고정 헤더 영역
상세 컨텐츠
본문
안녕하세요! 이스트시큐리티 시큐리티대응센터(ESRC)입니다.
이 보고서는 2026년 2분기(4~6월) 랜섬웨어 동향 보고서로, 자사 백신 프로그램 '알약'의 랜섬웨어 행위기반 차단 통계와 함께 국내외 주요 랜섬웨어 그룹의 활동 동향을 정리하였습니다.
1주요 랜섬웨어 동향
ESRC에서 선정한 2026년 2분기 주요 랜섬웨어 동향입니다.
1분기가 국내 피해 급증과 의료 인프라를 겨냥한 파괴형(와이퍼) 공격이 중심이었다면,
2분기는 공격 그룹의 다변화와 공격 기법(TTP)의 고도화, 경계장비 제로데이 악용, 자가 증식 웜, EDR 킬러(BYOVD), 그리고 ‘암호화 없는’ 데이터 탈취형 갈취로 무게추가 옮겨간 분기였습니다.
국내 의료·제조 집중 피해와 신흥 그룹의 한국 진입
2분기 확인된 국내 피해는 총 12건으로, 산업별로는 의료가 3건으로 최다였고 기술 2건이 그 뒤를 이었습니다. 의료·제약·의료기기 분야가 반복적으로 표적이 되었으며, 이는 민감정보 탈취를 통한 갈취 성공률을 노린 의도적 타깃팅으로 분석됩니다.
주목할 점은 국내 피해가 Qilin·DragonForce 같은 대형 그룹뿐 아니라 Black X, CoinbaseCartel, Titan, Nova, Gunra 등 신흥·중소 그룹으로 다변화되고 있다는 것입니다. 한편 LockBit은 국제 공조(Operation Cronos) 이후 'LockBit 5.0'으로 부활해 Windows·Linux·VMware ESXi를 아우르는 크로스플랫폼 공격 역량을 과시하며(2분기 107건), 6월 중 다국가 대량 게시 정황을 보였습니다.
국내에서도 가상화 서버 보안에 대한 주의가 필요합니다.
Qilin, 3분기 연속 압도적 1위 — 경계장비 제로데이 악용과 국내 피해 확대
2026년 2분기에도 가장 활발한 활동을 보인 그룹은 단연 Qilin입니다. 분기 동안 334건의 피해를 양산하며 2위 TheGentlemen(262건)과 뚜렷한 격차로 1위를 유지했고, 국내에서도 기술·제조 분야를 중심으로 3건의 피해가 확인되었습니다.
특히 이번 분기 Qilin 제휴조직(affiliate)은 Check Point VPN 제로데이 취약점(CVE-2026-50751)을 초기 침투 경로로 악용한 정황이 확인되었습니다. 이 취약점은 CVSS 9.3의 인증 우회 결함으로, 5월 7일부터 패치 이전까지 약 한 달간 실제 공격에 악용되었으며 미국 CISA는 이를 긴급 조치 대상(KEV)으로 등재했습니다. 노출된 경계장비(VPN)가 랜섬웨어의 관문이 되는 전형적 패턴으로, 국내 기업 역시 동일한 위협에 노출되어 있습니다.
TheGentlemen의 기록적 급성장 — 자가 증식 웜·EDR 킬러(GentleKiller)와 방산 표적화
신흥 그룹 TheGentlemen이 2분기 262건으로 단숨에 2위에 올랐습니다. Microsoft가 'Storm-2697'로 추적하는 이 조직은 2025년 중반 등장해 역대 어떤 랜섬웨어보다 빠른 확장 속도를 보이며, 70여 개국에서 400건 이상의 피해를 주장하고 있습니다.
이 그룹의 암호화 모듈은 Go 언어로 개발되었으며, Garble을 이용해 난독화되었습니다. '--spread' 옵션 사용 시 네트워크 내 도달 가능한 모든 시스템으로 스스로 전파되는 자가 증식(웜) 기능을 갖춘 것이 특징입니다.
