개인정보보호 1위기업 소만사

1. 개요

그림 1. 2025년 랜섬웨어 피해자 수 월별 추이 (연도별 비교)

2025년 4분기까지 확인된 2025년 랜섬웨어 피해 사례는
DLS(유출사이트) 기반으로 총 7,816건으로 집계되었다.

분기별 피해 사례를 보면 1분기는 2,213건, 2분기에는 1,543건이 발생하였으며
3분기에는 1,643건으로 증가했지만 상승폭은 크지 않았다.
반면 4분기에는 2,417건으로 약 800건이 증가하며 큰 폭의 상승세를 보였다.

그림 2. 2025년 랜섬웨어 공격 그룹별 누적 피해수

2025년 가장 많은 피해를 발생시킨 공격그룹은 Qilin으로
약 1,000건에 달하는 피해가 보고 되었다.
그 다음으로 Akira, Cl0p등이 상위권을 차지했다.

Qilin 랜섬웨어는 9월 말 Asahi Group Holdings를 공격해
데이터 탈취를 주장하며 큰 파장을 일으켰다.
또한 미국 의료기관인 Convenant Health 공격과 관련해
약 47만 8천영 명 규모의 대형 의료 정보 피해가 보고되었다.

Akira 랜섬웨어는 SonicWall 장비 취약점을 악용해 7~8월 피해가 증가한 것으로 알려져 있으며,
CISA/FBI는 Akira 랜섬웨어가 Nutanix AHV(하이퍼바이저)환경까지 겨냥하며
공격 범위를 확장했다고 언급했다.

Cl0p의 경우 올해 초 Cleo 제품 취약점 악용을 통한 대규모 피해를 주장하면서
피해 조직 목록(약 59개)을 공개했다.

다음으로 Play, INC Ransom, SafePay가 중위권에 위치했으며,
3종 모두 비슷한 수준으로 약 360건 이상 피해가 보고되었다.

그림 3.랜섬웨어 누적 피해자 (연도별 비교)

2025년 총 누적건수는 7,816건이다.
2023년(5,080건), 2024년(5,704건) 대비 약 30% 이상 증가했다.
올해 1분기 보고서(소만사 랜섬웨어 리포트 2025 Q1)에서 약 7,000건으로 예상했던 수치는
최종적으로 7,800건 수준으로 집계되어 초기 전망치를 상회했음을 확인할 수 있다.

2025년은 랜섬웨어 피해뿐 아니라 해킹(침해사고)과 데이터 유출사건이 전반적으로 증가하였다.

미국 ITRC(Identity Theft Resource Center)의 2025 연례 보고서에 따르면
데이터 침해는 2025년 3,322건으로 2024년 대비 약 5% 증가하며 역대 최고치를 기록했다.

국내에서도 과기정통부, KISA 발표 기준 2025년 침해사고 신고는
2,383건으로 2024년(1887건) 대비 26.3% 증가한 것으로 집계된다.

또한 실제 악용이 확인된 취약점(KEV) 등재 규모도 전년 대비 확대되었다.
SecurityWeek 분석에 따르면 CISA KEV 카탈로그는
2025년 245개 취약점이 추가되어
총 1,484개로 증가했다.

2. 2025년 4분기 랜섬웨어 공격 동향

그림 4. 월간 TOP 10 Ransomware

2025년 4분기(10~12월) 랜섬웨어 그룹별 피해 조직 수를 분석한 결과,
상위 그룹으로는 ‘Qilin’, ‘Sinobi’, ‘Akira’, ‘Cl0p’ 등이 확인되며,
12월 LockBit 공격 그룹이 새로운 LockBit 5.0 으로 돌아오면서 2위에 자리했다.

Qilin은 꾸준히 1위자리를 유지하고 있으며,
2025년 1분기에 잠깐 반짝했던 Cl0p 또한 11월에 다시 뛰어오르면서 많은 피해가 보고되었다.

