랜섬웨어 몸값 총 지불액은 2년 연속 정체된 반면, 공격 건수는 증가하고 있다

요약

• 랜섬웨어 공격 건수가 사상 최고치를 기록했다고 주장되었음에도 불구하고, 랜섬웨어 몸값 지불액은 정체세를 보였다. 2025년 온체인 랜섬웨어 몸값 지불 총액은 약 8% 감소한 8억 2천만 달러를 기록했는데, 이는 공격 건수가 50% 증가했음에도 불구하고 나타난 현상이다.
• 몸값 지불액의 중앙값이 크게 증가했습니다. 총 수익은 정체된 반면, 몸값 지불액의 중앙값은 전년 대비 368% 증가하여 6만 달러에 육박했습니다.
• 초기 접근 중개자(IAB)의 활동은 선행 지표 역할을 할 수 있습니다. 온체인 분석에 따르면, IAB 유입량의 급증은 일반적으로 랜섬웨어 지불액 증가 및 피해자 정보 유출보다 약 30일 앞서 발생하는 것으로 나타났습니다.
• 범죄 조직과 국가 연계 세력은 인프라를 공유하고 있다. 인프라 계층이 통합되면서, 금전적 동기를 가진 사이버 범죄자들과 국가 연계 세력들은 탐지를 피하기 위해 동일한 불루프루프 호스팅 제공업체와 주거용 프록시 네트워크를 이용하고 있다.
• 방해 활동은 지원 계층에 집중되었다. 2025년에는 법 집행 기관의 조치와 제재, 그리고 민간 부문의 노력 등이 개별 단체뿐만 아니라 인프라 서비스를 점점 더 표적으로 삼았으며, 이는 생태계 전반에 걸쳐 사용되는 호스팅 및 악성코드 로딩 도구를 무력화하기 위한 것이었다.

The 체이널리시스 2026 가상자산 보고서

지금 다운로드하세요!

오늘날 랜섬웨어는 개별적인 공격이 아니라, 접근 권한, 인프라, 수익화 서비스가 서로 연결된 시장으로 이해하는 것이 가장 적절하다. 2025년에는 주장된 공격 건수가 증가하고 몸값의 중앙값이 상승했음에도 불구하고, 온체인 결제 총액은 비교적 정체된 상태를 유지했다. 동시에, 법 집행 기관의 조직적인 단속과 제재가 ‘불렛프루프 호스팅’ 제공업체를 포함한 인프라 계층을 점점 더 집중적으로 겨냥함에 따라, 사이버 범죄 조직과 국가 연계 행위자 모두의 비용이 증가했다.

2025년, 랜섬웨어 공격자들은 온체인 결제를 통해 8억 2천만 달러 이상을 받았으며, 이는 당사가 갱신한 2024년 추정치인 8억 9,200만 달러 대비 전년 대비(YoY) 8% 감소한 수치입니다. 작년 이맘때 발표했던 초기 추정치 8억 1,300만 달러에서 2024년 총액이 증가한 것과 마찬가지로, 더 많은 사건과 지불 내역을 반영함에 따라 2025년 총액은 9억 달러에 근접하거나 이를 초과할 것으로 보입니다.

총 지불액이 비교적 안정적인 수준을 유지했음에도 불구하고, 2025년에는 다양한 경로를 통해 랜섬웨어 공격이 급증했으며, eCrime.ch의 데이터에 따르면 랜섬웨어 피해자 신고 건수가 전년 대비 50% 증가하여 사상 가장 활발한 한 해를 기록했습니다. 이러한 추세로 인해 올해 지불된 랜섬의 비중은 28%로 사상 최저치를 기록했을 가능성이 있습니다.

