Qilin, 데이터 탈취 후 협박하는 랜섬웨어 

Qilin은 2025년에 이어 2026년 1분기에도 가장 활발하게 활동한 랜섬웨어 그룹 중 하나로 꼽힙니다. 1분기에만 380건 이상의 피해자를 공개했으며, 3월 한 달에만 160건이 넘는 사례가 게시될 정도로 최근 공격 속도가 빠르게 증가하고 있습니다.

(※ 피해자 공개 건수는 공격 그룹이 게시한 기준으로, 실제 침해 규모와는 차이가 있을 수 있습니다.)

이들은 데이터를 암호화하기 전에 탈취하고 이를 협상 수단으로 활용하는 공격을 진행합니다. 2026년 3월, Qilin은 글로벌 광고·마케팅 기업의 한국 지사를 침해했다고 주장했습니다. 이들은 약 1,500GB 규모의 데이터를 탈취했다며 11장의 증거 이미지를 공개했습니다. 공개된 자료에는 임직원 여권 스캔본, 인사·계약·재무 문서 등이 포함되어 있어, 단순 시스템 장애를 넘어 개인정보 유출로 이어질 가능성이 높은 사례로 평가됩니다.

Qilin은 누구인가

Qilin은 2022년 7월 처음 등장한 랜섬웨어 그룹입니다. 등장 이후 공격 방식을 빠르게 발전시키며 특정 시스템에 국한하지 않고 다양한 기업 환경을 동시에 노릴 수 있는 형태로 진화하고 있습니다. 즉, 규모와 상관없이 대부분의 조직이 공격 대상이 될 수 있습니다.

보안 프로그램을 먼저 무력화한 뒤 공격을 이어가는 방식도 확인되고 있습니다. 보안 기능을 먼저 차단하고, 사용자가 이상을 알아차리기 어려운 상태에서 공격을 실행하는 것이 특징입니다. 또한 기업의 핵심 데이터가 저장된 시스템을 노리는 경우에는 데이터 복구를 어렵게 만드는 방식이 적용되어, 단순 복구만으로는 대응이 쉽지 않은 상황도 발생할 수 있습니다.

이 그룹은 RaaS(Ransomware-as-a-Service) 형태로 운영되며, 범죄 도구를 대여해주고 수익을 나누는 프랜차이즈형 범죄 구조를 갖추고 있습니다. 이러한 운영 방식은 공격자의 진입 장벽을 낮추고, 결과적으로 공격 규모를 빠르게 확장시키는 요인으로 작용합니다.

산업을 가리지 않고 공격

Qilin의 공격은 특정 산업에 국한되지 않습니다. 의료, 금융, 제조, 통신 등 다양한 분야에서 피해가 확인되고 있으며, 공통적으로는 데이터의 가치가 높은 조직을 주요 대상으로 노립니다.

최근 사례에서도 광고·마케팅 기업은 내부 계약과 재무 자료, 의료기관은 환자 개인정보와 의료 기록 등 각 산업의 핵심 데이터가 주요 표적이 되고 있습니다. 데이터의 성격에 따라 공격 이후의 피해 양상도 달라질 수 있다는 점이 특징입니다.

국내에서도 이어진 공격 사례

2026년 2월에는 국내 방송사도 Qilin의 피해자로 게시된 사례가 확인되었습니다. 다만, Qilin의 피해 주장 외에는 구체적인 데이터가 공개되지 않아, 실제 침해 여부는 확인되지 않은 상태입니다. 3월, Qilin은 국내 조직을 대상으로 한 공격 사례를 연이어 게시했습니다. 글로벌 광고·마케팅 기업의 한국 지사에서는 임직원 여권과 내부 문서가 포함된 데이터 탈취가 주장되었으며, 서울 소재 의료기관 역시 피해자로 공개되었습니다. 

의료기관의 경우 환자의 개인정보와 시술 기록 등 민감한 정보가 다수 포함되어 있을 가능성이 높아, 유출 시 사생활 침해와 추가 피해로 이어질 위험이 큽니다. 또한 광고·마케팅 기업은 다양한 클라이언트의 데이터를 함께 보유하고 있을 가능성이 있어, 피해 범위가 단일 기업의 문제가 아니라 사회 전반으로 영향이 확산될 수 있는 상황입니다.

데이터가 빠져나가는 순간, 추가 피해 발생

Qilin의 공격은 단순한 랜섬웨어 사고로 보기 어렵습니다. 파일 암호화로 인해 업무가 중단되는 문제를 넘어, 탈취된 데이터로 인해 추가적인 피해가 발생할 수 있기 때문입니다.

여권과 같은 신원 확인 정보가 포함될 경우 신분 도용이나 금융 사기와 같은 2차 피해로 이어질 수 있으며, 내부 문서와 계약 정보는 기업 운영과 평판에 영향을 줄 수 있습니다.

또한, 데이터 복원이 어려운 상황에서는 단순한 시스템 복구만으로 해결하기 어려워 추가적인 대응이 요구됩니다.

지금 점검해야 할 보안 포인트

사고 발생 전 예방 체계를 점검하고, 사고 시 즉각적인 대응 체계를 갖추는 것이 중요합니다.

• 다층 보안 체계 및 관리 권한 점검

단일 보안 제품에 의존하는 환경은 모든 공격에 대응하기 어렵습니다. 기본적인 보안 프로그램 외에도 네트워크 이상 탐지, 접근 권한 최소화 등 다층 방어 체계를 갖추고 있는지 점검해야 합니다.

• 침해 범위 및 유출 규모 확인 (디지털 포렌식/사후 분석)

디지털 포렌식 및 침해사고 대응을 통해 실제 데이터 탈취 여부, 침해 범위, 초기 침투 경로를 신속히 확인해야 합니다.

• 법적 신고 절차 이행

개인정보 유출이 의심되는 경우 개인정보보호위원회 및 한국인터넷진흥원(KISA)에 신고해야 합니다.

• 개인정보 유출 후속 조치

여권 정보 등 신원 확인 정보가 포함된 경우, 외교부 통보 및 임직원 재발급 지원 등 추가 대응을 검토해야 합니다.

• 피해자 통지 및 2차 피해 대응

임직원 대상 개인정보 침해 사실을 통지하고, 금융거래 모니터링 강화 및 인증 수단 점검 등 개인 차원의 대응을 병행해야 합니다.

• 공급망 영향 점검 및 대응

클라이언트 및 협력사에 대한 사전 통지 여부를 검토하고, 추가적인 피해 확산 가능성을 점검해야 합니다.

랜섬웨어, ‘데이터 문제’로 확장

Qilin 사례는 랜섬웨어 공격의 성격이 변화하고 있음을 보여줍니다. 이제는 파일 복구를 넘어, 탈취된 데이터가 조직에 어떤 영향을 미치는지도 함께 고려해야 합니다. 특히 개인정보와 내부 문서가 포함된 경우, 기술적 대응뿐 아니라 법적·운영적 대응까지 함께 요구됩니다. 결국 보안의 초점도 달라지고 있습니다. 침투를 막는 것을 넘어, 데이터 유출 가능성을 최소화하고 사고 이후까지 대비하는 방어 체계가 필요합니다. 지금 필요한 것은 완벽한 차단이 아니라, 위험을 빠르게 인지하고 피해 확산을 통제할 수 있는 대응 역량입니다.