2024년 6월, 일본을 대표하는 콘텐츠 기업 중 하나인 KADOKAWA 그룹의 데이터센터가 랜섬웨어를 포함한 대규모 사이버 공격을 받았다.

인터넷 동영상 플랫폼인 니코니코동화를 비롯한 여러 서비스가 약 두 달 동안 중단됐고, 약 25만 명분의 개인정보가 유출됐다.

출판 물류 기능까지 멈추면서 KADOKAWA는 2025년 3월기 연간 결산에서 매출 84억 엔(약 800억 원) 감소와 약 36억 엔(약 320억 원)의 손실을 봤다.

이어 2025년 9월 말에는 아사히그룹홀딩스가 표적이 됐다.

공격자는 침입 후 약 10일 동안 사내 네트워크를 조용히 정찰한 뒤, 9월 29일 아침 랜섬웨어를 일제히 전개했다.

그룹 각사의 수주·출하 시스템이 멈췄고, 일본의 여러 공장이 일시적으로 생산 중단을 피하지 못했다.

유출이 확인됐거나 유출 우려가 있는 개인정보는 약 191만 건에 달했다.

아사히맥주를 비롯한 유명 제품이 한때 시장에서 사라지는 형태로 소비자에게도 영향이 미쳤다.

두 기업 모두 보안 투자를 소홀히 했던 것은 아니다. 그럼에도 공격은 성공했다.

이 사실은 “랜섬웨어 피해는 보안이 허술한 기업의 자업자득”이라는 인식이 더 이상 맞지 않다는 점을 보여준다.

“돈을 내면 해결된다”는 잘못된 믿음

그렇다면 공격 피해를 입었을 때 몸값을 내면 데이터는 돌아올까.

이 질문에 대한 답은 데이터가 분명하게 보여준다.

보안 기업 Sophos가 매년 발표하는 ‘랜섬웨어 현황’ 보고서 2024년판에 따르면, 몸값을 지급한 조직의 평균 지급액은 200만 달러, 약 3억 엔에 달했다.

하지만 이는 어디까지나 몸값일 뿐이다.

시스템 복구에 드는 다른 비용, 즉 몸값을 제외한 평균 비용은 같은 해 273만 달러로 나타났다. 몸값을 내도 전체 피해액은 계속 불어나는 구조다.

더 큰 문제는 돈을 냈다고 해서 데이터가 완전히 돌아온다는 보장이 전혀 없다는 점이다.

사이버 보안 기업 CrowdStrike의 조사에 따르면, 몸값을 지급한 조직의 83%가 이후 다시 공격을 받았다.

또 93%의 사례에서 고객 정보나 기밀 데이터가 유출된 것으로 보고됐다.

즉, 지불은 문제 해결이 아니다. 오히려 “돈을 낼 의사가 있는 표적”으로 다시 표시되는 계기가 될 수 있다.

사이버 보안 컨설턴트 니이미 스구루 씨는 “몸값을 지급하는 조직의 비율은 2022년 78.9%에서 2024년 62.8%, 2025년에는 28%로 4년 연속 감소하고 있다. 기업들이 지불이 문제를 해결하지 않는다는 현실을 깨닫기 시작했다는 뜻이다.”고 말한다.

범죄 조직의 비즈니스 모델이 진화하고 있다

몸값을 내도 데이터가 돌아오지 않는 데에는 범죄 조직 측의 구조적 이유가 있다.

현대 랜섬웨어 공격은 과거의 “데이터를 암호화하고 몸값을 요구하는” 단순한 수법에서 크게 진화했다.

이제는 침입 후 데이터를 암호화하기 전에 먼저 기밀 정보를 빼낸 뒤, “돈을 내지 않으면 데이터를 공개하겠다”고 협박하는 이중 협박이 표준 수법이 됐다.

KADOKAWA 사례에서는 공격자 그룹 BlackSuit가 유출 사이트에 실제 데이터를 공개·확산했다. 기업이 공식적으로 정보를 공개하기 전에 SNS에서 정보가 퍼지는 2차 피해까지 발생했다.

최근에는 고객이나 거래처에 직접 “이 기업의 데이터가 유출됐다”고 알려 압박하는 삼중 협박, 경쟁사나 규제 당국까지 끌어들이는 사중 협박도 확인되고 있다.

복호화 도구 자체의 품질 문제도 있다. 버그가 많은 복호화 프로그램의 경우, 키를 받더라도 데이터가 정상적으로 복원되지 않는 일이 적지 않다.

아예 처음부터 복원할 의사가 없는 경우도 있다. NotPetya처럼 금전 갈취보다 조직의 업무 파괴나 사회 혼란을 목적으로 한 와이퍼형 악성코드는 겉으로는 랜섬웨어와 구별하기 어려운 형태로 전개되기도 한다.

니이미는 “공격 그룹에 따라서는 처음부터 복호화할 의사가 없고, 지불을 확인한 뒤 연락을 끊는 사례도 보고되고 있다"고 얘기한다.

또한 "피해 기업이 송금처를 안내받은 시점에서 이미 사기가 완성된 구조라고 볼 수 있습니다”고 경고한다.

공격자가 가장 먼저 노리는 것은 백업이다

“백업이 있으면 안심”이라는 인식도 지금의 공격 수법 앞에서는 위험하다.

현대의 랜섬웨어 공격자는 침입 직후 곧바로 데이터를 암호화하지 않는다.

아사히그룹홀딩스 사례에서는 침입부터 발각까지 약 10일의 잠복 기간이 있었던 것으로 드러났다.

KADOKAWA 사례에서도 공격자는 침입 후 데이터센터 안의 인증 기반, 즉 Active Directory를 장악한 뒤 조직적으로 데이터를 암호화했다.

