반도체 전문 온라인 매거진 - 올포칩

랜섬웨어 생태계가 소수 대형 조직이 주도하던 서비스형 모델(RaaS)에서 벗어나 공격 조직의 독립과 세력 재편, 데이터 중심 갈취, 공급망 공격, AI 활용이 결합된 분산형 구조로 빠르게 변화하고 있다. 기업 네트워크 접근권 시장 역시 공개 거래가 줄어드는 대신 고가치 접근권이 비공개 프리미엄 시장으로 이동하는 등 지하 범죄 시장의 거래 방식도 달라지고 있다.

글로벌 사이버 보안 기업 그룹아이비(Group-IB)는 위협 인텔리전스를 기반으로 2026년 랜섬웨어 생태계의 주요 변화와 주목해야 할 랜섬웨어 조직을 분석한 보고서를 발표했다. 그룹아이비는 2026년 1분기 79개 활성 랜섬웨어 조직이 유출 사이트에 게시한 공격은 2,393건으로, 전 분기보다 4.5% 증가했다고 밝혔다.

대형 RaaS 중심에서 독립·통합 경쟁 구조로 재편

과거 랜섬웨어 시장은 록빗(LockBit), 블랙캣(BlackCat), 클롭(Cl0p) 등 소수 대형 조직과 이들이 운영하는 RaaS 프로그램을 중심으로 움직였다. 제휴 공격자가 기업 네트워크 접근권을 확보하고 시스템을 암호화한 뒤 랜섬웨어 조직과 수익을 나누는 구조가 일반적이었다.

하지만 최근에는 주요 제휴 프로그램의 자금 미지급이나 제휴 공격자 이탈, 경쟁 조직의 인프라 공격과 흡수 등이 이어지면서 조직 간 신뢰가 약화되고 있다. 랜섬허브(RansomHub)의 인프라 중단 이후 드래곤포스(DragonForce)가 제휴자와 인프라를 흡수하려 한 사례가 대표적이다. Qilin에서 독립한 The Gentlemen처럼 기존 조직에서 분리해 독자적인 공격 역량을 구축하는 사례도 늘고 있다.

기업 네트워크 접근권 시장은 공개 거래와 비공개 거래로 양분되는 양상이다. 2025년 공개적으로 광고된 접근권 판매는 27% 감소했지만 시장 자체가 축소된 것으로 보기는 어렵다. 가치가 높은 인증정보와 접근권이 검증된 공격자 사이의 비공개 거래로 이동하면서 공개 시장의 거래량이 감소한 것으로 분석된다.

공격 방식도 파일을 암호화한 뒤 몸값을 요구하는 전통적인 형태에서 벗어나고 있다. 헌터스 인터내셔널(Hunters International)은 월드리크스(World Leaks)로 전환하면서 데이터 탈취 전용 도구를 제휴 공격자에게 제공했고, 스노우팀(SnowTeam)은 탈취 데이터를 유형별로 분류해 반복 판매하는 구조를 선보였다. 파일 암호화 없이 탈취 데이터 자체를 지속적으로 판매하는 갈취 모델이 확산되면서 피해 기업이 몸값을 지급하지 않더라도 공격자가 수익을 확보할 수 있는 환경이 조성되고 있다.

공급망 역시 주요 공격 대상으로 부상했다. 공격자는 개별 기업을 직접 침해하는 대신 다수 고객의 시스템에 접근할 수 있는 관리형 서비스 제공업체(MSP), SaaS 업체, 외부 계약업체 등을 먼저 노려 공격 범위를 확대하고 있다. 오픈소스 생태계를 겨냥한 공격도 증가하면서 하나의 취약점이 여러 기업과 서비스로 확산될 가능성이 커졌다.

AI 활용도 공격 전반으로 확대되고 있다. 일부 조직에서는 AI를 랜섬웨어 개발에 활용한 정황이 발견됐으며, 탈취한 데이터를 분류하거나 사이버 보험 관련 정보를 선별하고 피해 기업의 지불 능력에 따라 몸값을 조정하는 등 공격 이후 수익화 과정에도 AI가 활용되는 것으로 분석됐다.

주목해야 할 8개 조직과 기업의 대응 과제

그룹아이비는 공격 규모와 운영 방식의 혁신성, 전략적 중요성을 기준으로 2026년 주목해야 할 랜섬웨어 조직 8곳으로 Qilin, Akira, Cl0p, SafePay, DragonForce, The Gentlemen, INC Ransom, Vect를 선정했다.

Qilin은 2025년 1,062건, 2026년 1분기 389건의 공격을 기록해 가장 높은 공격량을 보였다. Akira는 2025년 695건, 2026년 1분기 201건의 공격을 기록했으며 피해 기업의 지불 능력을 고려해 몸값을 조정하고 복호화, 데이터 삭제, 보안 보고서, 재공격 방지 등을 협상 대상으로 제시하는 등 기업형 영업에 가까운 방식으로 협상을 고도화하고 있다.

Cl0p는 자체 공격 역량을 중심으로 Cleo MFT, CrushFTP, Oracle E-Business Suite 등의 취약점을 악용해 다수 고객을 한꺼번에 침해하는 공급망 공격을 이어가고 있다. SafePay는 대규모 제휴자 네트워크 없이 소수의 핵심 공격자가 직접 공격을 지휘하면서도 대규모 피해를 만들어내는 모델을 보여준다.

DragonForce는 경쟁 조직의 인프라와 제휴자를 흡수하며 세력을 확대하고 있으며, The Gentlemen은 Qilin에서 독립한 이후 높은 공격량을 기록하는 동시에 ChatGPT, Gemini, Claude 등 AI 도구를 랜섬웨어 개발에 활용한 정황이 확인됐다. INC Ransom은 66개국과 190개 이상의 산업 분야를 공격하며 활동 범위를 넓히고 있다. 2026년 처음 관찰된 Vect는 멀티 플랫폼 RaaS와 공급망 공격, 대규모 제휴자 모집을 결합한 새로운 형태를 보여주고 있다.

그룹아이비는 기업이 랜섬웨어의 암호화 단계만을 탐지하는 방식에서 벗어나 공격 이전 단계부터 대응해야 한다고 강조했다. 특히 사이버 범죄 지하 시장에서 거래되는 기업 접근권을 모니터링하고, MSP와 SaaS 공급업체 등 협력업체까지 공격 표면으로 관리해야 한다고 권고했다.

또한 측면 이동, 자격증명 악용, 데이터 스테이징 등 암호화 이전의 이상 행위를 탐지하고 인터넷에 연결된 Fortinet, VMware ESXi, Veeam, Citrix, SimpleHelp 등의 엣지 장비 취약점을 신속하게 패치해야 한다고 설명했다. 랜섬웨어 공격의 83%가 데이터 유출을 동반하는 만큼 데이터 탈취 단계에서 공격을 차단하는 것이 핵심이라는 분석이다.

랜섬웨어가 기술적 침투를 넘어 심리적 압박과 법적 위협, 사이버 보험 정보까지 활용하는 복합적인 범죄 모델로 진화하고 있다는 점도 기업이 주목해야 할 부분이다. 이에 따라 기업은 기술적 방어체계뿐 아니라 사고 대응과 위기 의사결정 체계를 사전에 마련하고, 공급망과 지하 범죄 시장까지 포함하는 선제적 위협 인텔리전스 체계를 구축해야 할 것으로 보인다.