비즈니스가 해킹당했다는 사실을 발견한 후 첫 한 시간 동안 무엇을 해야 하는가?

첫 한 시간 동안은 침착함을 유지하고 신중하게 행동하십시오. 영향을 받은 장치를 네트워크에서 격리하고(전원을 끄지는 마십시오), 증거를 보존하며, 깨끗한 장치에서 중요한 비밀번호를 변경하고, 사고 대응(incident-response) 담당자 및 경영진에게 알리고, 서면 타임라인을 작성하기 시작하십시오. 전문가의 도움을 받기 전에는 랜섬(ransom)을 지불하거나 아무것도 삭제하지 마십시오.

이메일은 정상적으로 보였습니다. 그러다 송금 확인서가 돌아왔는데, 귀하에게 송장을 보낸 적이 없는 업체로 되어 있었습니다. 회계 로그인에 실패합니다. 공유 드라이브의 파일 이름이 _DECRYPT_ME.txt_로 바뀌어 있습니다. 가슴이 철렁 내려앉습니다. 이 순간이 침해 사고(breach)로 인한 비용이 얼마나 발생할지를 결정합니다. 향후 60일 동안 할 거의 모든 일보다, 다음 60분 동안 무엇을 하느냐가 더 중요합니다.

위험은 실재합니다. IBM의 _Cost of a Data Breach Report 2024_에 따르면 전 세계 평균 침해 사고 비용은 488만 달러로, 역대 최고치를 기록했으며 전년 대비 10% 증가했습니다. 또한 FBI의 IC3 _2023 Internet Crime Report_는 단일 연도에 보고된 손실액이 125억 달러 이상이라고 기록했습니다. 중소기업도 예외는 아닙니다. 공격자들은 대응 계획이 마련되어 있지 않을 것이라고 예상하기 때문에 정확히 중소기업을 목표로 삼습니다. 여기 그 계획이 있습니다.

침해를 발견한 직후 몇 분 동안 무엇을 해야 합니까?

멈추고 숨을 고르십시오. 공황 상태는 증거 삭제와 공격자에게 낌새를 채게 만드는 두 가지 최악의 실수를 유발합니다. 그다음 목록을 수행하십시오:

서면 타임라인을 작성하십시오. 인지한 정확한 시간, 목격한 내용, 그리고 그 이후에 취한 모든 조치를 기록하십시오. 이는 보험사, 법 집행 기관 및 대응자들을 위한 단일 진실 공급원(single source of truth)이 됩니다.
즉시 한 명의 의사 결정권자에게 알리십시오. 침해 사고에는 책임자가 필요합니다. 아직 회사 전체가 아닌, 비즈니스 소유자나 지정된 사고 리드(incident lead)에게 알리십시오.
공격자가 지켜보고 있다고 가정하십시오. 침해된 이메일이나 채팅 시스템을 통해 사고에 대해 논의하지 마십시오. 전화나 개인 장치로 전환하십시오.

핵심 요약: 첫 번째 움직임은 영웅적인 행동이 아니라 정보 통제입니다.

증거를 파괴하지 않고 어떻게 공격을 차단(contain)할 수 있습니까?

봉쇄(Containment)와 증거 보존(evidence preservation)은 서로 상충하는 방향으로 작용하므로, 정밀하게 행동해야 합니다.

전원을 끄지 말고 연결을 끊으세요 (Disconnect, don't power down). 영향을 받은 기기의 네트워크 케이블을 뽑거나 Wi-Fi를 비활성화하세요. 전원을 끄면 공격자가 어떻게 침입했는지 조사관에게 알려주는 메모리 기반의 포렌식 증거(forensic evidence)가 삭제될 수 있습니다.
재이미징(reimage)하지 말고 격리하세요. "그냥 다 밀어버리고 새로 시작하자"라는 충동을 억제하세요. 그렇게 하면 증거 흔적이 파괴되며, 공격자의 백도어(backdoor)가 다른 시스템에 그대로 남아 있는 경우가 많습니다.
깨끗한 기기에서 중요한 비밀번호를 변경하세요. 이메일, 뱅킹, 관리자(admin) 및 원격 접속(remote-access) 계정 등을 변경하고, 아직 설정되지 않은 모든 곳에 다요소 인증 (MFA)을 활성화하세요.
랜섬노트(ransom note)나 피싱 이메일을 보존하세요. 스크린샷을 찍어두세요. 삭제하지 마세요.

**NIST 컴퓨터 보안 사고 처리 가이드 (SP 800-61)**가 대응을 _탐지(Detection) → 봉쇄(Containment) → 제거(Eradication) → 복구(Recovery)_의 사이클로 정의하는 이유는 바로 이 때문입니다. 범위를 파악하기 전에 성급하게 제거(eradicate)하려고 달려드는 것은 대개 무언가를 놓치게 된다는 것을 의미합니다.

"첫 한 시간 동안의 목표는 침해 사고를 해결하는 것이 아니라, 증거를 태워버리지 않으면서 출혈을 막는 것입니다."라고 RoboZilla의 RedCore 사고 대응(incident-response) 팀은 말합니다. "가장 빠르게 회복하는 기업은 혼자서 조용히 해결하려고 노력하는 대신, 격리하고 기록하며 도움을 요청한 기업들입니다."

누구에게, 어떤 순서로 전화해야 합니까?