LockBit은 한때 악명 높았던 랜섬웨어 그룹 중 하나로
2024년 2월부터 시작된 사법 당국의 조치로 심각한 타격을 입은 이후
12월에 LockBit 5.0 으로 새롭게 부활했다.

2.1. 4분기 랜섬웨어 동향

2.1.1. 랜섬웨어 동향

Oracle E-Business Suite(EBS)는
재무•구매•인사 등 기업 핵심 업무를 처리하는 엔터프라이즈 애플리케이션 제품군으로,
2025년 4분기에 해당 EBS를 겨냥한 CVE-2025-61882가 악용된 정황이 제기되었다.

오라클에서는 해당 취약점이 인증없이 원격에서 악용될 수 있다고 안내하였다.
Mandiant/GTIG는 7~8월부터 EBS 고객 환경을 노린 침투 활동이 이어졌다고 밝혔다.
GTIG는 초기 Cl0p DLS(데이터 유출 사이트)를 활용한 Fin11을 배후로 지목했다.
이후 동일한 Cl0p DLS를 다른 주체에 의해 사용되는 정황 또한 확인되었다.

해당 취약점에 의한 피해 사례로 Barts Health NHS Trust는
Cl0p이 청구 관련 데이터베이스에서 파일을 탈취해 다크웹에 게시했으며
일부 개인 정보가 포함됐다고 공지했다.
하버드 대학교도 Oracle EBS관련 침해의 영향을 받았고
일부 당사자에게 해당 가능성을 안내했다고 밝혔다.
Logitech은 Clop 랜섬웨어 그룹이 악용한 취약점으로 인해
직원 및 고객 데이터 일부가 유출되었음을 확인했다.
해당 시스템에 주민등록번호나 신용카드 정보와 같은 민감한 개인 정보는 없다고 밝혔다.

2025년 9월 아사히 그룹은 사이버 공격으로 인한 시스템 장애를 공지했으며,
조사 과정에서 랜섬웨어에 의한 파일 암호화를 확인했다.
아사히는 공격자가 그룹 사업장에 설치된 네트워크 장비를 경유해
데이터센터 네트워크에 무단 접근한 뒤, 여러 운영 시스템에 랜섬웨어를 배포한 것으로 밝혔다.

아사히가 공개한 영향 규모는
고객센터 문의자 152.5만여명, 외부 연락처 11.4만명,
임직원 (퇴직자 포함) 10.7만명, 임직원 가족(퇴직자 포함) 16.8만명 수준이며,
신용카드 정보는 포함되지 않는다고 명시했다.

로이터 보도에 따르면 Qilin 이 2025년 10월 7일경 아사히 관련 자료를 게시하며
9,300개 이상 파일(약 27GB) 탈취를 주장하였으나,
해당 자료의 진위는 검증되지 않았다고 보도했다.

LockBit은 2024년 2월 국제 공조 수사(일명 Operation Cronos)로 인프라가 타격을 입은 이후
활동이 중단되었으나 2025년, LockBit 5.0 변종을 출시하면서 활동을 재기했다.
LockBit 5.0은 피해자 협상을 위한 전용 포털(다크웹 기반)과
‘LockBit 5.0’ 표기를 포함한 랜섬노트를 사용하는 것으로 소개됐고,
Check Point는 9~10월 무렵부터 LockBit 5.0과 연계된 피해 사례를 식별했다고 보고했다.

Trend Micro는 LockBit 5.0이 Windows 뿐만 아니라
Linux 및 VMware ESXi 환경까지 겨냥할 수 있다고 분석해,
기업 서버/가상화 인프라로 피해가 확대될 수 있다는 점을 위험 요소로 제시했다.