이러한 상반된 현상 — 공격 신고 건수는 늘었지만 총 지급액은 줄어든 것 — 은 랜섬웨어 경제를 형성하는 복잡한 요인들을 반영합니다:

• 사고 대응 체계가 개선되고 규제 당국의 감시가 강화됨에 따라 보험금 지급 빈도가 감소했다.
• 랜섬웨어 운영자, 인프라 및 자금세탁 네트워크에 대한 효과적인 국제적 조치가 일부 수익 흐름을 억제했다.
• 어떤 경우에는, 특정 상황에서 무료로 복호화가 가능하게 하는 암호화 취약점으로 주목받은 VolkLocker와 같은 랜섬웨어 변종의 등장이, 방어 측의 기술적 검토가 때로는 랜섬웨어 변종의 활동을 저지할 수 있음을 보여준다.
• 주요 랜섬웨어-어-서비스(RaaS) 운영 조직의 현저한 분열과 랜섬웨어 시장의 중앙집중화 추세 약화로 인해 소규모의 독립적인 랜섬웨어 행위자들이 급증하고 있으며, 일부 분석에 따르면 현재 활동 중인 갈취 그룹이 무려 85개에 달하는 것으로 집계되고 있다.

소수의 지배적인 공격 유형에서 벗어나 더욱 분산되고 변동성이 큰 환경으로의 변화로 인해, 공격의 출처 규명, 대응 및 장기적인 추적의 중요성이 그 어느 때보다 커졌습니다. eCrime.ch의 설립자인 코르신 카미셸(Corsin Camichel)은 “공격 대상에 구조적인 변화가 나타나고 있습니다. 헤드라인을 장식할 만한 대규모 침입 사건은 줄어들고, 중소기업을 겨냥한 공격 건수가 늘어나고 있습니다. 그 이유는 간단합니다. 규모가 작은 피해자는 돈을 더 빨리 지불하기 때문입니다. 하지만, 체이널리시스’의 데이터에 따르면, 공개된 피해 신고 건수가 사상 최고치를 기록했음에도 불구하고 지급액은 감소 추세를 보이고 있습니다. 이러한 상반된 현상은 중요합니다. 이는 공격자들이 점점 줄어드는 수익에 더 많은 노력을 기울이고 있음을 시사합니다.”

이러한 전반적인 추세는 랜섬웨어 생태계에 대한 큰 성과입니다. 피해자들의 지불액이 줄어들면 공격자들은 더 적은 수익으로 더 많은 노력을 기울여야 하므로, 이는 경제적 유인을 전환하는 데 있어 중요한 단계입니다.

몸값 지불액의 중앙값과 변화하는 갈취 수법

2025년에는 총 지급액은 정체된 반면, 지급 건수와 지급 규모는 크게 증가했습니다. 특히, 지급액 중앙값은 2024년 12,738달러에서 2025년 59,556달러로 368% 증가했습니다. 이러한 추세는 특정 분기 동안 지급액 중앙값이 두 배 이상 증가했다는 사고 대응 업체들의 보고 내용과 일치합니다.

파급력이 큰 사건들이 랜섬웨어의 양상을 형성했다

제로데이 공격부터 사회공학 기법에 이르기까지 널리 알려진 여러 트렌드로 인해, 2025년은 랜섬웨어의 전 세계적 규모와 영향력 측면에서 또 한 번의 참담한 해가 되었습니다:

• 2025년 경제에 가장 큰 타격을 입힌 사이버 사건 중 하나는 재규어 랜드로버를 대상으로 한 사이버 공격이었는데, 이 공격으로 여러 국가의 생산 라인이 중단되었고 약 19억 파운드(약 25억 달러)의 경제적 피해가 발생했으며, 이는 영국 역사상 가장 큰 경제적 손실을 초래한 사이버 사건이었다.
• 소매 및 서비스 부문도 랜섬웨어의 영향을 받았다. 영국의 주요 다국적 소매업체인 마크스 앤 스펜서(Marks & Spencer)는 ‘스캐터드 스파이더(Scattered Spider)’ 랜섬웨어 그룹의 공격으로 인해 장기간 운영 중단 사태를 겪었고, 이로 인해 수억 파운드에 달하는 시가총액이 증발했다.
• 의료 서비스 제공업체들은 여전히 수익성이 높은 표적이었습니다. 예를 들어, 신장 투석 전문 기업인 다비타(DaVita Inc.)는 의료 업계에서 가장 심각한 랜섬웨어 침해 사고 중 하나를 겪었는데, 이로 인해 약 270만 건의 환자 기록이 유출되었고, 1.5TB에 달하는 임상 데이터가 손실된 것으로 알려졌습니다.

