 가장 먼저 떠올리는 것이 백업입니다. 그런데 그 백업 장치까지 같은 네트워크에 연결돼 있어 함께 잠겼다면 어떨까요?

업무 파일을 암호화해 열 수 없게 만든 뒤 돈을 요구하는 공격을 랜섬웨어라고 합니다. 최근에는 파일을 잠그는 데서 그치지 않고, 미리 빼돌린 자료를 공개하겠다며 추가로 협박하기도 합니다.

2026년 8월 처음 보고된 신규 랜섬웨어 그룹 Eclipse(이클립스)도 이런 방식을 내세우며 활동을 시작했습니다. 이 그룹이 스스로 밝힌 공격 설계를 들여다보면, 중소기업이 평소 사용하는 백업 방식에서 어떤 부분을 점검해야 할지 살펴볼 수 있습니다.

Eclipse는 누구인가

Eclipse는 훔친 자료를 공개하는 전용 웹사이트를 직접 운영하는 랜섬웨어 그룹입니다. 처음에는 이 사이트에 공개된 피해 기업이 없었고, 함께 공격할 제휴자를 모집하는 데 집중하는 모습이었습니다. 이후 9월 말부터 일본 언론사와 제약 기업 등을 피해자로 게시했지만, 모두 그룹의 주장일 뿐 실제 피해 범위와 진위는 확인되지 않았습니다.

그중 눈에 띄는 것은 운영 방식입니다. 이 그룹은 랜섬웨어 도구와 관리 화면을 만들어 두고, 이를 이용할 공격자를 모집합니다. 랜섬웨어를 ‘빌려주고’ 몸값을 나눠 갖는 이 구조를 RaaS(서비스형 랜섬웨어)라고 합니다. 공격하는 사람이 여럿일 수 있어, 침투 방식도 한 가지로 정해져 있지 않습니다.

파일보다 먼저 ‘복구 수단’을 노립니다

Eclipse가 제휴자 모집 글에서 내세운 기능 중 상당수는 복구를 막는 데 맞춰져 있습니다. 윈도우 PC와 서버뿐 아니라 NAS(네트워크 저장장치), 가상 서버 환경까지 대상으로 하고, 윈도우의 이전 상태 복원 지점을 지우거나 백신 기능을 끄고, 백업 소프트웨어의 데이터를 암호화한다고 주장합니다. 테이프·클라우드 백업을 노리는 기능도 개발 중이라고 밝혔습니다.

이는 모두 그룹이 내세운 홍보 문구로, 실제 구현 여부는 검증되지 않았습니다. 다만 공격자가 노리는 것이 파일 몇 개가 아니라 복구할 방법 자체라는 점은 분명히 보여줍니다.

파일을 잠그지 않아도 협박은 가능

더 주의할 점은 암호화 없이 자료만 빼내 공개를 협박하는 방식입니다. 이 경우 백업으로 파일을 되살려도 문제가 끝나지 않습니다. 이미 외부로 나간 자료는 되돌릴 수 없기 때문입니다.

Eclipse가 공개한 피해 기업 게시글에서도 데이터 탈취를 주장하고 있습니다. 이 그룹은 언론사에서 약 150GB의 인사·회계·재무·영업 자료를, 제약 기업에서는 재무, 법무, 인사, 제조 등 업무 전반의 자료를 가져갔다고 주장합니다. 두 사례 모두 시스템 암호화 여부와 피해 기업의 공식 입장은 아직 확인된 바 없습니다.

중소기업도 안심할 수 없는 이유

Eclipse가 공개한 운영 규칙에서 공격이 허용된 대상은 주요 기반시설, 에너지, 정부기관, 영리 목적의 교육기관, 일반 의료기관 등으로 다양합니다. 금지된 대상은 비영리 단체, 아동 의료 관련 기업, 러시아어권 일부 지역 정도입니다. 하지만 특정 업종만 피하면 된다고 보기 어렵습니다.

한 사람이 총무와 전산을 함께 맡고, 백업은 사무실 NAS나 외장하드에 두며, 관리자 계정을 함께 쓰는 환경도 있습니다. 공격자가 관리자 권한을 얻으면 원본과 백업이 한꺼번에 잠길 수 있고, 거래처 계약서와 직원 정보가 담긴 공유 폴더는 유출 협박에 쓰일 수 있습니다.

물론 Eclipse는 아직 활동 초기 단계이고 실제 공격 역량도 확인되지 않았습니다. 지금이 복구 체계를 점검하기 좋은 시점입니다.