잠복 기간 동안 공격자가 하는 일은 정찰이다.

어떤 서버에 중요한 데이터가 있는지, 백업은 어디에 보관돼 있는지, 네트워크 구조가 어떻게 되어 있는지를 철저히 조사한다. 그리고 본격적인 공격 직전, 가장 먼저 손대는 것이 백업 데이터다.

사내 네트워크에 연결된 온라인 백업이나 실시간 동기화, 즉 복제 중인 데이터는 공격자에게 가장 먼저 무력화해야 할 표적이 된다.

백업 대상이 같은 네트워크 안에 있는 한, 원본과 함께 암호화되거나 삭제될 수 있다.

니이미는 “공격자는 백업이 조직의 마지막 보루라는 것을 잘 알고 있다. 사내 네트워크에 연결된 백업은 침입 후 공격자에게 사실상 무력하다”고 지적한다.

기업이 갖춰야 할 '세 가지 대비'

'감염되지 않는 것'을 유일한 목표로 삼는 보안 전략은 한계에 달했다.

KADOKAWA, 아사히GHD 모두 일정한 보안 투자를 해온 기업이다.

문제는 '침입을 완전히 막는 벽을 쌓는 것'이 아니라 '침입당해도 사업을 멈추지 않는 체제를 만드는 것', 즉 '사이버 레질리언스' 구축에 있다.

대책 ①: 네트워크에서 분리된 '3-2-1-1 룰' 백업

백업의 기본 구성으로 '3-2-1-1 룰'이 현재 표준으로 자리 잡고 있다.

3개의 데이터 복사본을 2종류의 다른 매체에 저장하고, 1개를 원격지에 두고, 추가로 '1개를 오프라인(네트워크 비연결) 불변 스토리지'로 보관하는 구성이다.

마지막 '오프라인·이뮤터블 백업 1개'가 최후의 보루가 된다.

네트워크에서 물리적·논리적으로 격리된 백업이라면 공격자가 내부 네트워크를 장악해도 손을 댈 수 없다.

정기적인 복원 훈련을 병행해 유사시 실제로 사용할 수 있는 백업을 유지하는 것이 중요하다.

대책 ②: '내지 않는다'를 경영 방침으로 명문화해두기

유사시 경영진이 패닉 상태에 빠져 즉흥적인 협상·지불에 나서는 위험이 있다.

평소에 '원칙적으로 몸값은 내지 않는다'는 방침을 BCP(사업 연속 계획)에 명문화하고, 사고 발생 시 의사결정 흐름을 미리 정해두는 것이 중요하다.

아사히GHD, KADOKAWA 모두 이번 대응에서 '공격자의 요구에 굴하지 않는다'는 입장을 관철했다.

결과적으로 피해는 컸지만, 몸값을 냈더라도 피해의 구조적 해결에는 되지 않았다는 것은 각종 데이터가 보여주고 있다.

대책 ③: 공급망 전체 보안 수준 높이기

아사히GHD의 침입 경로는 '그룹 거점에 설치된 네트워크 장비', KADOKAWA는 그룹 자회사가 운영하는 데이터센터였다.

어느 쪽도 '본체'가 아닌 그룹 전체 중의 '약한 연결 고리'가 돌파구가 됐다.

보안 투자를 자사 본체만으로 완결시키지 않고, 자회사·위탁처·거래처의 보안 수준을 끌어올리는 거버넌스가 필수적이다.

공급망 전체를 보안 정책의 관리 대상으로 자리매김하고, 정기적인 감사·훈련을 실시하는 체제 구축이 필요하다.

랜섬웨어 대책은 IT 부서만의 문제가 아니다

Sophos의 최신 보고서 2025년판에 따르면, 랜섬웨어 공격 후 복구 비용은 전년 대비 44% 감소했다. 1주일 안에 복구한 조직도 전년의 35%에서 53%로 늘었다.

이는 선도 기업들이 백업 체계를 강화하고 사업연속성계획을 정비함으로써 피해 회복력을 꾸준히 높이고 있다는 증거이기도 하다.

하지만 낙관은 금물이다.

2024년 랜섬웨어 몸값 지급 총액은 8억1355만 달러, 약 1조 2천억 원에 달했다. 2025년에 들어서도 공격 자체가 줄어든 것은 아니다.

공격 수법은 AI 악용으로 더욱 교묘해지고 있으며, 전문 기술이 없어도 랜섬웨어를 만들 수 있는 시대는 이미 도래했다.

중요한 것은 랜섬웨어 대책을 IT 부서가 맡는 보안 업무가 아니라, 경영 차원에서 수립하고 관리해야 할 사업연속성계획으로 다시 보는 것이다.

KADOKAWA 사례에서는 36억 엔의 손실이 발행고, 아사히그룹홀딩스에서는 분기 결산 발표가 연기될 정도의 경영 충격이 발생했다.

이는 더 이상 “서버가 멈췄다”는 기술적 문제가 아니다.

공격을 당하는 것 자체는 이제 막을 수 있느냐 없느냐만의 문제가 아니게 됐다.

KADOKAWA와 아사히그룹홀딩스가 보여준 것은 피해를 숨기지 않고, 굴복하지 않으며, 사회에 신속하게 정보를 공개하는 자세의 중요성이다.

투명한 대응은 단기적인 평판 손상을 줄이고, 장기적인 신뢰 구축으로 이어진다.

앞으로의 시대에 살아남는 기업의 조건은 공격을 받지 않는 것이 아니다. 공격을 받아도 무너지지 않는 조직을 미리 설계해두는 것이다.