개별 기업을 넘어, 대규모 악용 사례들은 랜섬웨어의 영향력이 얼마나 광범위한지를 계속해서 보여주고 있다. 예를 들어, Cl0p는 오라클 E-Business Suite의 제로데이 취약점을 악용해 수백 개 조직에 피해를 입힌 대규모 기업 대상 갈취 캠페인을 주도했다.

랜섬웨어 공격자들은 여전히 기회주의적인 성향을 짙게 보이고 있습니다. 이들은 일 년 중 특정 시기에 특정 산업 분야를 일관되게 노리지는 않습니다. 대신, 노출된 서비스나 설정 오류가 발생할 때마다 이를 악용하고, 새로 공개된 취약점을 이용해 공격을 감행합니다.

금융 행태를 통한 균주 식별

2025년 상위 10대 랜섬웨어 변종의 주요 자금 세탁 경로를 파악함으로써, 우리는 각 그룹의 고유한 온체인 시그니처를 바탕으로 이들의 ‘지문’을 분석할 수 있습니다. 이들이 배포하는 악성코드는 코드나 제작자가 동일할 수 있지만, 자금 유출 전략은 각 그룹마다 고유한 운영 방식을 드러냅니다.

이러한 변종 간의 차이 덕분에 수사관들은 공격, 갈취, 협상 방식(TTP)뿐만 아니라 온체인 행동 양상까지 바탕으로 각 그룹을 구분할 수 있습니다. 또한, 고유한 자금 세탁 패턴을 바탕으로 여러 변종을 활용하는 랜섬웨어 공격자들을 추적할 수도 있습니다.

유출 현장의 활동 양상은 지리적 집중 현상을 여실히 보여준다

2025년 한 해 동안의 유출 사이트 공개 내용을 분석한 결과, 선진국에서 여전히 불균형적인 지역적 집중 현상이 지속되고 있는 것으로 나타났다. 유출 사이트가 주장한 랜섬웨어 사건 건수는 전년 대비 50% 증가하여 사상 최고치를 기록했다.

지리적 위치가 명확히 파악되는 국가들 중에서는 미국이 여전히 가장 많은 공격을 받는 지역으로 나타났으며, 그 뒤를 캐나다, 독일, 영국 및 기타 유럽 국가들이 따르고 있습니다. 이들 지역 대부분에서 제조업과 금융·전문 서비스 분야의 침해 사례가 가장 많았으며, 특히 캐나다와 독일의 경우 공급망, 물류 및 핵심 인프라 분야에서 침해 비율이 매우 높은 것으로 나타났습니다.

한 가지 중요한 점은 데이터 유출 사이트에 올라온 모든 주장이 사실인 것은 아니라는 점입니다. 또한, 데이터 유출 사이트에 게시물이 올라왔다고 해서 해당 당사자가 피해를 입었다는 뜻일 수는 있지만, 반드시 대금 미납을 의미하는 것은 아닙니다. 사고 대응 전문 기업 아레테(Arete)는 “올해 여러 그룹이 과거 피해 사례를 재게시하거나 다른 그룹의 데이터 유출 사이트에 올라온 피해 사례를 게시하는 사례가 여러 차례 확인되었으며, 이로 인해 데이터 유출 사이트의 게시 빈도가 왜곡되었습니다. 그러나 백업 체계 개선과 엔드포인트 탐지 및 대응(EDR)과 같은 보안 기술의 도입이 확대되면서, 위협 그룹이 목표를 완전히 달성하기 전에 활동을 저지할 수 있게 됨에 따라 몸값을 지불하는 피해자는 계속해서 줄어들고 있습니다.”라고 전했습니다.

아레테는 일부 위협 그룹이 몸값 지급액의 감소에 대응해 협상 과정에서 더욱 공격적인 태도를 보였으며, 여기에는 피해 조직의 직원이나 심지어 고객에게까지 연락을 취하는 행위도 포함되었다고 설명했다. 다른 그룹들은 데이터 유출에 주력하거나, 유출된 데이터를 분석하여 어떤 정보가 도난당했는지 파악하는 방식으로 대응했다. 위협 행위자들은 유출된 데이터를 분석함으로써 데이터 유출로 인한 결과에 대해 더욱 구체적인 위협을 가할 수 있다.

