⊙ 화이트디펜더에서 발행하는 국내외 랜섬웨어 동향 분석 및 뉴스 브리핑 1호
⊙ 2026년 2분기 Qilin, The Gentlemen 등 상위 랜섬웨어 조직 그룹이 전체 공격의 25% 이상 차지
⊙ 2026년 7월 코카콜라(Coca-Cola) 자회사 fairlife의 생산시설 랜섬웨어 공격 피해

국내외 랜섬웨어 동향
2026년 랜섬웨어 위협은 단순히 공격 건수가 늘어나는 단계를 넘어섰다. 공격조직은 탈취 계정, 악성 이메일, 외부 노출 시스템, 협력업체 접근권한을 이용해 기업 내부로 침투하고 있으며, 데이터 유출과 파일 암호화를 결합해 금전을 요구하고 있다.

그렇지만 기업에 가장 직접적인 피해를 주는 단계는 여전히 파일과 시스템의 암호화다. 공격자는 기업 내부에 침투한 뒤 문서, 설계도면, 회계자료, 연구개발 자료, 고객정보, 생산자료와 서버 데이터를 암호화한다. 컴퓨터와 서버가 정상적으로 켜져 있어도 업무에 필요한 파일이 열리지 않으면 기업의 업무는 중단될 수밖에 없다.

2026년에도 랜섬웨어 조직은 PC뿐 아니라 파일서버, Windows Server, Linux Server, NAS, 가상화 서버와 네트워크 공유폴더까지 공격 범위를 확대하고 있다.

최근 자료에서 특히 주목해야 할 변화
· 랜섬웨어 피해 조직과 활동 그룹이 동시에 증가하고 있다.
· 공격은 소수의 대형 RaaS 조직에 집중되고 있다.
· 계정과 이메일이 주요 침투 경로로 부상했다.
· AI가 피싱, 정보수집, 데이터 분석과 협박을 빠르게 만들고 있다.
· 랜섬웨어로 인한 생산·물류·의료·금융 업무 중단 위험이 커지고 있다.

2026년의 랜섬웨어 대응은 악성파일 탐지만으로 설명하기 어렵다. 계정 침해 방어, 파일 암호화 행위 차단, 백업 및 업무 복구가 하나의 대응체계로 운영돼야 한다.

2026년 2분기 Qilin, The Gentlemen 상위 랜섬웨어 조직 그룹이 전체 공격의 25% 이상 차지

글로벌 랜섬웨어 통계

2026년 최근 데이터 유출 사이트 등에 공개된 랜섬웨어 피해 조직은 7,551곳으로, 이전보다 24.9% 증가했다. 피해 공개 속도는 이전 6개월보다 60% 빨라졌으며, 한 달 동안 수백 개의 피해 사례가 공개됐다.

이전에는 127개 랜섬웨어 조직 그룹이 활동했으나 2026년 6월에는 146개까지 증가했으며, 매주 새로운 랜섬웨어 RaaS 조직 그룹이 출현하고 있는 것으로 분석됐다. 다만 새로운 그룹이 다양하게 분산되는 것과는 별개로 실제 피해를 일으키는 조직은 대형 조직에 집중됐다. Qilin이 해당 기간 1,358곳에 피해를 입혀 전년보다 약 450% 증가했으며, 상위 5개 랜섬웨어 조직 그룹이 전체 피해의 43.6%를 차지했다.

2026년 2분기 랜섬웨어(RaaS) 조직 그룹의 공격 동향
2분기 핵심 공격조직은 다음 네 그룹으로 분석된다.
· Qilin
· The Gentlemen
· Akira
· DragonForce

Qilin과 The Gentlemen 두 그룹만으로 2분기 공개 피해의 약 25% 이상을 차지했으며, 상위 그룹의 비중은 약 43.6%에 이른다. 또한 이 기간 동안 새로운 랜섬웨어 조직 그룹이 계속 생겨나고 있다. 이는 랜섬웨어 생태계가 무작위로 분산되는 것이 아니라, 다수의 신생 조직과 소수의 대형 RaaS 조직이 공존하는 형태로 발전하고 있다는 의미다.

최신 글로벌 랜섬웨어 주요 피해 사례
코카콜라(Coca-Cola) 자회사 fairlife의 생산시설

코카콜라(Coca-Cola) 자회사 fairlife의 생산 관련 시스템 일부에서 제3자의 비인가 접근이 발생했으며, 회사는 이를 랜섬웨어 사고로 발표했다. 이로 인해 미국 내 생산시설 가동이 일시 중단됐다.

7월 21일 아누비스(Anubis) 랜섬웨어 조직 그룹은 자신들이 공격했다고 주장하면서 데이터를 암호화하고 탈취했다고 발표했다. 다만 현재까지 해당 데이터의 내용은 파악되거나 검증된 바 없다. 이후 Coca-Cola는 7월 27일 미국 내 4개 생산시설 대부분이 다시 가동됐다고 밝혔지만, 일주일이라는 긴 시간 동안 업무 연속성이 저하되는 피해가 발생했다.

이 사례는 랜섬웨어 공격이 IT 시스템 장애에 그치지 않고, 실제 생산공정 중단으로 연결될 수 있음을 보여준다.

랜섬웨어 동향 요약
랜섬웨어는 파일과 시스템을 암호화하거나 데이터를 탈취해 생산과 업무를 중단시키고 금전을 요구하는 방식으로 이뤄지고 있다. 또한 생성형 AI를 이용해 공격 대상 조사, 피싱, 데이터 분석, 탐지 회피와 협박을 더 빠르고 정교하게 수행하고 있다.

그러나 랜섬웨어의 최종적인 공격 목적은 여전히 분명하다. 기업과 기관의 파일 및 업무 데이터를 사용할 수 없게 만들고, 이를 업무 중단 압박 수단으로 활용해 금전을 요구하는 것이다. 따라서 기업 랜섬웨어 대응의 핵심도 명확하다. 파일 암호화 행위가 시작되는 순간 이를 탐지하고, 암호화를 수행하는 프로세스를 차단하며, 훼손된 파일을 복구하는 것이다.

기존 백신이나 보안제품이 운영되고 있더라도 모든 랜섬웨어 암호화를 차단한다고 단정할 수는 없다. 알려지지 않은 랜섬웨어와 정상 프로그램을 악용한 암호화 공격까지 고려해야 한다.

2026년 랜섬웨어 대응도 여전히 PC와 서버에서 실제 발생하는 파일 암호화 행위를 중심으로 설계되어야 한다.
사전 예방 → 암호화 행위 탐지 → 즉시 차단 → 훼손파일 복원, 이 네 단계가 연결되어야 랜섬웨어로 인한 파일 손상과 업무 중단 피해를 줄일 수 있다.