여기에 더해 2026년 6월 ESET는 이 그룹이 전용 EDR 킬러 프레임워크 ‘GentleKiller’8종 이상의 서명된 취약 드라이버(BYOVD)로 약 400개 보안 프로세스를 무력화를 제휴조직에 표준 도구로 제공한다고 공개했습니다. 침투(제로데이)·전파(웜)·방어 무력화(EDR 킬러)를 모두 내재화한 셈입니다.
6월 말에는 독일의 방산·잠수함 제조사 Thyssenkrupp Marine Systems(TKMS) 침해를 주장했는데(해당 기업은 데이터 유출은 없었다고 반박), 제조·방산 등 전략 산업으로 표적을 넓히는 흐름은 국내 관련 산업에도 시사하는 바가 큽니다.
DragonForce의 카르텔화와 공격 기법(TTP) 고도화
DragonForce는 2분기 238건으로 3위를 기록하며, 다른 조직·해커를 흡수·제휴하는 '카르텔' 모델로 몸집을 키웠습니다. 국내에서도 6월 말 제조 분야 기업 1곳을 유출 사이트에 게시하며 침해 흔적을 남겼습니다.
기법 측면에서 특히 주목할 것은 6월 공개된 Microsoft Teams 릴레이(TURN) 인프라를 악용해 C2(명령·제어) 트래픽을 은닉하는 'Backdoor.Turn' 사례입니다.
정상 Teams 서비스 안에 악성 통신을 숨겨 탐지를 회피하는 방식으로, 보안 솔루션이 신뢰하는 정상 서비스를 우회 통로로 삼는 공격이 정교해지고 있음을 보여줍니다. (해당 분석 사례의 피해 기업은 해외 기업으로, 국내 피해와는 별개입니다.)
‘암호화 없는’ 데이터 탈취형 갈취의 주류화 + EDR 무력화(BYOVD)
2026년 2분기 랜섬웨어의 두드러진 구조적 변화는 암호화를 생략하고 데이터 탈취·유출 협박만으로 갈취하는 방식의 확산입니다. 특히 5월에는 파일 암호화 없이 데이터 탈취만으로 갈취하는 신흥 그룹 CoinbaseCartel이 국내 초음파 의료기기 기업을 침해하며, 이 방식이 국내에서도 현실화됐습니다.
이는 이미 2024년 이후 뚜렷한 추세로한 침해대응 통계에서는 데이터 탈취 전용 갈취가 2024년 11월 대비 2025년 11월까지 약 11배(전체 사고의 2%→22%)로 늘었습니다. 파일이 암호화되지 않아 즉각적인 시스템 경보가 울리지 않는 만큼 백업 중심 대응만으로는 방어가 불가능합니다.
또 다른 축은 보안 솔루션 자체를 강제 무력화하는 기법의 표준화입니다. 다수 상위권 그룹이 서명된 취약 드라이버를 악용(BYOVD)해 EDR·백신을 종료시킨 뒤 공격을 수행하는데, 앞서 언급한 TheGentlemen의 전용 EDR 킬러 ‘GentleKiller’(2026년 6월 ESET 공개, 400여 개 보안 프로세스 무력화)가 그 대표적 사례입니다. 이처럼 탐지 회피를 넘어 방어체계를 사전에 파괴하는 방식이 확산되며, 시그니처 기반 방어의 한계가 뚜렷해지고 있습니다.
2랜섬웨어 그룹 동향
2분기 피해 규모 및 월별 추이
2026년 2분기 전 세계에서 확인된 랜섬웨어 피해는 총 2,666건으로, 5월에 1,014건으로 정점을 찍은 뒤 6월에는 774건으로 감소했습니다.
국내 피해는 총 12건으로, 특히 6월(7건)에 집중되는 양상을 보였습니다.
월별 피해 추이
| 월 | 글로벌 피해 | 국내 피해 |
|---|---|---|
| 4월 | 878건 | 2건 |
| 5월 | 1,014건 | 3건 |
| 6월 | 774건 | 7건 |
| Q2 합계 | 2,666건 | 12건 |
단위: 건 | 2026년 4~6월(Q2)
한편 이러한 2분기 실적을 전분기(1분기)와 비교하면 아래와 같습니다. 전체 피해 규모는 소폭 늘어난 가운데, 무엇보다 공격에 가담한 그룹 수가 크게 늘며 위협 지형이 다변화된 점이 두드러집니다.