미국은 전 산업 분야에 걸쳐 심각한 타격을 입었을 뿐만 아니라, 모든 산업 분야에서 전년 대비 공격 대상이 증가한 것으로 나타났습니다. 핵심 인프라, 공급망 및 물류, 정부 부문에서 보고된 피해 건수는 전년 대비 45%에서 56% 사이로 증가했습니다. 즉, 미국은 전 세계에서 가장 많은 공격을 받는 국가이며, 침입 발생률은 2024년에 비해 크게 증가했습니다. 랜섬웨어 공격자들은 여전히 미국에 기반을 둔 조직을 가치가 높고 현금화하기 쉬운 표적으로 간주하고 있습니다.

랜섬웨어 공급망: 초기 접근 중개자(IAB)

랜섬웨어는 단독으로 발생하는 것이 아니라, 초기 접근 중개자(IAB) 및 기타 전문 서비스를 포함한 광범위한 사이버 범죄 공급망의 지원을 받아 운영됩니다. 이름에서 알 수 있듯이, IAB는 해킹당한 네트워크로의 접근을 용이하게 하여 제휴사들이 비교적 손쉽게 랜섬웨어를 배포할 수 있도록 합니다.

이 지원 생태계의 규모는 시간이 지남에 따라 커지고 있습니다. 2025년에 IAB들은 온체인 결제를 통해 최소 1,400만 달러를 수령한 것으로 추정됩니다. 이는 전년 대비 거의 비슷한 수준이지만, 기여도 분석이 개선됨에 따라 이 총액은 증가할 것으로 예상됩니다. 랜섬웨어 총액에 비하면 미미한 수준이지만, 이 수치는 중요한 지원 기능을 나타냅니다. 2025년 랜섬웨어 총 지불액 약 8억 2,000만 달러는 IAB로 유입되는 금액의 거의 58배에 달하며, 이는 사이버 범죄 공급망의 이 부문에서 상당한 투자 수익률이 발생하고 있음을 시사합니다.

모든 IAB 지급금이 랜섬웨어 운영자에 의해 이루어지는 것은 아니라는 점을 유의해야 합니다. IAB들은 분명히 서로 간에 접근 권한을 거래하고 구매하며, 일부 악의적인 행위자들은 랜섬웨어 이외의 전술·기술·절차(TTP)와 목적을 가지고 있습니다. 또 다른 중요한 주의점은 모든 랜섬웨어 사건이 IAB로 거슬러 올라가는 것은 아니라는 점입니다. 피해자 네트워크에 접근하는 방법은 여러 가지가 있기 때문입니다. 이러한 주의점을 염두에 둔다면, 범죄자들의 투자와 그에 뒤따르는 랜섬웨어 공격 사이의 연관성을 파악할 수 있습니다.

상당한 규모의 IAB(이상 수익) 지불 유입 사건(2025년 내 전체 날짜 중 상위 25%에 속하는 날짜)을 기준으로 30일 후를 살펴보면, 유출 사이트 게시물을 통해 측정된 전 세계 랜섬웨어 지불액과 미국 내 피해자 총수 모두에 상당한 영향이 나타나는 것을 확인할 수 있습니다. 아래 차트는 2025년 평균 일과 비교한 누적 비정상 수익률을 나타내며, 전 세계 랜섬웨어 지불액(예상보다 많은 지불액)에서 거의 즉각적이고 상당한 증가세를 보여줍니다. 또한, 약 10일간의 소강 상태 이후, 미국 피해자에 대한 유출 사이트 게시물에서도 유사한 증가세가 나타납니다.

사이버 범죄 방지 기업인 Darkweb IQ는 2023년 1분기부터 2026년 1분기까지 피해자 접근 권한의 평균 가격이 약 1,427달러에서 439달러로 하락했다고 밝혔다. 이러한 하락세는 경쟁 압력이 강화되고 자동화가 핵심 동력으로 작용하는 시장 상황을 반영한다. “우리는 진입 장벽을 낮추는 산업화된 접근 파이프라인, AI 지원 도구, 그리고 정보 탈취 로그의 확산을 목격하고 있으며, 이로 인해 저렴하지만 운영상 제약이 있는 재고가 시장에 넘쳐나 가격을 하락시키고 있습니다. 거래량 증가와 자동화로 인해 평균 가격은 하락했으나, 검증된 고권한 기업 접근 권한(예: 도메인 수준 제어권)은 여전히 프리미엄 가격을 형성하고 있어, 시장이 양극화되어 있으면서도 여전히 경쟁이 치열함을 시사합니다.”

