[소만사 랜섬웨어 리포트]
2026년 1분기 랜섬웨어 공격 동향
TheGentlemen, Nightspire, INC Ransom
랜섬웨어 그룹 3종 상세 분석
본 리포트는 2026년 1분기(1월~3월)에 발생한 랜섬웨어 및 데이터 유출 동향과 주요 침해 사고를 분석합니다.
해당 기간에 활동한 TheGentlemen, Nightspire, INC Ransom 랜섬웨어 그룹의 특징과 주요 악용 취약점을 정리하고,
이를 바탕으로 Privacy-i EDR을 활용한 랜섬웨어 대응 방안을 소개합니다.
요약
- 1) 2026년 1분기(1월~3월) 랜섬웨어 피해 2,330건 발생.
전년 동기(2,386건) 대비 약 2.3% 감소, 2024년 동기(1,122건) 대비 2배 이상 증가.
Qilin, TheGentlemen, Akira가 공격 주도.
Nightspire, INC Ransom는 2026년 1분기 높은 활동 탐지.
- 2) TheGentlemen : 금융서비스, 의료기관 대상 공격
Qilin 계열 랜섬웨어 그룹에서 독립하여 활동.
RaaS 기반 랜섬웨어 조직으로 이중 갈취 전략 사용.
14,700개의 FortiGate 장비 침해 정보와 969개의 VPN 계정을 사전 확보.
3) Nightspire : 호텔, 마케팅 플랫폼 대상 공격
중소 규모 기업을 주요 공격 대상으로 활동.
Fortinet FortiOS 취약점(CVE-2024-55591) 악용.
초기 침투, 데이터 암호화, 협상을 직접 수행하는 폐쇄형 운영.
4) INC Ransom: 로펌, 의료기관, 에너지 기업 대상 공격
단기간 다수 피해를 발생시키는 실전형 랜섬웨어 그룹.
Citrix NetScaler 취약점(CVE-2023-3519) 악용.
AdFind, PsExec, Rclone 등 정상 도구를 활용한 침투·확산·유출.
1. 개요
[그림 1] 2026년 랜섬웨어 피해자 수 월별 추이 (연도별 비교)
DLS(유출사이트) 기준 2026년 1분기 랜섬웨어 피해 사례는 총 2,330건으로 집계되었다.
월별 피해 현황은 1월 702건, 2월 784건, 3월 844건으로 매월 꾸준한 증가세를 보였다.
2025년 1분기에는 2월 특정 그룹의 대규모 캠페인 영향으로 피해 건수가 1,014건까지 급증한 바 있으나,
2026년 1분기에는 특정 이벤트에 의존하지 않는 안정적인 우상향 흐름이 관찰되었다.
전체 피해 규모는 2,330건으로, 전년 동기인 2025년 1분기 2,386건 대비 2.3%,
직전 분기인 2025년 4분기 2,445건 대비 4.7% 감소하였다.
다만 2024년 1분기 1,122건과 비교하면 여전히 2배 이상 높은 수준을 유지하고 있다.
2. 2026년 1분기 랜섬웨어 공격 동향
[그림 2] 1분기 누적 피해자 수 TOP 10 랜섬웨어
2026년 1분기 가장 활발한 랜섬웨어 공격 그룹은 Qilin으로, 총 365건의 피해를 발생시키며 압도적인 1위를
차지하였다. Qilin은 2024년 1분기 32건, 2025년 1분기 113건에서 매년 3배 이상 증가한 피해 규모를 보였으며,
2025년 3분기부터 지속적으로 1위를 유지하며 랜섬웨어 생태계에서 가장 주목해야 할 핵심 위협 그룹으로 자리 잡고 있다.
2위는 TheGentlemen으로, 총 186건의 피해가 확인되었다. TheGentlemen은 2025년 하반기 소규모 활동을
시작한 이후 직전 분기 43건에서 약 333% 급증하며 본격적인 공격을 전개하고 있다.
3위는 Akira로, 총 180건의 피해를 기록하며 TheGentlemen과 근소한 차이로 3위에 머물렀다.
다만 Akira는 2025년 누적 피해 건수 기준 2위를 기록한 장기 활동 그룹으로, 지속적인 경계가 필요하다.
이외에도 Play는 75건에서 123건으로 +64.0%, DragonForce는 78건에서 105건으로 +34.6%,
IncRansom은 121건에서 143건으로 +18.2% 증가하며 전분기 대비 활동량이 소폭 증가하였다.
2026년 1분기에 신규 등장한 랜섬웨어 그룹은 총 14개로, 이 중 Insomnia 29건, AiLock 24건, Payload 23건,
Vect 23건은 비교적 높은 활동량을 보이며 향후 추적이 필요한 그룹으로 분류된다.
2.1 랜섬웨어 동향
2.1.1 LockBit 5.0 – 크로스 플랫폼 공격의 본격화
2025년 9월 출시된 LockBit 5.0은 2026년 2월부터 본격적인 활동을 개시하였다.
해당 변종은 Windows, Linux, VMware ESXi 및 Proxmox 환경을 동시에 공격하며, 기존 AES 대신 ChaCha20 스트림 암호를
채택한 것이 특징이다. 특히 ESXi 환경에서는 vim-cmd 명령을 이용해 VM을 강제 종료한 후 가상 디스크를 암호화하는 방식을 사용한다.
또한 ETW(Event Tracing for Windows) 패치, 프로세스 할로잉, DLL 언훅 등 고도화된 방어 회피 기법을
적용하고 있으며, DragonForce, Qilin과의 카르텔식 협업 정황도 확인되었다. Level Blue(SpiderLabs)의 분석에 따르면,
19개 샘플 분석 결과 각 플랫폼별로 최적화된 바이너리를 별도로 생성하는 것으로 확인되었다.
