랜섬웨어 복구의 결론부터 말하면, 몸값을 내기 전에 ‘네트워크 차단 → 신고 → 무료 복호화 도구 확인 → 백업 복원’ 순서를 먼저 밟아야 합니다. 감염된 PC의 전원을 급하게 끄거나 파일을 덮어쓰면 되살릴 수 있던 데이터까지 잃을 수 있습니다. 이 글은 개인과 소규모 사업장이 감염 직후 바로 따라 할 수 있는 절차를 공식 자료 기준으로 정리한 글입니다.
감염 직후 해야 할 3가지
화면에 금전 요구 안내문이 뜨고 파일 확장자가 바뀌었다면 이미 암호화가 진행된 상태입니다. 피해는 계속 늘고 있는데, 과학기술정보통신부와 한국인터넷진흥원(KISA) 발표에 따르면 2026년 상반기 국내 신고 건수는 145건으로 전년 동기 82건 대비 76.8% 증가했습니다. 이 단계에서 순서를 잘못 잡으면 되돌릴 수 있는 선택지가 줄어듭니다.
1. 전원은 유지하고 네트워크만 끊는다
가장 먼저 랜 케이블을 뽑고 Wi-Fi를 끕니다. 전원을 강제로 내리면 메모리에 남아 있던 포렌식 증거와 키 정보가 사라질 수 있어, 원칙적으로는 켜 둔 채 네트워크만 차단하는 편이 낫습니다. 같은 공유기에 물린 다른 PC도 함께 분리하세요.
2. 외장하드·NAS·공유 폴더를 즉시 분리한다
연결된 저장장치가 있으면 암호화 범위가 그대로 확장됩니다. 백업본이 담긴 외장하드는 물리적으로 뽑고, 회사 공유 폴더나 NAS는 접근 권한을 끊어야 합니다. 침투 경로는 주로 홈페이지 취약점 공격, 중앙관리솔루션 침투, 관리자 PC 감염 세 가지로 알려져 있어 관리자 계정 PC를 먼저 점검하는 것이 좋습니다.
3. 118과 182에 신고한다
국번 없이 118로 전화하면 KISA에서 무료 상담과 기술 지원을 받을 수 있고, 법적 대응이 필요하면 경찰청 사이버안전국 182에도 신고할 수 있습니다. 개인은 의무 신고 대상이 아니지만 사업자는 다릅니다. 정보통신망법 제48조의3에 따라 침해사고 발생 시 KISA에 신고해야 하며, 신고하지 않으면 1천만 원 이하의 과태료가 부과될 수 있습니다.
무료 랜섬웨어 복구 도구 총정리
변종에 따라 이미 복호화 열쇠가 공개된 경우가 있습니다. 감염 안내문에 적힌 이름이나 바뀐 확장자를 단서로 아래 두 곳을 먼저 검색해 보세요. 국내 특화 변종은 KISA 쪽이, 해외 변종은 국제 프로젝트 쪽이 목록이 넓습니다.
| 이용처 | 운영 주체 | 지원 범위 | 이용 방법 |
|---|---|---|---|
| KISA 복구도구 검색 | 한국인터넷진흥원 | Magniber·Simplelocker 등 국내 특화 일부 변종 | seed.kisa.or.kr → ‘복구도구 검색’ |
| No More Ransom | Europol·네덜란드 경찰·McAfee·카스퍼스키(2016년 7월 설립) | 170종 이상 복호화 도구, 한국어 지원 | 사이트에서 변종 검색 후 내려받기 |
| KISA 118 상담 | 한국인터넷진흥원 | 무료 상담·기술 지원·신고 접수 | 국번 없이 118 |
| 경찰청 사이버안전국 | 경찰청 | 수사·법적 대응 | 182 또는 사이버범죄 신고 시스템 |
도구 목록은 KISA 암호이용활성화 복구도구 검색에서 확인할 수 있고, 여기서 찾지 못하면 No More Ransom 한국어 페이지를 이어서 확인하면 됩니다. 이 국제 프로젝트를 통해 지금까지 150만 명 이상이 몸값을 내지 않고 파일을 되찾았다고 밝히고 있습니다.
다만 도구 사용에는 분명한 주의점이 있습니다. KISA 매뉴얼은 반드시 중요 파일의 복사본으로만 시도하라고 안내하며, 오사용으로 인한 문제는 책임지지 않는다고 명시하고 있습니다. 변종이 맞지 않는 도구를 원본에 돌리면 파일이 더 손상될 수 있으니, 암호화된 파일을 통째로 다른 저장장치에 한 벌 복사해 두고 그 복사본에만 실행하세요.
도구가 없을 때: 백업 복원과 몸값 지불 판단
해당하는 복호화 도구가 아직 없다면, 가장 확실한 길은 백업본 복원입니다. 순서는 악성코드 완전 제거 또는 운영체제 재설치 → 백업 저장장치 연결 → 복원 → 보안 패치와 계정 비밀번호 변경입니다. 이 순서를 지키지 않고 감염된 상태에서 백업을 연결하면 백업본까지 함께 암호화될 수 있습니다.
