컴퓨터 클라우드 랜섬웨어에 감염된 후 초기 대응하는 방법

만약 회사 컴퓨터나 클라우드 랜섬웨어에 감염된 것을 발견했다면, 가장 먼저 취해야 할 초기 대응 스텝은 무엇인가요?
 
랜섬웨어 감염을 인지한 순간은 문자 그대로 '골든 타임'입니다. 이때 내린 초기 결정이 피해 규모를 하나의 PC로 끝낼지, 아니면 사내 전체 네트워크와 클라우드 데이터까지 파괴할지를 결정합니다.
감염이 의심되거나 해커의 협박 메시지(랜섬 노트)를 발견했다면, 당황하지 말고 즉시 아래의 순서대로 조치하셔야 합니다. 순서가 뒤바뀌면 치명적인 결과를 초래할 수 있습니다.

1.모든 네트워크 즉각 차단:추가 감염과 클라우드 동기화를 막는 0순위 조치.

가장 먼저 해야 할 일은 감염된 PC를 외부와 완전히 단절시키는 것입니다.

• 유선 랜(LAN) 케이블을 즉시 뽑으세요.
• 노트북이라면 Wi-Fi와 블루투스를 강제로 끄거나, 비행기 탑승 모드로 전환하세요.
• 네트워크에 연결된 외장 하드나 USB가 꽂혀 있다면 즉시 분리합니다.

2.클라우드 동기화 일시 중지:정상 PC나 모바일 기기를 활용하여 조치.

감염된 PC에서 네트워크를 차단했다면, 다른 '안전한 기기(스마트폰 등)'를 이용해 회사에서 사용하는 클라우드 스토리지 서비스에 접속하세요.

• 감염된 계정의 자동 동기화 기능을 일시 정지시킵니다.
• 이는 암호화된 파일이 정상적인 원본 파일을 덮어쓰는 '동기화 중독(Sync-Poisoning)'을 막기 위함입니다.

3.PC 전원은 끄지 말고 증거 확보:전원을 강제로 끄면 복구 단서가 사라질 수 있습니다.

네트워크가 차단된 상태라면 당장 전원을 끌 필요가 없습니다. 오히려 전원을 끄면 메모리(RAM)에 남아있을지 모르는 해독 키나 포렌식 단서가 날아갈 수 있습니다.

• 스마트폰 카메라로 **해커가 띄운 화면(랜섬 노트)**과 감염된 파일들의 확장자를 선명하게 촬영해 둡니다. (이메일 주소나 비트코인 지갑 주소가 보이게 찍는 것이 중요합니다.)
• 어떤 파일들이 암호화되었는지 대략적인 피해 범위를 파악합니다.

4.사내 전파 및 외부 기관 신고:

개인이 혼자 해결하려 하거나 해커에게 섣불리 비용을 지불해서는 안 됩니다.

• 즉시 사내 IT 보안팀이나 관리자에게 감염 사실을 알리고, 사내 공지를 통해 다른 직원들의 추가 감염을 막아야 합니다.
• 한국인터넷진흥원(KISA) 118 상담센터나 경찰청 사이버안전국에 감염 사실을 신고하고 기술 지원 및 복구 가능 여부를 문의합니다.

절대 하지 말아야 할 행동: 해커에게 돈을 송금하는 것은 절대 금물입니다. 돈만 받고 암호 해독 키를 주지 않는 경우가 태반이며, 오히려 '돈을 잘 주는 타겟'으로 분류되어 추가 공격의 표적이 될 수 있습니다.