특히 Linux 및 ESXi 변종은 기존 EDR 솔루션의 탐지 범위 밖에 있어 가상화 환경에 대한 모니터링 체계 구축이 필수적이다.
2.1.2 비암호화 갈취(Encryptionless Extortion) 급증
암호화 없이 데이터를 유출한 뒤 공개를 빌미로 협박하는 비암호화 갈취(Encryptionless Extortion) 방식이
주요 랜섬웨어 트렌드로 부상하고 있다. 보안 연구 기관의 보도에 따르면 Qilin, Akira 등 주요 랜섬웨어 그룹이
해당 방식을 채택하고 있으며, 탐지가 어렵고 복구 비용이 낮다는 점에서 공격자들에게 선호되고 있다.
피해 조직 입장에서는 백업을 보유하고 있더라도 데이터 공개 위협을 막을 수 없어 대응이 더욱 어렵다.
전통적인 랜섬웨어가 파일 암호화 과정에서 디스크 I/O 급증, 파일 확장자 변경 등 탐지 가능한 행위를 수반하는 반면,
비암호화 갈취는 정상적인 데이터 전송과 구분이 어려워 기존 엔드포인트 탐지 체계만으로는 식별이 제한적이다.
이에 따라 네트워크 단의 이상 트래픽 감지, DLP 솔루션 고도화가 필수 대응 과제로 부각되고 있다.
2.1.3 UMMC – Medusa 랜섬웨어 (2월)
2월 19일 University of Mississippi Medical Center(UMMC)에서 Medusa 랜섬웨어 공격이 탐지되었으며,
EPIC 전자의무기록 시스템을 포함한 전체 IT 인프라가 마비되었다. NPR과 The Record의 보도에 따르면,
해당 공격으로 미시시피주 전역 35개 클리닉이 폐쇄되고 선택적 수술이 취소되었으며, 전화·이메일·환자 기록 접근이 모두 차단되어 수기 처리로 전환되었다.
Medusa 그룹은 1TB 이상의 데이터를 탈취했다고 주장하며 80만 달러의 몸값을 요구했고,
3월 20일까지 지불하지 않을 경우 데이터를 공개하겠다고 위협하였다. UMMC는 9일간의 복구 작업 끝에 3월 2일 정상 운영을 재개하였다.
다만 이번 사고는 의료기관을 대상으로 한 랜섬웨어 공격이 단순한 서비스 중단을 넘어 환자의 안전에 직접적인 위험을 초래한다는 점을 보여준 사례로 평가되었다.
2.1.4 Shwapno – LockBit 5.0 (방글라데시, 3월)
3월 방글라데시 최대 슈퍼마켓 체인 Shwapno가 LockBit 5.0의 공격을 받아 약 400만 명의 고객 데이터가 유출되었다.
Shwapno는 2025년 8월 Qilin 그룹의 최초 침입 이후 150만 달러의 몸값을 요구받았으나 지불을 거부하였고,
이후 2026년 3월 17일 LockBit 5.0 포털을 통해 410GB 이상의 데이터가 다크웹에 공개되었다.
유출 데이터에는 고객 이름, 전화번호, 구매 이력, 공급업체 계약, 일일 매출 기록, 은행 입금 정보, 인사 문서 등이 포함된 것으로 확인되었다.
2.1.5 Qilin / Cl0p 활동 증가
Infostealers.com과 AttackIQ의 분석에 따르면, 2026년 초 기준 Qilin과 Cl0p의 활동량이 모두 현저히 증가하였다.
특히 통신 분야에서는 최근 4년간 랜섬웨어 공격이 4배 증가한 것으로 집계되었다.
Qilin은 Covenant Health 침해 사례에서 47만 8천 명의 피해가 확인된 것처럼 의료 분야를 주요 표적으로 삼고 있으며,
비암호화 갈취 방식을 적극적으로 도입하고 있다. 또한 루마니아 석유 파이프라인 운영사를 공격하는 등 에너지 인프라로 표적 범위를 확대하고 있다.
Cl0p은 Oracle E-Business Suite 제로데이를 활용해 Madison Square Garden에서 210GB 이상의 데이터를 유출하는 등
기업용 소프트웨어의 제로데이를 확보한 후, 다수 기업을 동시에 침해하는 기존 공격 패턴을 반복하고 있다.
2.1.6 국가 연계 랜섬웨어/파괴 공격
러시아 연계 공격자가 기본 자격 증명이 설정된 인터넷 노출 Fortinet 장비를 악용해 폴란드 내 약 30개
에너지 시설의 ICS 환경을 침해하였다. 공격자는 악성 펌웨어와 와이퍼를 배포해 장비를 영구적으로 손상시켰으며, Sandworm과의 연관성도 제기되었다.
해당 공격은 단순한 금전 목적이 아니라 국가 기반시설의 물리적 파괴를 목표로 한 사례로, 러시아-우크라이나 분쟁의 여파가 NATO 동맹국으로 확대되고 있음을
보여준다. 또한 기본 자격 증명이 유지된 장비가 초기 침투 경로로 활용되었다는 점에서 보안 위생 관리의 중요성을 재확인시킨다.
Security.com과 Darktrace의 분석에 따르면, 북한 연계 Lazarus 그룹이 Medusa 랜섬웨어를 활용해 의료기관을 공격한 사례가 확인되었다.
기존에 첩보 수집과 암호화폐 탈취에 주력하던 Lazarus가 랜섬웨어 운영에 직접 관여하기 시작한 점은 주목할 만한 변화다.
이는 국제 제재로 인한 외화 확보 압박이 공격 전략의 다변화로 이어지고 있음을 시사한다. 특히 의료기관처럼 운영 중단 시 즉각적인 피해가 발생하는 분야를
의도적으로 표적화하고 있다는 점에서, 국가 연계 위협 그룹의 랜섬웨어에 대한 지속적인 모니터링이 필요하다.