1분기 대비 주요 지표 변화
| 지표 | 1분기 | 2분기 | 변화 |
|---|---|---|---|
| 글로벌 총 피해 | 2,539건 | 2,666건 | ▲ 약 5% 증가 |
| 분기 최다 그룹 | Qilin | Qilin | 3분기 연속 1위 |
| 활동 그룹 수 | 73개 | 89개 | ▲ 그룹 다변화 |
| 상위 10개 그룹 집중도 | 59% | 54% | ▼ 소폭 분산 |
| 국내 피해 | 17건 | 12건 | ▼ 감소 |
전분기 대비 비교 | 1분기 수치는 2026 Q1 보고서 기준
랜섬웨어 그룹별 공격 현황 (2026 Q2)
Qilin이 334건(전체의 약 12.5%)으로 2분기에도 최다 공격 그룹에 올랐으며, 2위 TheGentlemen(262건)·3위 DragonForce(238건)가 그 뒤를 이었습니다. 상위 10개 그룹이 전체 피해의 약 54%(1,451건)를 차지해, 소수 핵심 그룹에 의한 공격 집중 현상이 이어지고 있습니다.
이번 분기에는 전 세계에서 총 89개 그룹이 활동했으며, Akira·LockBit5·IncRansom 등 중견 그룹도 100건 이상을 기록하며 세력을 유지했습니다.
랜섬웨어 그룹별 피해건수 Top 10
단위: 건 | 2026년 4~6월(Q2) 집계
피해 국가 Top 10
산업군별 피해건수 Top 10
국내 기업 피해 현황 (2026 Q2)
2026년 2분기 국내에서 확인된 랜섬웨어 피해는 총 12건으로, 월별로는 6월(7건)에 집중되는 양상을 보였습니다. 공격 그룹별로는 글로벌 1위 Qilin과 신흥 그룹 Black X가 각 3건으로 가장 많았고, 이어 DragonForce·CoinbaseCartel·Nova·Gunra·Titan·AuditTeam 등 다양한 그룹이 국내를 표적으로 삼았습니다. 대형 RaaS뿐 아니라 신흥·중소 그룹까지 공격 주체가 다변화되고 있다는 점이 이번 분기 국내 피해의 두드러진 특징입니다.
산업별로는 의료 분야가 3건으로 가장 많았고 기술 2건이 뒤를 이었으며, 제조·비즈니스서비스·물류·교육 등으로 피해가 고르게 분포했습니다. 특히 환자·개인정보 등 민감정보를 다루는 의료·제약·의료기기 분야가 반복적으로 표적이 된 점은, 데이터 유출을 협상의 지렛대로 삼는 최근 갈취 방식과 맞물려 각별한 주의가 요구됩니다.
국내 피해 공격 그룹별 건수
단위: 건 | 2026년 4~6월(Q2) 국내 피해 집계
국내 피해 산업군별 건수
단위: 건 | 2026년 4~6월(Q2) 국내 피해 집계
해외 주요 피해 동향
글로벌 산업군 피해는 비즈니스서비스(429건)·제조(287건)·IT/기술(198건)이 상위를 차지했고, 의료(189건)도 4위로 여전히 높은 비중을 보였습니다. 국가별로는 미국(785건)이 전체의 약 30%를 차지하며 부동의 1위를 유지했고, 독일·영국이 뒤를 이었습니다. 개별 사건으로는 TheGentlemen의 TKMS(방산) 침해 주장(기업 측은 데이터 유출 부인), 제약·의료기기 기업(독일 Primed, 미국 Hologic 등) 피해, DragonForce·LockBit5의 다국가 게시 등이 확인되었습니다.