백업보다 중요한 건 실제 복구 가능 여부

백업은 여전히 랜섬웨어 대응의 기본입니다. 다만 업무 PC와 같은 네트워크, 같은 관리자 계정으로 연결돼 있다면 함께 피해를 입을 수 있습니다. 원본과 분리해 보관하고, 실제로 복구되는지 주기적으로 확인해야 합니다.

유출 협박은 백업으로 막을 수 없으므로 어떤 자료가 나가면 곤란한지 미리 파악해 접근 권한을 줄여 두어야 합니다. 협박문에 나오는 ‘무료 복호화 테스트’나 ‘데이터 안전 보장’ 약속도 범죄자의 일방적 주장일 뿐, 비용을 내도 복구와 삭제는 보장되지 않습니다.

Eclipse 같은 랜섬웨어에 대비하는 보안 체크리스트

① 원본과 함께 훼손되지 않을 백업을 확보하세요

업무용 PC와 서버에서 바로 변경하거나 삭제할 수 없는 복사본을 마련하세요.백업 후 연결을 해제해 보관하는 방식이나, 정해진 기간 동안 변경·삭제를 제한하는 기능을 검토할 수 있습니다. 백업 관리 계정도 일반 업무 계정과 분리하고 접근 권한을 제한해야 합니다.

② ‘백업 성공’ 알림에서 끝내지 말고 복구해 보세요

복구 시험에서는 대표 파일이 열리는지뿐 아니라 다음 내용을 확인하세요.

• -복구 시점: 어느 시점의 자료까지 되살릴 수 있나요?
• -복구 시간: 자료와 시스템을 복구하는 데 얼마나 걸리나요?
• -업무 재개: 주문 처리나 회계 등 필요한 업무를 실제로 수행할 수 있나요?

파일은 복구됐어도 업무 프로그램이나 관련 시스템이 작동하지 않으면 업무를 재개하기 어렵습니다. 중요한 시스템 간 연결 관계와 복구 순서까지 점검하세요.

③ 외부 접속 경로와 관리자 계정을 점검하세요

원격 접속 서비스와 관리자 계정을 목록으로 정리하고, 불필요한 접속 경로와 사용하지 않는 계정은 정리하세요.

관리자 권한은 필요한 사람에게만 부여하고, 원격 접속과 관리자 로그인에는 지원되는 다중 인증(MFA)을 적용하세요. 업무용 계정이 탈취돼도 백업 관리 권한까지 바로 넘어가지 않도록 구분하는 것이 중요합니다.

④ PC뿐 아니라 NAS·서버·백업 프로그램도 관리하세요

업데이트 대상에는 운영체제와 백신뿐 아니라 NAS의 펌웨어, 서버, 가상화 환경, 백업 소프트웨어도 포함해야 합니다. 외부에 노출된 관리 화면과 불필요한 원격 접속 설정도 확인하세요.

보안 프로그램의 실시간 보호나 변조 방지 기능은 지원 범위에 맞춰 활성화하고, 보호 기능이 꺼지거나 주요 설정이 변경됐을 때 담당자가 확인할 수 있도록 관리하세요.

⑤ 이상 징후가 보이면 연결을 분리하고 즉시 알리세요

파일이 갑자기 열리지 않거나 협박 문구가 보이면, 영향을 받은 PC의 유선·무선 네트워크 연결을 분리하고 지정된담당자와 보안·유지보수 업체에 즉시 알리세요.

협박문과 이상 증상 등 조사에 필요한 정보를 보존하고, 임의로 초기화하거나 백업을 연결해 복구를 시도하지 마세요. 복구는 침투 경로와 잔존 위협을 확인하고, 백업과 복구 환경이 안전한지 점검한 뒤 진행해야 합니다.

랜섬웨어 대응은 복구 절차까지 준비해야 합니다 

Eclipse는 등장한 지 얼마 되지 않은 신규 그룹으로, 실제 공격 역량과 피해 범위는 아직 충분히 확인되지 않았습니다. 하지만 이들의 목표는 분명합니다. 복구 수단을 없애고, 유출 협박으로 압박하는 것입니다. 이는 직원 한 명이 수상한 파일을 열지 않는 것만으로 막을 수 있는 문제가 아닙니다.

기업은 누가 백업을 관리하는지, 이상 징후는 누구에게 알리는지, 업무가 멈추면 어떤 업무부터 복구하는지, 협박에는 누가 어떤 기준으로 대응하는지를 평소에 정해 두어야 합니다. 이 원칙을 직원들과 공유하고 의심스러운 상황을 부담 없이 알릴 수 있게 하는 것이 회사 자료를 지키는 출발점입니다.