2.2 데이터 유출 동향
2.2.1 대규모 침해 사고 (피해 규모 10만 명 이상)
Covenant Health (1월)
47만 8천 명의 환자 개인정보 및 의료 기록이 노출되었다. 해당 사고는 Qilin 랜섬웨어 그룹과 연관된 것으로 알려졌으며, 5월에 발생한 침해의 후속 공개
사례에 해당한다. 침해 발생부터 공개까지 약 8개월이 소요되었다는 점에서 의료 분야의 침해 탐지 및 공개 절차에 구조적 지연 문제가 존재함을 보여준다.
Panera Breach (1월)
ShinyHunters 캠페인의 일환으로 약 510만 개 계정의 이메일 정보가 노출되었다. Panera는 2024년에도 랜섬웨어 공격을 받은 이력이 있어
반복 침해 사례에 해당한다.
University of Hawaii Cancer Center (3월)
랜섬웨어 사고로 연구 데이터와 개인정보가 노출되었다. 최대 약 120만 건의 기록이 영향을 받았으며, 이 중 8만 7천 명 이상의 SSN(Social Security Number)
이 포함되었다. 암 연구 기관의 특성상 임상시험 참가자 정보, 유전체 데이터 등 고도로 민감한 연구 데이터가 포함되었을 가능성이 있다.
TriZetto Provider Solutions (3월)
보험 자격 확인 포털에 대한 무단 접근으로 3,433,965명의 민감 정보가 노출되었다. TriZetto는 Cognizant의 자회사로,
미국 의료보험 청구 처리의 핵심 허브 역할을 수행하고 있어 이번 침해는 다수의 보험사와 의료기관에 연쇄적인 영향을 미쳤다.
2.2.2 주요 침해 사고 (기업/기관 대상)
Sedgwick 침해 (1월)
미국의 청구 관리·리스크 관리 기업 Sedgwick의 정부 계약 자회사인 Sedgwick Government Solutions가 침해되어 기업 시스템 및 고객 서비스에
영향을 미쳤다. 정부 계약업체의 침해는 공공 서비스 관련 데이터까지 연쇄적으로 노출될 수 있는 위험을 수반한다. 특히 보험 청구 처리를 담당하는
Sedgwick의 특성상 산재 보상, 장애 급여 등 민감한 개인 데이터가 영향 범위에 포함되었을 가능성이 높다.
Match Group(Hinge/OkCupid/Tinder) (1월)
ShinyHunters가 Match Group에서 1,000만 건 이상의 레코드를 탈취했다고 주장했다. 초기 침투는 Okta SSO 자격 증명에 대한 보이스피싱을 통해
이루어졌으며, 이후 내부 대시보드와 AppsFlyer 플랫폼에 대한 접근 권한을 확보한 것으로 알려졌다. 유출 데이터 샘플에는 사용자 ID, 거래 내역, IP 주소,
데이팅 프로필, 내부 기업 문서가 포함되었다. 다만 Match Group은 비공개 채팅이나 비밀번호는 유출되지 않았다고 밝혔으며,
검증된 샘플 기준으로는 약 200만 개의 고유 광고 ID와 8만 5천 개의 이메일이 확인되었다.
ShinyHunters 대규모 캠페인 (1~2월)
ShinyHunters는 보이스피싱과 SSO 자격 증명 탈취를 통해 100개 이상의 조직을 침해했으며, 탈취한 계정으로 MFA에 비인가 디바이스를 등록하는 수법을
사용했다. 이 과정에서 Harvard Alumni 기부자 데이터 약 11만 5천 건이 유출되었다. ShinyHunters는 Okta, Azure AD 등 주요 IdP(Identity Provider)를
직접 공격하기보다 개별 사용자의 SSO 세션을 탈취하는 전략을 사용했으며, 탈취한 세션을 통해 MFA 등록 디바이스를 추가해 지속적인 접근 권한을 확보했다.
MFA 등록 프로세스의 허점이 악용된 사례이다.
MongoDB 데이터 갈취 (2월)
자동화된 공격으로 인증 없이 노출된 1,400개 이상의 MongoDB 인스턴스가 침해되었다. 약 208,500개의 공개 서버 중 3,100개가 인증 미설정 상태였으며,
공격자는 약 0.005 BTC의 랜섬을 요구했다. 공격자는 데이터를 복사한 뒤 원본을 삭제하고 랜섬 노트만 남기는 자동화 스크립트를 사용했다.
이러한 “스프레이 앤 프레이” 방식은 기술 수준이 높지 않은 공격자도 대규모 피해를 유발할 수 있음을 보여준다.
클라우드 환경에서 기본 설정 그대로 운영되는 데이터베이스가 여전히 대규모로 존재한다는 점이 근본적인 문제이다.
CarGurus (2월)
미국 자동차 마켓플레이스 CarGurus가 ShinyHunters의 사회공학 공격으로 침해되어 약 1,250만 명의 사용자 데이터가 유출되었다.
공격자는 보이스피싱을 통해 직원의 Okta SSO 자격 증명을 탈취한 뒤 내부 대시보드와 모바일 마케팅 플랫폼 AppsFlyer에 접근했다.
유출 데이터에는 이름, 전화번호, 실제 주소, IP 주소, 자동차 금융 사전 자격 심사 정보가 포함되었다. ShinyHunters는 초기에는
170만 건을 탈취했다고 주장했으나, 이후 6.1GB 규모의 아카이브를 공개하면서 피해 규모가 약 1,250만 계정으로 확대되었다.
Madison Square Garden (3월)
Cl0p 그룹이 Oracle E-Business Suite 제로데이를 악용하여 210GB 이상의 데이터를 유출했다. 데이터에는 이름, SSN 등이 포함된 것으로 알려졌다.