| 피해 기관 | 공격 그룹 | 피해 내용(게시 주장 및 기업 대응) |
|---|---|---|
| Swagelok 산업용 유체시스템 / 미국·일본 |
Akira | 미국 본사 대상 약 90GB 데이터 탈취 주장(4/1). 앞서 일본 법인은 랜섬웨어로 운영이 일시 중단됐다 약 1주 후 재개한 사실 확인 |
| Hologic 여성건강 의료기기 / 미국 |
Redact | 유방촬영·여성건강 관련 데이터 등 약 5.4TB 탈취 주장(6/28) |
| Thyssenkrupp Marine Systems 방산·잠수함 / 독일 |
TheGentlemen | 침해 주장(6/28) 기업 측은 "두 사업부가 표적이 됐으나 데이터 유출은 없었다"고 반박 |
| Nissan 자동차 / 일본 |
Everest | 북미 딜러망 데이터 약 900GB 탈취 주장(4/1 재게시) 닛산은 자사 시스템 침해를 부인, 협력사(벤더) 경유 사고로 규정 |
3알약 랜섬웨어 행위기반 차단 통계
2026년 2분기 자사 백신 프로그램 '알약'에 탑재되어 있는 '랜섬웨어 행위기반 사전 차단' 기능을 통해 총 43,747건의 랜섬웨어 공격을 차단했으며, 이를 일간 기준으로 환산하면 일 평균 약 481건의 랜섬웨어 공격을 차단한 것으로 볼 수 있습니다. 월별로는 5월(15,214건, 전월 대비 약 12.5% 증가)에 정점을 찍은 뒤 6월(15,008건)에는 소폭 감소했습니다.
이번 통계는 개인 사용자를 대상으로 무료 제공하는 공개용 알약 백신 프로그램의 '랜섬웨어 행위기반 사전 차단 기능'을 통해 차단된 공격만을 집계한 결과입니다.
| 월 | 차단 건수 | 전월 대비 |
|---|---|---|
| 4월 | 13,525건 | ▼ 50.6% |
| 5월 | 15,214건 | ▲ 12.5% |
| 6월 | 15,008건 | ▼ 1.4% |
42026년 2분기 랜섬웨어 대응 권고사항
- 경계장비(VPN)·서버 제로데이 신속 패치: Check Point VPN(CVE-2026-50751) 등 원격 접속 장비 취약점을 즉시 패치하고, 인증을 IKEv2·인증서 필수로 강화합니다.
- 데이터 탈취형 갈취 대비: 백업만으로는 부족합니다. 데이터 유출 방지(DLP), 중요 데이터 접근 통제, 대량 반출 이상행위 탐지를 강화합니다.
- 취약 드라이버(BYOVD) 관리: EDR 무력화에 악용되는 서명된 취약 드라이버를 모니터링하고, Microsoft 취약 드라이버 차단 목록(WDAC)을 최신 상태로 유지합니다.
- 정상 서비스 악용 통신 탐지: Microsoft Teams 릴레이 등 신뢰된 서비스에 은닉되는 C2 트래픽에 대비해 네트워크 이상 통신 탐지 정책을 점검합니다.
- 공급망(MSP) 보안 점검: 관리형 서비스 제공업체 경유 침해에 대비해 협력사 접근 권한을 최소화하고 상시 모니터링합니다.
- 의료/OT 환경 네트워크 분리 및 가상화 보안: 의료기기·산업제어 시스템을 업무망과 분리하고, LockBit 5.0 등 크로스플랫폼 공격에 대비해 VMware ESXi 등 가상화 인프라 접근을 통제합니다.
- EDR/행위 기반 탐지 운영: 시그니처 기반을 넘어 행위 기반 탐지 솔루션을 운영하고 실시간 모니터링 체계를 유지합니다.
'전문가 기고' 카테고리의 다른 글
| 2026년 1분기 랜섬웨어 동향보고서 (0) | 2026.05.08 |
|---|---|
| 2025년 4분기 알약 랜섬웨어 행위기반 차단 건수 총 59,162건! (0) | 2026.01.15 |
| 2025년 보안 위협 회고 및 2026년 보안 위협 전망 (0) | 2025.12.22 |
| 2025년 3분기 알약 랜섬웨어 행위기반 차단 건수 총 58,466건! (0) | 2025.10.20 |
| 2025년 2분기 알약 랜섬웨어 행위기반 차단 건수 총 58,575건! (3) | 2025.08.05 |
댓글 영역