백업도 도구도 없을 때 남는 선택지가 몸값 지불인데, 결과가 보장되지 않는다는 점을 먼저 알아야 합니다. 지불한 기업 가운데 데이터를 전부 또는 일부라도 되찾은 곳은 약 60%에 그쳤고, 크라우드스트라이크 2025년 보고서에서는 지불한 피해자의 93%가 결국 데이터를 도난당한 것으로 나타났습니다. 측정 기준은 서로 다르지만, 돈을 낸다고 파일과 기밀이 동시에 지켜지지는 않는다는 방향은 같습니다.
실제로 지불을 거부하고 복구에 성공한 사례도 있습니다. KISA는 2026년 3월 출범한 랜섬웨어 전주기 대응 추진단과 경찰청이 함께 변종 복구 도구를 개발해 피해 기업 2곳의 암호화 데이터를 전량 복구했고, 이들 기업은 공격자가 요구한 7.7억 원의 복호화 비용을 지급하지 않았습니다. 지불률 자체도 낮아지는 추세로, Coveware의 2025년 3분기 집계 기준 지불률은 23%(2019년 1분기 85%)였고 평균 지급액은 376,941달러로 직전 분기보다 66% 감소했습니다.
랜섬웨어 복구, 얼마나 걸릴까?
소요 기간을 좌우하는 변수는 세 가지입니다. 감염된 변종이 무엇인지 확인되는지, 그 변종에 맞는 무료 복호화 도구가 공개돼 있는지, 그리고 분리된 백업본이 남아 있는지입니다. 세 가지가 모두 갖춰지면 비교적 짧게 끝나지만, 하나라도 빠지면 기관 상담과 분석 대기 시간이 추가됩니다.
그래서 순서를 바꾸는 것만으로도 시간을 줄일 수 있습니다. 네트워크 차단과 저장장치 분리를 먼저 끝내고, 그다음 118 신고와 도구 검색을 동시에 진행한 뒤, 마지막에 복원을 시도하는 흐름이 가장 낭비가 적습니다. 반대로 복구 업체부터 찾거나 몸값 협상부터 시작하면 증거도 선택지도 함께 사라집니다.
정리하면 랜섬웨어 복구는 ‘차단 → 신고 → 무료 도구 확인 → 복사본 시도 → 백업 복원’이라는 순서를 지키는 일에 가깝습니다. 아직 도구가 없는 변종이라도 나중에 공개되는 경우가 있으므로 암호화된 파일은 삭제하지 말고 별도 저장장치에 보관해 두세요. (작성 기준일: 2026년 9월, 출처: KISA 보도자료·복구도구 매뉴얼, No More Ransom)
자주 묻는 질문
랜섬웨어에 감염됐을 때 전원을 꺼야 하나요?
원칙적으로 전원을 끄지 말고 그대로 두는 것이 좋습니다. 메모리에 남은 포렌식 증거와 암호화 키 정보가 사라질 수 있기 때문입니다. 대신 랜 케이블을 뽑고 Wi-Fi를 끄는 방식으로 네트워크만 차단하세요.
KISA 복구 도구는 어디서 받나요?
seed.kisa.or.kr → ‘복구도구 검색’에서 감염된 랜섬웨어 이름으로 검색하면 됩니다. Magniber·Simplelocker 등 일부 변종을 지원합니다. 없으면 nomoreransom.org(한국어 지원)에서 170종 이상의 도구를 추가로 확인하세요.
무료 복구 도구로 복구가 안 될 경우 어떻게 해야 하나요?
KISA 118(무료)에 신고 후 기술 지원을 요청하거나, 보호나라(boho.or.kr)에서 가이드라인을 확인하세요. 백업본이 있다면 악성코드 제거 후 백업에서 복원하는 방법이 가장 확실합니다.
몸값을 내면 파일을 되돌려 주나요?
보장되지 않습니다. 몸값 지불 기업 중 데이터를 온전히 복구한 곳은 약 60%에 불과하고, 지불 후에도 데이터 도난이 발생한 사례가 다수 보고됐습니다. KISA와 전문가들은 몸값 지불을 권장하지 않습니다.
개인 PC가 랜섬웨어에 걸렸을 때도 KISA에 신고해야 하나요?
개인 이용자는 의무 신고 대상이 아니지만, 118에 전화하면 무료 상담을 받을 수 있습니다. 사업자(ISP·IDC·병원·쇼핑몰 등)는 정보통신망법에 따라 의무 신고이며, 미신고 시 1천만 원 이하 과태료가 부과됩니다.
복구 도구를 쓸 때 주의할 점이 있나요?
반드시 원본 파일의 복사본을 따로 만든 뒤 복사본에만 도구를 실행하세요. 도구가 맞지 않는 변종에 사용하면 파일이 더 손상될 수 있으며, KISA 매뉴얼도 ‘오사용으로 인한 문제는 책임지지 않는다’고 명시하고 있습니다.