Cl0p은 2023년 MOVEit 사태 이후에도 기업용 소프트웨어의 제로데이를 선제적으로 확보해 대규모 침해를 반복하는 패턴을 보이고 있다. Oracle EBS는
재무, 인사, 공급망 등 핵심 업무 시스템을 통합 관리하기 때문에, 한 번의 침해만으로도 조직 전반의 민감 데이터가 노출될 수 있어 피해 범위가 광범위하다.
유럽위원회(Europa.eu) (3월)
3월 24일 유럽위원회의 Europa 웹 플랫폼을 호스팅하는 AWS 클라우드 인프라가 침해되었다.
ShinyHunters는 메일 서버, 데이터베이스, 기밀 문서, 계약서 등 350GB 이상의 데이터를 탈취했다고 주장했으며, 90GB 이상의 아카이브를 공개했다.
위원회 내부 시스템에는 영향이 없었던 것으로 알려졌으나, 해당 분기 두 번째 주요 침해 사고라는 점에서 EU 차원의 사이버 복원력에 대한 우려가 제기되었다.
2.3 주요 랜섬웨어 그룹
[그림 3] 월별 피해자 수 TOP 10 Ransomware
해당 로더는 서비스 형태로 동작하는 파일이다. 해당 파일이 동작하기 위해서는 사전에 권한 상승을 수행한 후
로더 DLL을 서비스로 등록해야 한다. 윈도우 서비스 관리자가 해당 파일을 실행하면 로더 DLL은 높은 권한으로 실행된다.
이후 백그라운드에서 동작하며, 시스템 재부팅 이후에도 자동 실행되어 지속성을 확보한다.
2.3.1 TheGentlemen Ransomware
그룹 개요
TheGentlemen은 2025년 중반 등장한 RaaS(Ransomware-as-a-Service) 기반 랜섬웨어 조직으로,
기존 Qilin 계열 affiliate 그룹인 ArmCorp에서 분리되어 독립적으로 운영되는 것으로 분석된다.
약 20명 규모로 구성된 비교적 신생 조직이지만, 기존 활동 경험과 공격 인프라를 바탕으로 빠르게 성장하고 있다.
이들은 전형적인 이중 갈취(Double Extortion) 전략을 사용한다. 시스템 암호화와 데이터 유출을 병행하여 피해 조직에 금전적 압박을 가하는 방식이다.
특히 공격 이전 단계에서 이미 대규모 접근 자산을 확보하고 있다는 점이 특징적이다.
보고서에 따르면 TheGentlemen은 약 14,700개의 FortiGate 장비 침해 정보와 969개의 VPN 계정을 사전에 확보하고 있으며,
이를 기반으로 공격을 수행하는 것으로 알려졌다. 현재까지 최소 90개 이상의 조직이 피해를 입은 것으로 확인된다.
최신 이슈
[그림 4] 1분기 TheGentlemen 랜섬웨어 피해자의 분포
TheGentlemen 랜섬웨어는 2025년 9월 첫 피해자 공개 이후 DLS(Data Leak Site)에 200건 이상의 피해 조직을 게시한 것으로 알려졌다.
2025년 4분기에는 활동이 일시적으로 둔화되었으나, 2026년 1월과 2월에 누적 피해자의 절반 이상이 집중 게시되며 활동이 급격히 증가하는 양상이 관측되었다.
금융 서비스 기업 Rogers Capital 침해
2026년 1월 14일, TheGentlemen은 모리셔스에 본사를 둔 금융 서비스 기업 Rogers Capital에 대한 사이버 공격의 배후임을 공개적으로 주장했다.
공격자는 Rogers Capital이 협상에 응하지 않을 경우 민감 정보를 유출하겠다고 위협했다.
TheGentlemen 내부 리소스 폭로
2026년 3월 사이버보안 기업 Group-IB는 TheGentlemen 제휴사 중 한 명이 그룹 내부 리소스를 폭로하면서 운영 방식이 외부에 공개되었다고 보도했다.
폭로된 자료에는 침해된 Fortinet 장비 목록, AV/EDR 우회 킬러, 공격 스크립트, 도구 등이 포함되었다. 이를 통해 약 14,700대의 침해된 FortiGate 장비
데이터베이스와 969개의 검증된 VPN 자격 증명이 제휴사에게 초기 접근 자원으로 제공되고 있다는 사실이 공개적으로 확인되었다.
아르헨티나 의료기관 침해
아르헨티나 의료기관 Hospital del Sur가 TheGentlemen의 피해 조직으로 공개되었다.
2.3.2 Nightspire Ransomware
그룹 개요
Nightspire는 2025년 초 등장한 금전 목적의 랜섬웨어 그룹으로, 초기에는 데이터 탈취 및 협박 중심 활동을
수행하다가 이후 빠르게 파일 암호화를 결합한 이중 갈취(Double Extortion) 방식으로 전환하였다.
피해는 미국을 포함해 아시아, 유럽 등 여러 지역과 산업에 걸쳐 발생하고 있으며, 특히 중소 규모 조직을 주요 공격 대상으로 삼는 경향이 확인되었다.
운영 방식은 일반적인 RaaS 모델과 구분되는 폐쇄형(Closed) 운영 형태로 분석된다. 즉, 초기 침투부터 데이터 탈취, 파일 암호화, 협상에 이르는 공격 전 과정을
내부에서 직접 수행하는 형태로 알려져 있다. 기술적 특징으로는 Golang 기반 랜섬웨어를 사용하며, 암호화된 파일에는 .nspire 확장자가 추가된다.
최신 이슈
[그림 5] 1분기 Nightspire 랜섬웨어 피해자 분포
호텔 Hyatt Place Chelsea New York 침해
2026년 1월 19일, Nightspire는 미국 Hyatt Place Chelsea New York 호텔에서 탈취했다고 주장하는 48.5GB 규모의 자료를 DLS에 공개하였다.
분석된 샘플에는 인보이스 및 경비 보고서, 직원 이름·연락처·서명, 파트너사 정보 등이 포함되어 있으며, 호텔 내부 CMS에서 탈취된 자료로 추정된다.