2025년 4분기 또한 사이버범죄 핵심 인프라를 겨냥한 사법 당국 조치가 이어졌다.
FBI와 프랑스 수사당국은 BreachForums 도메인을 장악/압수해
Salesforce 관련 유출, 협박에 활용되던 공개 포털을 차단했다.
다만 공격자 측은 압수에도 불구하고 캠페인 자체는 지속 될 수 있다며
다른 채널을 통해 유출을 예고한 정황이 언급됐다.

한편 Europol 주도의 ‘Operation Endgame’ 공조 수사에서는
Rhadamanthys(인포스틸러), VenomRAT, Elysium 봇넷 인프라를 대규모로 해제해
1,025대 서버 및 다수 도메인을 차단, 압수하고, 관련 용의자를 체포하였다.

미 법무부는 랜섬웨어 등 사이버 범죄 수익 세탁에 악용된 것으로 지목된
E-Noe 서비스의 서버/웹사이트/사용자 데이터를 압수하여,
7천만 달러 이상의 불법 자금 흐름 정황과 운영자 기소 사실을 공개했다.

2.1.2. 데이터 유출 동향

2025년 10월 초 Scattered LAPSUS$ Hunters 를 자칭하는 협박 조직이
Salesforce 고객사를 대상으로 데이터 유출 사이트를 개설하고,
약 39개 조직을 피해자로 올린 뒤 몸값을 요구한 것으로 보도됐다.

Salesforce는 플랫폼 자체 해킹 문제가 아닌 피싱(전화 사칭) 등으로
고객사 계정 접근권한을 탈취하는 방식이 사용된 것으로 판단하고
조사 및 고객 지원을 진행중이라고 밝혔다.

이후 공격자는 6개 조직의 데이터를 유출 사이트에 게시했다고 밝혔고,
게시 대상으로는 Albertsons, Engie Resources, Fujifilm, GAP,
Qantas, Vietnam Airlines 등이 언급되었다.

2025년 1월 정보/공공 프로그램을 지원하는 계약업체 Conduent가 랜섬웨어 사고를 확인했다.
(회사 안내 기준 1월 13일) 조사 결과,
공격자는 2024년 10월 21일부터 2025년 1월 13일까지
내부 시스템에 접근했던 것으로 밝혀졌다.

이후 2025년 10월부터 주 정부 공지/통지를 통해 피해 규모가 구체화되면서,
최소 1,050만 명 이상의 개인 정보가 영향을 받은 것으로 공개됐다.
유출 정보에는 이름, 주민등록번호(SSN), 생년월일, 건강/보험 관련 정보 등
민감정보가 포함될 수 있다고안내됐다.

한편 SafePay 랜섬웨어 그룹은 2025년 2월 배후를 자처하며
8.5TB 데이터를 가져갔다고 주장한 것으로 알려졌다.

2.2 4분기 주요 랜섬웨어 그룹

2.2.1. Qilin Ransomware

1) 그룹 개요

Qilin(일부 보고서/텔레메트리에서는 Agenda로도 표기됨)은
2022년경부터 활동이 관측된 서비스형 랜섬웨어(RaaS) 계열로,
제휴 조직이 침투/탈취/암호화를 수행하고
운영 측은 인프라와 도구를 제공하는 방식으로 알려져 있다.

주요 전술은 데이터 탈취 후 암호화, 그리고 유출 사이트(DLS)를 통한
공개 협박을 결합한 이중 갈취(Double Extortion)이며,
침투 이후 내부 확산과 권한 상승을 통해 대량 암호화로
이어지는 패턴이 반복적으로 보고된다.

2) 최신 이슈

그림 5. 4분기 Qilin 랜섬웨어 피해자의 월별 분포

Qilin 랜섬웨어 그룹은 2025년 10월 초 아사히(Asahi Group) 침해를 주장하며
유출 사이트에 내부 문서를 보이는 자료를 게시하고
약 9,300개 파일(약 27GB)을 탈취했다고 주장했다.
이후 아사히는 11월 말 조사 결과 공지에서
랜섬웨어로 인한 암호화 정황과 네트워크 장비를 경유한 무단 접근 가능성,
일부 정보 노출 가능성을 함께 언급했다.