비공개 제공 접속 건수의 전년 동기 대비 증가율

출처: Darkweb IQ

또한 아래의 ‘ Reactor ’ 그래프에서 볼 수 있듯이, 이러한 추세를 온체인 상에서 시각화할 수도 있습니다. 이 예시는 랜섬웨어 변종들이 시간의 흐름에 따라 구매하는 접속 권한의 가격이 어떻게 변동하는지, 그리고 IAB들이 다른 IAB들로부터 접속 권한을 빈번하게 구매하고 있다는 사실을 모두 보여줍니다.

새로운 도구와 프레임워크는 자동화가 가격에 영향을 미칠 뿐만 아니라, 타협과 갈취의 주기를 가속화하는 미래를 예고하고 있다. 예를 들어, 연구원들은 2025년 중반 랜섬웨어 조직들이 AI 기반 협상 인터페이스를 실험하고 있는 사실을 기록했는데, 이는 AI가 활용되는 사기 생태계의 발전 양상을 반영하는 것이다.

인프라는 범죄 조직과 국가와 연계된 위협 행위자 모두에게 활동의 기반을 제공합니다

랜섬웨어 인프라(불루프루프 호스팅, 주거용 프록시 네트워크, 악성코드 로더 등)는 금전적 이익을 추구하는 범죄 조직만이 독점적으로 사용하는 것도 아니며, 오로지 범죄 목적으로만 활용되는 것도 아닙니다. 이러한 서비스 기반 생태계는 첩보 활동, 영향력 행사, 금전적 이익을 목적으로 한 캠페인을 수행하는 국가 연계 위협 행위자들도 지원합니다.

2025년에 유출된 자료에 따르면, 이란 이슬람 혁명수비대(IRGC) 정보국의 첩보 및 영향력 작전 전담 부서로 널리 알려진 ‘Charming Kitten’을 비롯한 이란과 연계된 사이버 위협 행위자들은, 공격의 출처를 은폐하고 범죄 트래픽 패턴에 섞이기 위해 상용 호스팅, 프록시 서비스 및 해킹당한 인프라를 계속해서 이용하고 있다. 접근 및 익명화 서비스의 상품화가 가속화됨에 따라 국가 차원과 비국가 차원의 사이버 작전 간 장벽이 낮아지고 있으며, 이로 인해 첩보 작전이 랜섬웨어 관련 조직과 동일한 기술적 기반 위에서 수행될 수 있게 되었다.

이러한 경계의 모호함은 이란의 활동에만 국한된 것이 아니며, 러시아 및 중국과 연계된 세력들 역시 금융 범죄와 국가 주도의 목표를 모두 지원하기 위해 이러한 인프라 계층을 유사하게 악용하고 있다.

• 2025년, 당국은 사이버 범죄 서비스와 연루된 러시아 기반 방탄 호스팅 제공업체인 ‘야리샨다(Yalishanda)’로도 알려진 미디어 랜드(Media Land, LLC)에 제재를 가했다. 개별 운영자뿐만 아니라 인프라 제공업체를 대상으로 한 이러한 제재는 호스팅 및 라우팅 계층이 랜섬웨어와 국가 지원 공격 모두에 있어 전투력을 배가시키는 요소라는 인식이 점차 확산되고 있음을 반영한다.
• 마이크로소프트가 러시아 중심의 ‘루마 스틸러(Lumma Stealer)’ 생태계를 무력화한 사례는 이러한 융합 현상을 더욱 잘 보여줍니다. 루마는 금전적 목적을 가진 공격 캠페인에서 인증 정보 탈취에 널리 사용되었지만, 그 인프라를 통해 접근 권한 중개 및 후속 랜섬웨어 배포도 가능했습니다. 이러한 도구를 표적으로 삼는 것은 범죄 조직의 수익 창출과 국가 차원의 인증 정보 수집 활동을 모두 억제하는 효과를 가져옵니다.
• 아래에서 더 자세히 다루겠지만, 연구진은 또한 ABCProxy와 360Proxy를 비롯한 여러 주거용 프록시 브랜드를 운영하며 대규모 IP 회전 및 익명화 서비스를 제공하는 중국 프록시 제공업체들의 역할도 강조했습니다. 이러한 네트워크는 사이버 범죄 및 국가 연계 작전 전반에 걸쳐 탐지를 회피하고, 정찰 활동을 수행하며, 침입 활동을 용이하게 하는 데 활용될 수 있습니다.