마케팅 플랫폼 GoHighLevel 침해
2026년 2월 28일, 미국 기반 마케팅 플랫폼 GoHighLevel이 Nightspire의 피해자로 공개되었다.
2.3.3 INC Ransom Ransomware
그룹 개요
INC Ransom은 2023년부터 활동이 확인된 RaaS 기반 랜섬웨어 그룹이다. 단일 악성코드나 고유한 공격
기법에 의존하기보다는 검증된 도구와 기법을 조합해 공격 효율을 극대화하는 운영 방식이 특징이다.
Citrix NetScaler 취약점(CVE-2023-3519)과 같은 외부 노출 서비스 공격, 유출 계정 활용(Valid Accounts), AdFind·PsExec·Rclone 등
정상 도구를 활용한 침투·확산·유출 흐름이 일관되게 관찰된다.
초기 접근 이후에는 빠르게 내부 정찰과 권한 확장을 수행하고, 데이터 탈취를 선행한 뒤 암호화를 진행하는
구조를 취한다. 전반적으로 새로운 기술보다는 재사용 가능한 공격 체계를 기반으로 안정성과 반복성을 확보한 실전형 랜섬웨어 그룹으로 평가된다.
최신 이슈
[그림 6] INC Ransom 랜섬웨어 피해자의 월별 분포
INC Ransom 그룹은 약 48시간 내 10개 이상의 로펌을 대상으로 공격을 수행하며, 동일 산업에서 단기간 다수 피해가 발생하는 이례적인 패턴을 보였다.
공격 규모와 확산 속도는 일반적인 랜섬웨어 활동 대비 비정상적으로 빠른 수준으로 평가된다. 이에 따라 개별 표적 공격보다는 공통 솔루션,
플랫폼, 또는 IT 서비스 제공업체를 경유한 공급망 기반 침해 가능성이 제기되고 있다.
오세아니아 의료기관 연쇄 침해
INC Ransom 그룹은 2026년 1분기 동안 오세아니아 지역 의료기관을 대상으로 연속적인 공격을 수행하며,
병원 및 헬스케어 조직을 집중적으로 침해한 사례가 보고되었다. 해당 공격은 24시간 운영되는 의료 시스템의
특성을 악용해 서비스 중단을 유발하고 피해를 확산시키는 형태로 나타났으며, 특정 지역과 산업을 대상으로 한 집중 공격 패턴이 확인되었다.
에너지 기업 ACWA Power 및 건설 기업 Larsen & Toubro 침해
INC Ransom 그룹은 2026년 2월 사우디 에너지 기업 ACWA Power와 인도 건설 기업 Larsen & Toubro를 침해했다고 주장하며,
약 400GB 규모의 데이터를 탈취했다고 공개하였다. 유출 데이터에는 기술 사양, 엔지니어링 도면, 프로젝트 문서 등 핵심 인프라 관련 정보가
포함된 것으로 나타났으며, 일부 내부 문서를 증거로 공개하였다.
2.4 주요 악용 취약점
[그림 7] 1분기 주요 악용 취약점
2026년 1분기는 기업 네트워크의 외부 경계와 내부 기반 시스템 양쪽에서 심각한 취약점이 다수 공개되었다.
방화벽·VPN 장비, 가상화 플랫폼(VMware ESXi), 기업 ERP 시스템(Oracle E-Business Suite) 등에서 CVSS 10.0에 육박하는
고위험 취약점이 연이어 공개되었으며, 국가 배후 해커와 랜섬웨어 조직이 유사한 시기에 동일 취약점을 악용하는 양상도 관찰되었다.
특징적인 점은 “패치 = 안전”이라는 전제가 무너진 사례가 반복적으로 제시되었다는 점이다. 과거에 공개된
취약점이 새로운 공격 캠페인에서 재활용되거나, 패치를 적용한 것으로 분류되었던 장비가 실제로는 여전히
취약 버전을 운영 중인 사례가 다수 확인되었다.
2.4.1 Cisco ASA / FTD (CVE-2025-20333 + CVE-2025-20362)
[그림 8] CVE-2025-20333 / CVE-2025-20362 취약점
| 제품 | Cisco Secure Firewall ASA / FTD — WebVPN 구성 |
| 취약점 유형 | 인증 우회(CVE-2025-20362)+인증 후 원격 코드 실행(CVE-2025-20333) |
| 공개일 | 2025년 9월 25일 (Cisco 공식 어드바이저리) |
| CVSS 점수 | 9.9 (Critical) |
| 기술 설명 | 공격자는 먼저 CVE-2025-20362로 WebVPN의 인증을 우회해 제한된 URL에 접근하고, 이어서 CVE-2025-20333으로 방화벽 장비에서 root 권한의 임의 코드 실행을 획득한다. |
1) 관련 TTPs (Tactics, Techniques, Procedures)
■ 초기 액세스
(T1190) Exploit Public-Facing Application
공격자는 인터넷에 노출된 Cisco 방화벽의 WebVPN 웹 인터페이스에 조작된 HTTP 요청을 보내 인증 단계를 우회한다.
■ 권한 상승
(T1068) Exploitation for Privilege Escalation
인증 우회로 접근한 경로에 두 번째 취약점을 엮어 root 권한까지 상승한다.
■ 지속
(T1542.001) Pre-OS Boot:System Firmware (Bootkit)
공격자는 침해한 방화벽의 ROMMON(장비가 부팅될 때 가장 먼저 실행되는 펌웨어 영역)에 RayInitiator라는
부트킷을 심는다. 리부트나 소프트웨어 업그레이드 이후에도 침투가 유지되며, 일반적인 패치만으로는 제거되지 않는다.