Qilin 제휴 조직이 Windows 환경 침투 흐름에 Linux 랜섬웨어 페이로드를 결합하고,
BYOVD 기법으로 보안 솔루션을 우회하는 하이브리드 공격이 관측되었다.
공격자는 AnyDesk/ScreenConnect/Splashtop 등 과 같은 정상 원격관리 도구를 악용하고,
Veeam 백업 인프라에서 자격증명을 탈취해 복구 수단을 약화시킨 뒤 최종 암호화를 수행한다.

Bitdefender는 ‘Korean Leaks’ 캠페인을 통해
Qilin이 MSP(관리형 서비스 제공자) 생태계 침해를 발판으로
다수 조직에 파급되는 공급망 성격의 공격을 전개했다고 분석했다.
보도에서는 피해가 금융권 중심으로 확산되며
여러 조직이 동시다발적으로 영향을 받은 정황이 언급되고,
유출/협박을 결합한 갈취 단계로 이어질 수 있다는 점이 강조됐다.

Cyble은 2025년 11월에 랜섬웨어 공격과 소프트웨어 공급망 공격이
모두 ‘높은 수준’으로 관측됐다고 분석했다.
특히 공급망 공격 중 랜섬웨어 그룹이 차지하는 비중이 커지면서
두 유형의 공격이 서로 연결되는 경향이 뚜렷해졌다고 설명했다.

3) 최신 악용 취약점

Qilin 관련 최신 악용 취약점으로는 2025년 공개된
SAP NetWeaver(Visual Composer) 취약점(CVE-2025-31324)이 가장 먼저 거론된다.
해당 취약점은 인증없이 악성 파일을 업로드해 원격 코드 실행으로 이어질 수 있어,
패치 이후에도 노출 자산이 남아 있는 환경에서는 악용 위험이 높다.

▶ CVE-2025-31324

▶ CVE-2024-21762

▶ CVE-2024-55591

2.2.2. Cl0p Ransomware

1) 그룹 개요

Cl0p은 데이터 탈취 후 금전 요구에 초점을 둔 갈취형(Exfiltration & Extortion) 조직으로
대규모 데이터 탈취 후 고위 임원에게 협박 메일을 대량 발송하는 방식이 반복적으로 관측된다.
특히 외부 노출된 기업용 솔루션 취약점을 악용하는 캠페인을 사용하며
Google/Mandiant는 Cl0p 플레이북과 과거 FIN11 활동과 유사한 흐름으로 설명한다.

2) 최신 이슈

그림 6. 4분기 Cl0p 랜섬웨어 피해자의 월별 분포

2025년 10월 초, Google Threat Intelligence Group/Mandiant는
Cl0p을 내세운 공격 활동이 Oracle E-Business Suite(EBS) 고객 환경을 대상으로 진행되었으며
그 과정에서 제로데이로 추정되는 취약점(CVE-2025-61882)이 악용됐다고 공개했다.
분석에 따르면 공격 징후는 2025년 7월 중순부터 관측됐고,
8월 초부터는 패치 배포 전 취약점 악용 가능성이 제기됐다.
일부 사례에서는 대량의 데이터가 외부로 유출된 정황도 함께 언급됐다.

이후 Reuters 보도에서 Oracle은 일부 고객사가 협박 메일을 수신한 사실을 확인했다고 전했으며
관련 고객에게 업그레이드/패치 적용 등 대응 조치를 안내했다.
또한 Google은 Reuters에 다수의 피해를 인지하고 있으며
과거 유사 작전 규모를 고려하면 사건이 단발성보다 광범위한 캠페인으로 확산될 여지를 시사했다.

취약점 자체는 Oracle 보안 공지에서 인증 없이 원격에서 악용될 수 있다고 명시돼 있어
외부에 노출된 EBS 자산이 남아 있는 환경에서는 위험이 지속될 수 있다.

