Gunra 랜섬웨어, DR센터 백업까지 삭제…한미 공동 경보 발령

핵심 요약

- 한미 수사기관이 2026년 8월 Gunra 랜섬웨어에 대한 공동 경보 발령, VPN 취약점 악용 후 AD·VDI 장악 - Impacket의 secretsdump.py로 도메인 컨트롤러 공격, 재해복구센터(DR)의 백업·보관 데이터까지 삭제 - 기존 DR 백업 전략의 무력화로 기업의 비즈니스 연속성 관리(BCM) 체계 전면 재검토 필요

주요 내용

2026년 8월 12일, 한국과 미국 수사기관이 'Gunra 랜섬웨어'에 대한 공동 보안 경보를 발령했다. 이번 경보는 단순 파일 암호화를 넘어 기업의 재해복구(DR) 체계 자체를 무력화하는 신종 공격 패턴이 확인되면서 나온 것으로, 개인정보보호 및 비즈니스 연속성 관리 측면에서 심각한 위협으로 평가된다.

Gunra 랜섬웨어는 VPN 취약점을 초기 침투 경로로 활용해 조직 내부로 침입한 후, Active Directory(AD)와 IT 관리자용 가상 데스크톱 인프라(VDI)까지 장악하는 정교한 공격 체계를 갖추고 있다. 특히 Impacket 프레임워크의 secretsdump.py 도구를 이용해 도메인 컨트롤러의 관리자 계정 정보를 탈취하는 방식으로 전체 네트워크에 대한 통제권을 확보한다.

가장 우려되는 부분은 공격자가 본사 시스템뿐만 아니라 재해복구센터(DR)에 보관된 백업 데이터까지 삭제한 사례가 확인됐다는 점이다. 전통적으로 랜섬웨어 공격 시 최후의 방어선으로 여겨지던 DR 백업이 무력화되면서, 피해 기업들은 데이터 복구 불가능 상황에 직면하고 있다. 이는 랜섬웨어 공격이 단순 파일 암호화 단계를 넘어 조직의 생존 자체를 위협하는 수준으로 진화했음을 보여준다.

국내 기업들은 이미 암호화된 '랜섬웨어 파일' 자체보다 백업 데이터의 완전 삭제로 인한 복구 불가 상황을 더 심각하게 받아들이고 있다. 이는 ISO 22301 기반의 비즈니스 연속성 관리 체계와 재해경감 전략의 근본적 재검토가 필요함을 시사한다.

전문가 시각

재해경감우수기업 인증심사를 수행하면서 확인한 바에 따르면, 대부분의 기업들이 DR센터를 '물리적으로 분리된 안전한 공간'으로만 인식하고 있다는 점이 문제다. Gunra 랜섬웨어 사례는 네트워크로 연결된 모든 백업 시스템이 공격 대상이 될 수 있음을 보여준다. ISO 22301(비즈니스 연속성 관리) 관점에서 볼 때, 단순히 DR센터를 구축하는 것을 넘어 '네트워크 격리형 에어갭(Air-gap) 백업', '불변(Immutable) 백업', '오프라인 백업' 등 다층 방어 전략이 필수적이다.

기업재난관리학 관점에서 이번 사태는 기술적 재해복구(DR)와 조직적 비즈니스 연속성 관리(BCM)의 통합 필요성을 강조한다. 안전한국훈련과 같은 정기적인 재해 시나리오 훈련에 '랜섬웨어로 인한 DR 백업 손실' 시나리오를 반드시 포함해야 하며, 재해경감우수기업 인증 기준에도 랜섬웨어 대응 백업 전략이 명시적으로 반영되어야 한다. 특히 개인정보를 처리하는 조직은 ISMS-P 인증 시 백업·복구 절차(2.8.4)와 재해복구 시험(2.8.6) 항목에서 랜섬웨어 공격 대응 시나리오를 구체적으로 문서화하고 검증받아야 한다.

CPPG·ISMS-P 연계 포인트

ISMS-P 2.8.4 백업 및 복구 (Backup and Recovery)
중요 정보자산에 대한 백업은 단순 복사본 생성이 아니라 '랜섬웨어 공격 시에도 무결성을 유지할 수 있는 격리된 백업'이어야 한다. 3-2-1 백업 규칙(3개 복사본, 2개 다른 매체, 1개 오프사이트)에 더해, 네트워크 격리와 불변성(Immutability) 확보가 필수적이다.

ISO 22301 비즈니스 연속성 관리 (BCM)
재해복구 목표시간(RTO)과 복구 목표시점(RPO) 설정 시, 랜섬웨어 공격으로 인한 DR센터 백업 손실 시나리오를 반드시 고려해야 한다. 단일 DR센터 의존에서 벗어나 다중 복구 전략(에어갭 백업, 오프라인 아카이빙, 클라우드 백업 등)을 수립하고 정기적인 복구 훈련을 통해 실효성을 검증해야 한다.