■ 명령 및 제어
(T1071.001) Application Layer Protocol:Web Protocols
장비 내부에 전개된 Line VIPER 쉘코드는 HTTPS WebVPN 세션이나 ICMP 패킷을 통해 원격 명령을
주고받는다. 정상 VPN 트래픽과 섞여 있어 탐지가 쉽지 않다.
2) 실제 악용 사례
공격 배후로 지목된 행위자는 UAT4356이며, Microsoft는 해당 그룹을 Storm-1849로 추적하고 있다.
이들은 중국 배후 그룹으로 알려져 있으며, 2024년 공개된 ArcaneDoor 캠페인의 연장선에서 2025년 5월
부터 해당 취약점 체인을 활용하기 시작했다. 공격 목적은 금전 탈취가 아니라 장기적인 정보 수집과 감시에 있는 것으로 평가된다.
Cisco의 분석에 따르면 공격자는 단순히 장비 접근에 그치지 않고, 펌웨어 영역에 부트킷을 설치해
장기 체류한다. 장비를 재부팅하거나 소프트웨어를 업데이트하더라도 공격자의 거점이 유지된다.
CISA는 2025년 9월 긴급 지시 ED 25-03을 발령해 연방기관에 즉각적인 점검과 완화 조치를 명령했다.
이후 2025년 11월에는 “패치 적용된 것으로 분류되었던 일부 장비가 여전히 취약 버전을 운영 중이며 활발히 악용되고 있다”는 후속 경고를 발표했다.
해당 흐름은 2026년 1분기에도 이어지며, 연방 민간부문 기관을 대상으로 한 재점검이 계속되고 있다.
캐나다 사이버보안센터도 2025년 말 AL25-012 경계 알림을 발령하며 국제 공조에 참여하였다.
침해가 확인된 장비는 대부분 이미 단종되었거나 지원 종료를 앞둔 구형 Cisco ASA 모델(5512-X, 5515-X, 5585-X, 5525-X, 5545-X, 5555-X)이었다.
이는 교체 주기가 지난 장비가 네트워크에 잔존할 경우 심각한 보안 리스크로 이어질 수 있음을 보여주는 사례다.
2.4.2 Cisco Secure Firewall Management Center (CVE-2026-20131)
[그림 9] CVE-2026-20131 취약점
| 제품 | Cisco Secure Firewall Management Center (FMC) 소프트웨어 |
| 취약점 유형 | 안전하지 않은 Java 역직렬화 → 비인증 원격 코드 실행 (root) |
| 공개일 | 2026년 3월 4일 (Cisco 어드바이저리 및 패치) |
| CVSS 점수 | 10.0 (Critical) |
| 기술 설명 | FMC는 기업의 여러 Cisco 방화벽을 한꺼번에 관리하는 중앙 관제 서버다. 공격자는 특정 HTTP 경로에 조작된 Java 객체 데이터를 보내 인증을 우회하고, FMC 서버에서 root 권한으로 임의 Java 코드를 실행할 수 있다. 즉 방화벽 수백 대를 통제하는 관리 서버가 한 번의 요청으로 장악된다. |
1) 관련 TTPs (Tactics, Techniques, Procedures)
■ 초기 액세스
(T1190) Exploit Public-Facing Application
공격자는 내부망 또는 인터넷에 노출된 FMC 관리 포털에 악성 Java 바이트 스트림이 담긴 HTTP 요청을 전송한다.
■ 실행
(T1059) Command and Scripting Interpreter
역직렬화 과정에서 제어권을 얻은 공격자는 root 권한의 임의 Java 코드를 바로 실행한다.
■ 명령 및 제어
(T1105) Ingress Tool Transfer
악성 요청 본문에는 공격 성공 확인용 URL 외에 ELF 바이너리(Linux 실행 파일) 다운로드 경로가 포함되어,
침해된 FMC는 외부 서버에서 백도어를 내려받아 실행한다.
(T1219) Remote Access Software
이후 공격자는 ScreenConnect(정상 원격 관리 솔루션)를 2차 채널로 설치해 패치 이후에도 원격 제어를 유지한다.
2) 실제 악용 사례
해당 캠페인은 Amazon 위협 인텔리전스 팀에 의해 최초로 포착된 것으로 알려져 있다.
Amazon은 2026년 1월 26일부터 CVE-2026-20131과 연관된 것으로 보이는 위협 활동을 탐지했으며, 이는 해당 취약점이 공개되기 이전 시점이다.
이후 AWS 보안 블로그를 통해 관련 침해 사례와 분석 내용을 공개하고, 공격 배후를 Interlock으로 지목한 근거를 제시하였다. 분석에 따르면 침해된
FMC 장비에서 Interlock 특유의 랜섬노트와 TOR 기반 협상 포털이 확인되었으며, 공격 직후 ScreenConnect가 자동 설치되는 일관된 패턴이 반복적으로 관찰되었다.
해당 취약점은 일반적인 제품 취약점에서는 보기 어려운 높은 위험도를 보인다. 비인증 원격 공격이 가능하고, root 권한 확보로 이어지며,
표적이 중앙 관리 장비라는 세 가지 조건이 모두 충족되기 때문이다. FMC가 침해될 경우 해당 장비가 관리하던 Cisco 방화벽 전체가 위험에 노출될 수 있으며,
단일 관리 장비 침해가 조직 경계 보안 전반의 붕괴로 이어질 수 있다.
Recorded Future의 Insikt Group은 2026년 3월 월간 취약점 동향 보고에서 해당 CVE를 월간 최우선 대응 대상으로 지목하였다.