Oracle E-Business Suite(EBS) 캠페인과 관련하여 가장 먼저 피해가 확인된 사례는 하버드 대학교이다.
공격자는 유출 사이트에 하버드 관련 데이터를 게시하고
게시물에서 데이터 규모를 1TB 이상이라고 주장했다.
Envoy Air(아메리칸 항공의 지역 항공사)는 이번 사건과 관련해 자사 시스템 침해 사실을 확인했으며,
일부 업무 정보 및 비즈니스 연락처가 영향을 받았을 가능성이 있다고 밝혔다.

11월에는 워싱턴포스트가 관련 침해로 현/전직 및 계약직 직원 9,270명의 개인정보가 유출됐다고 밝혔다.
유출 정보에는 이름, 은행 계좌·라우팅 번호, 사회보장번호(SSN), 납세자 식별번호(TIN) 등이 포함되며,
도난 데이터로 추정되는 약 180GB 아카이브가 유출 사이트를 통해 공개된 것으로 전해졌다.

또한 Cl0p 공격 그룹은 유출 사이트에 Logitech, The Washington Post, Cox Enterprises,
Pan American Silver, LKQ, Copeland 등 공격을 주장하는 피해자 목록이 게시되었다.

3) 최신 악용 취약점

최근 Cl0p 관련 이슈에서 언급되는 악용 취약점은 2025년 공개된
Oracle E-Business Suite(EBS) 취약점(CVE-2025-61882) 이다.
2025년 4분기 해당 취약점 악용과 연관된 침해 정황이 보고됐다.
Cleo 파일전송(MFT) 제품군 취약점(CVE-2024-55956 등)은 원격에서 악용될 수 있고
실제 악용 사례도 보고된 바 있어 현재도 위험도가 높은 취약점으로 분류된다.

▶ CVE-2025-61882

▶ CVE-2024‑55956

▶ CVE-2023‑3519

2.2.3. LockBit 5.0 Ransomware

1) 그룹 개요

LockBit 5.0은 LockBit 랜섬웨어 그룹이 2024년 초 단속(Operation Cronos)된 이후
재정비하여 2025년 9월에 재등장한 5.0버전의 최신 변종이다.
해당 버전에서는 Windows뿐만 아니라 Linux/VMware ESXi까지 공격 가능한 형태로 설계돼
가상화/서버 인프라를 한 번에 마비시킬 수 있다.
또한 난독화, 분석 방해, 보안 제품 종료, 로그 삭제 등 탐지/분석 회피 기능이 강화되었다.

2) 최신 이슈

그림 7. 4분기 LockBit 5.0 랜섬웨어 피해자의 월별 분포

Trend™ Research는 새로운 LockBit의 소스 바이너리를 식별했다고 알렸다.
이는 2024년 2월 사법 당국의 Operation Cronos 이후 최신 활동이 관측된 것으로,
2025년 9월 전후로 LockBit 5.0 이 등장했다는 분석이다.

LockBit 5.0의 가장 큰 변화는 Windows, LInux, ESXi 등 크로스 플랫폼을 지원한다는 것이다.
가상화 환경 및 서버 인프라 환경까지 타겟팅 하여 파급력이 커질 수 있다.
Trend Research의 분석에 따르면, 윈도우 버전은 강력한 난독화 및 패킹 기법을 사용하며,
DLL 리플렉션을 통해 페이로드를 로드하는 동시에
ETW 패치 및 보안 서비스 종료 등과 같은 분석 방지 기술을 적용했다고 알렸다.
새로운 Linux 변종은 특정 디렉터리와 파일 형식을 대상으로 하는 명령줄 옵션을 제공하며
ESXi 변종, 특히 VMware가상화 환경을 단일 공격으로
전체 가상 머신 인프라를 암호화하도록 설계되었다고 말했다.