첫 한 시간 이내에 다음 전화들을 수행하세요:

침해 사고 대응 제공업체 (Incident-response provider) (Robozilla의 RedCore와 같은 업체). 이들은 더 많은 시스템이 무너지기 전에 피해 범위를 분류 (Triage)하고 활발한 확산을 차단합니다.
사이버 보험사 (Cyber-insurance carrier). 대부분의 보험 정책은 즉각적인 통지를 요구하며 24시간 핫라인을 운영합니다. 보험사의 프로세스 밖에서 행동하면 보장이 무효화될 수 있습니다.
은행 (Bank). 금융 시스템이나 송금이 침해되었다면 즉시 연락하십시오. 빠른 사기 보고가 자금을 회수할 수 있는 유일한 방법인 경우가 많습니다.
법 집행 기관 (Law enforcement) — FBI의 IC3 (ic3.gov)에 신고하고, 미국 기업들에게 무료 침해 사고 가이드를 제공하는 CISA에 연락하십시오.
법률 고문 (Legal counsel). 주(State) 및 산업별로 상이한 침해 통지 의무 (Breach-notification obligations)에 대해 조언을 제공합니다.

핵심 요약 (Takeaway): 첫 한 시간 안에 모든 정답을 알 필요는 없습니다. 적절한 사람들이 움직이게 하는 것이 중요합니다.

첫 한 시간 동안 절대 하지 말아야 할 행동은 무엇입니까?

충동적으로 랜섬을 지불하지 마십시오. FBI는 지불하지 말 것을 권고합니다. 지불은 향후 공격의 자금이 되며, 깨끗한 복구를 보장하는 경우도 드뭅니다.
파일, 로그 또는 계정을 삭제하지 마십시오. 발생한 사건의 지도를 지워버리는 행위입니다.
아직 전 직원에게 이메일을 보내지 마십시오. 사실 관계를 파악하기 전에 성급하게 보내는 "해킹당했습니다"라는 메시지는 공황, 정보 유출, 그리고 법적 노출을 초래할 수 있습니다.
"수정된" 기기를 네트워크에 다시 연결하지 마십시오. 놓친 단 하나의 거점(Foothold)으로 인한 재감염은 이튿날 발생하는 가장 흔한 재난 중 하나입니다.

침해 사고가 실제로 얼마나 심각한지 어떻게 알 수 있습니까?

한 시간 안에 모든 것을 알 수는 없으며, 이는 정상적인 상황입니다. IBM의 조사에 따르면 2024년 평균 침해 사고의 식별 및 격리(Identify and contain)까지 걸린 시간은 258일이었습니다. 첫 한 시간 동안 당신의 임무는 사건을 종결짓는 것이 아니라, _폭발 반경 (Blast radius)_을 파악하는 것입니다. 어떤 시스템이 영향을 받았는가? 고객 또는 직원의 데이터에 접근했는가? 백업이 온전하며 오프라인 상태인가? 확인된 사실과 의심되는 사항을 구분하여 기록하고, 이를 대응팀(Responders)에게 전달하십시오.

인적 요소(human element)가 보통 침입의 통로가 됩니다. Verizon의 **2024 데이터 침해 조사 보고서 (2024 Data Breach Investigations Report)**에 따르면, 침해 사례의 68%가 비악의적인 인적 요소 — 링크 클릭, 재사용된 비밀번호, 설득력 있는 가짜 정보 등 — 와 관련이 있는 것으로 나타났습니다. 이는 동시에 가장 희망적인 소식이기도 합니다. 대부분의 침해는 다음 시도가 발생하기 _전_에 적절한 모니터링과 직원 교육이 갖춰져 있다면 예방할 수 있기 때문입니다.

FAQ

컴퓨터를 즉시 꺼야 하나요?
아니요. 대신 네트워크에서 연결을 끊으십시오. 완전히 전원을 끄면 포렌식(forensic) 팀이 공격 경로를 추적하는 데 필요한 메모리 기반 증거가 삭제될 수 있습니다.

데이터를 빨리 되찾기 위해 랜섬(ransom)을 지불해야 할까요?
FBI는 지불하지 말 것을 권고합니다. 이는 범죄 활동의 자금이 되며, 데이터 복구를 보장하지도 않습니다. 먼저 보험사와 사고 대응(incident-response) 제공업체에 연락하십시오.

고객들에게 즉시 알려야 하나요?
알려야 하지만, 법률 자문(legal counsel)의 일정에 따라 진행하십시오. 통지 규칙은 주(state)와 산업군마다 다르며, 서두르거나 부정확한 공개는 새로운 법적 책임(liability)을 초래할 수 있습니다.

우리 사업체는 너무 작아서 실제 표적이 되지 않을까요?
아니요. 공격자들은 방어 체계가 취약하고 대응 계획이 없을 것이라고 예상하기 때문에 중소기업을 선호합니다. 규모는 보호막이 되어주지 않습니다.

첫 한 시간 동안 가장 가치 있는 단 하나의 행동은 무엇인가요?
영향을 받은 시스템을 격리하고 서면으로 타임라인(timeline)을 작성하기 시작하는 것입니다. 격리(Containment)와 문서화(documentation)는 이후 이어지는 모든 복구, 보험 및 법적 단계의 토대가 됩니다.

RoboZilla 소개 — RoboZilla는 중소기업이 RedCore 사이버 보안 및 사고 대응, 비즈니스 자동화, AI 리드 생성(lead generation)을 통해 방어하고, 자동화하며, 성장할 수 있도록 돕습니다. 침해를 당했거나, 당하기 전에 계획을 세우고 싶다면 RoboZilla의 RedCore 팀에 (877) 692-8992로 전화하거나 **https://robozilla.ai**를 방문하십시오.

RoboZilla — 중소기업을 위한 사이버 보안 (RedCore), 비즈니스 자동화 및 AI 리드 생성. https://robozilla.ai · (877) 692-8992