2.4.3 Fortinet FortiOS / FortiProxy (CVE-2024-55591)
[그림 10] CVE-2024-55591 취약점
| 제품 | Fortinet FortiClient EMS 7.0 / 7.2 |
| 취약점 유형 | SQL Injection → Remote Code Execution (CWE-89) |
| 공개일 | 2024년 3월 12일 (Fortinet PSIRT FG-IR-24-007) |
| CVSS 점수 | 9.3 (Critical) |
| 기술 설명 | FortiClient EMS의 DB 통신 레이어에서 입력값 검증 미흡으로 인해 비인증 SQL 인젝션이 가능하다. 공격자는 이를 통해 xp_cmdshell 실행 체인을 구성할 수 있으며, 최종적으로 원격 코드 실행(RCE)로 이어진다. |
1) 관련 TTPs (Tactics, Techniques, Procedures)
■ 초기 액세스
(T1190) Exploit Public-Facing Application
공격자는 인터넷에 노출된 FortiGate 관리 화면이나 SSL-VPN 포털에 조작된 WebSocket 요청을 보내 인증을 건너뛴다.
(T1078) Valid Accounts
획득한 super-admin 세션과 이후 생성한 VPN 계정을 정상 자격 증명처럼 사용하기 때문에 보안 장비의 이상 탐지에 걸리지 않는다.
■ 지속
(T1136.001) Create Account:Local Account
방화벽에 새로운 super-admin 계정이나 SSL-VPN 사용자 계정을 직접 만들어 재접속 경로를 확보한다.
기존 계정이 비활성화되거나 비밀번호가 바뀌어도 영향이 없다.
■ 측면 이동
(T1021.001) Remote Services:Remote Desktop Protocol
방화벽을 통과해 내부망에 들어간 뒤에는 확보한 계정으로 RDP를 통해 업무 PC나 서버로 횡적 이동한다.
2) 실제 악용 사례
이 취약점이 2026년 1분기 사이버 위협 지형에서 주목되는 이유는, 단일 CVE가 여러 랜섬웨어 그룹에 의해 동시에 악용되고 있기 때문이다.
해당 취약점은 다수의 랜섬웨어 캠페인에서 공통 초기 침투 경로로 활용되었다.
Nightspire가 이 취약점을 주요 침투 경로로 사용했다는 사실은 ProvenData의 분석에서 직접 명시되었다. 침투 이후 공격자가 RDP를 통해
내부망으로 이동하고, Chrome Remote Desktop을 설치해 장기 체류를 준비하는 패턴은 Huntress의 IR 분석에서 구체적으로 문서화되었다.
TheGentlemen 랜섬웨어 그룹의 운영 방식은 더욱 주목할 만하다. Group-IB에 따르면 이 그룹은 제휴사
(affiliate, 랜섬웨어를 실제 배포하는 외부 공격팀)에게 이미 침해된 약 14,700대의 FortiGate 장비 목록과 969개의 검증된 VPN 자격 증명을 제공하였다.
이에 따라 제휴사는 새로운 취약점을 직접 탐색할 필요 없이, 이미 확보된 접근 경로를 통해 피해 조직 내부로 진입할 수 있었다.
INC Ransom의 피해 사례는 보다 구체적으로 확인된다. 독일 보안업체 HvS-Consulting의 사고 조사 보고에 따르면,
한 피해 기업은 실수로 인터넷에 노출된 FortiGate 관리 인터페이스가 해당 취약점에 의해 공격당했으며, 이 과정에서 악성 super-admin 계정이 생성되었다.
이후 공격자는 Kerberoasting을 통해 도메인 관리자 계정까지 탈취하였다. Kerberoasting은 Active Directory 환경에서 도메인 서비스 계정의
비밀번호 해시를 추출한 뒤, 이를 오프라인에서 크래킹하는 공격 기법이다. 해당 사례에서는 초기 침투 이후 48시간 안에 전사 환경이 암호화되었다.
이 외에도 Forescout Research는 CVE-2024-55531과 CVE-2025-24472를 연계해 악용하는 신흥 SuperBlack 랜섬웨어를 식별하였다.
해당 랜섬웨어는 Mora_001이라는 운영자가 관여한 것으로 알려져 있으며, LockBit 생태계와 연계된 것으로 분석된다.
2.4.4 VMware ESXi (CVE-2025-22225)
[그림 11] CVE-2025-22225 취약점
| 제품 | VMware ESXi 7.x / 8.x, Workstation, Fusion |
| 취약점 유형 | 임의 메모리 쓰기 → VMX 샌드박스 탈출 → 하이퍼바이저 커널 접근 |
| 공개일 | 2025년 3월 (VMware/Broadcom 패치 배포일) |
| CVSS 점수 | 8.2 (High) |
| 기술 설명 | 공격자가 VM 내부에서 메모리를 임의로 쓰는 방식으로 VMX 프로세스의 보안 경계를 넘어 하이퍼바이저 자체로 탈출할 수 있게 된다. (VMX 샌드박스: 각 가상머신이 격리되도록 운영하는 프로세스 단위 경계) 하이퍼바이저를 장악하면 그 위의 모든 VM을 동시에 통제할 수 있다. |
1) 관련 TTPs (Tactics, Techniques, Procedures)
■ 권한 상승
(T1068) Exploitation for Privilege Escalation
이미 하나의 VM에 접근한 공격자가 VMware ESXi에서 발견된 결함을 이용해 VMX 프로세스 경계를 넘어 호스트 권한으로 상승한다.
(T1611) Escape to Host
VM에서 호스트 하이퍼바이저로 탈출하는 기법이다.
공격자는 더 이상 개별 VM에 갇혀 있지 않고, 같은 서버 위의 모든 VM에 접근할 수 있다.
■ 타격
(T1486) Data Encrypted for Impact
하이퍼바이저를 장악한 뒤 공격자는 같은 호스트에 올라와 있던 VM 수십~수백 개의 디스크를 한꺼번에
암호화한다. 복구해야 할 개별 서버가 급격히 늘어나 사실상 복구가 어려워진다.
2) 실제 악용 사례
2026년 2월, 미국 CISA는 해당 취약점을 KEV(Known Exploited Vulnerabilities, 실제 악용 취약점 카탈로그)에 등재하며,
“랜섬웨어 캠페인에 사용됨(Known)” 플래그를 공식 활성화하였다.
공격자들이 사용한 익스플로잇 도구는 공식 패치가 공개된 2025년 3월보다 훨씬 이전부터 제로데이 상태로 존재했을 가능성이 제기된다.
Huntress의 “The Great VM Escape” 분석에 따르면, 2025년 12월 관측된 이번 침해 사고에서 초기 침투는 SonicWall VPN을 통해 이루어진 것으로 평가된다.
이후 사용된 ESXi 익스플로잇 툴킷은 악성 드라이버의 PDB 경로가 2024년 2월로 확인되고, “全版本逃逸–交付”와 같은 간체 중국어 폴더명이 포함되어 있었다.
이를 근거로 Huntress는 해당 툴킷이 VMware 공식 공개보다 1년 이상 앞서 중국어권에서 활동하는 자원이 풍부한 개발자에 의해 제작되었을 가능성이 있다고
분석하였다. Huntress는 이 툴킷이 2025년 3월 공개된 세 개의 ESXi 취약점(CVE-2025-22224, CVE-2025-22225, CVE-2025-22226)을 활용했을 가능성이 있으며,
이에 대한 신뢰도는 중간 수준으로 평가하고 있다.
2.4.5 Oracle E-Business Suite (CVE-2025-61882)
[그림 12] CVE-2025-61882 취약점
| 제품 | Oracle E-Business Suite 12.2.3 ~ 12.2.14 (BI Publisher 컴포넌트) |
| 취약점 유형 | 비인증 원격 코드 실행 (5개의 개별 결함을 연쇄 체인) |
| 공개일 | 2025년 10월 4일 (Oracle 긴급 패치 배포일) |
| CVSS 점수 | 9.8 (Critical) |
| 기술 설명 | Oracle E-Business Suite(이하 EBS)는 대기업의 회계·HR·공급망 업무를 관리하는 대형 ERP 시스템이다. 본 취약점은 BI Publisher(EBS 내의 보고서 생성 컴포넌트)의 다섯 개 개별 결함을 순서대로 엮으면 로그인 없이도 공격자가 EBS 서버에서 원격 코드 실행을 획득할 수 있는 복합 공격 체인이다. 회사 재무·직원·협력사 데이터가 한꺼번에 유출될 수 있는 구조다. |
* 공격 체인에 대한 상세 분석 참고: Cyderes Howler Cell, “Investigation into Oracle E-Business Suite (EBS) Exploit Components
1) 관련 TTPs (Tactics, Techniques, Procedures)
■ 초기 액세스
(T1190) Exploit Public-Facing Application
공격자는 인터넷에 노출된 EBS 웹 컴포넌트에 다섯 개의 결함을 순차적으로 호출하는 요청을 보내 인증 없이 원격 코드 실행을 획득한다.
■ 실행
(T1059) Command and Scripting Interpreter
서버를 장악한 뒤 내부 명령과 스크립트를 실행해 데이터베이스·파일 서버에서 민감 정보를 수집한다.
■ 유출
(T1567) Exfiltration Over Web Service
탈취한 대용량 재무·HR 데이터를 외부 웹 서비스로 빼돌린다. EBS에 저장되어 있던 급여·공급계약·계좌 정보가 이 단계에서 유출된다.
■ 타격
(T1657) Financial Theft
훔친 데이터를 근거로 피해 조직 임원진에게 이메일과 다크웹 협상 포털로 수개월에 걸친 강탈을 이어간다.
CL0P 특유의 장기형 강탈(long-tail extortion) 패턴이다.
2) 실제 악용 사례
CL0P 랜섬웨어 브랜드로 활동하는 금전 동기 공격자들은 2025년 8월 초부터 해당 취약점을 제로데이로
악용하기 시작했다. Oracle의 긴급 패치가 10월 4일 공개되었음을 고려하면, 약 두 달간 패치가 존재하지 않는 상태에서 공격이 진행된 것이다.
구글 클라우드 산하 Mandiant 조사에 따르면, 100개 이상의 조직 환경에서 데이터가 탈취된 것으로 추정된다.
해당 캠페인은 2025년 4분기에 정점을 기록했으나, 피해 확정, 후속 통지, 갈취 협상 등 사후 영향이 2026년 1분기까지 이어졌다.
이에 따라 단일 분기에 국한된 사건이 아닌 장기 지속형 갈취 사례로 평가된다.
Harvard University는 2025년 10월 12일 CL0P 유출 사이트에 등재된 이후 약 1.3TB 규모의 데이터가
공개되었으며, 대학 측은 피해 범위를 일부 관리 부서에 한정된 사안으로 설명했다.
University of Phoenix는 2025년 11월 말 공식 통지를 통해 약 348만 명이 영향을 받은 사실을 확인했다.
이는 단일 사건 기준으로 해당 캠페인에서 가장 큰 피해 규모에 해당한다.
Dartmouth College 역시 2025년 11월 말 공식 통지 및 공개를 통해 4만 명 이상의 개인정보 유출 사실을 밝혔다.
유출 데이터에는 사회보장번호와 금융계좌 정보가 포함된 것으로 확인되었으며, 2026년 1월에는 관련 사건에 대한 후속 보도도 이어졌다.
Korean Air 사례는 2025년 12월 29일 공개되었으며, 케이터링 및 면세점 자회사인 KC&D를 경유한 침해를 통해 약 3만 명 규모의 직원 개인정보가 유출된 것으로 나타났다.
3. Privacy-i EDR의 랜섬웨어 대응
[그림 13] Privacy-i EDR 차별화 기능
[그림 14] Privacy-i EDR 정적 분석 엔진에서 탐지된 랜섬웨어 실행 차단 화면
[그림 15] Privacy-i EDR 랜섬웨어 탐지 후 복구 완료 화면
[그림 16] Privacy-i EDR 랜섬웨어 로그