이 두 영역의 중첩은 상당하다. 인프라 제공업체들은 종종 중립성을 내세우며 비용을 지불하는 모든 고객에게 서비스를 제공하지만, 경우에 따라 아동 성착취물(CSAM)을 금지한다고 주장하기도 한다. 그 결과, 인프라 노드를 해체하거나 제재하면 랜섬웨어 제휴 조직, 사기꾼, 국가와 연계된 운영자 등 전반에 걸쳐 동시에 연쇄적인 영향을 미칠 수 있다.

이러한 융합은 현대 사이버 위협 환경의 핵심적 역학을 더욱 공고히 합니다. 바로 인프라가 전략적 중추라는 점입니다. 인프라를 마비시키면, 갈취를 목적으로 하는 범죄 조직부터 지정학적 동기를 가진 위협 행위자에 이르기까지 생태계 전반에 걸쳐 비용이 증가하게 됩니다.

공공 및 민간 부문, 랜섬웨어의 실행 기반 계층을 무력화하는 데 진전을 보이고 있다

2025년, 랜섬웨어와의 전쟁은 특정 범죄 조직을 표적으로 삼는 단계를 넘어, 광범위한 사이버 범죄 경제를 지탱하는 공유 서비스망을 해체하는 방향으로 전환되었다. “충성심이나 브랜드 명성은 접근 권한, 도구, 협상 능력보다 중요도가 낮습니다. 이는 방어 측과 정책 입안자들에게 ‘움직이는 표적’을 만들어냅니다. 즉, 한 조직을 무력화한다고 해서 더 이상 생태계 전반에 의미 있는 영향을 미칠 수 있다는 보장은 없습니다. 최근의 공동 법 집행 작전이 보여주었듯이, 가장 효과적인 압박 지점은 점점 더 상류 단계, 즉 초기 접근 중개자와 여러 행위자들이 공통으로 의존하는 공유 도구로 이동하고 있는 것으로 보입니다,”라고 카미셸은 말합니다.

2025년 5월, 국제 당국은 유로폴(Europol), FBI, 독일 연방범죄수사국(BKA), 영국 국가범죄청(NCA) 및 기타 파트너 기관들이 참여하는 공동 작전인 ‘오퍼레이션 엔드게임(Operation Endgame)’을 확대하여, 여러 범죄 조직이 사용하는 핵심 악성코드 로더와 랜섬웨어 인프라를 표적으로 삼았습니다. 이번 작전을 통해 서버가 압수되고 용의자들이 체포되었으며, 일부 랜섬웨어 캠페인의 진입점 역할을 하던 주요 악성코드 계열 여러 개가 무력화되었습니다. 이러한 유형의 조치는 조율된 초국경적 차단 활동이 랜섬웨어 수익 창출 경로를 실질적으로 약화시킬 뿐만 아니라, 운영상의 마찰을 증가시키고 범죄 주체들이 신뢰할 수 있는 도구, 호스팅 및 자금 세탁 관계를 재구축하도록 강요할 수 있음을 보여줍니다.

악성코드 유포 시스템 외에도 당국은 이러한 활동을 뒷받침하는 호스팅 환경에 대한 압박도 강화했습니다. 지속적인 제재와 기소는 ‘불가침 호스팅(BPH)’ 제공업체와 자금 세탁 서비스를 점차 약화시켰으며, 이러한 인프라 구성 요소 자체가 방해의 표적이 되었고, 갈취를 통해 수익을 창출하려는 사이버 범죄자들에게 점점 더 큰 위험 요소가 되고 있음을 여실히 보여주었습니다. 예를 들어, 대규모 악용 사례와 연루된 BPH 제공업체인 AEZA Group에 대해 지난 7월 OFAC이 부과한 제재는, 랜섬웨어 및 관련 공격을 용이하게 하는 보호된 인프라를 통해 가상자산 결제가 여전히 이루어지고 있음을 보여주었다. 마찬가지로, 2월에 LockBit 및 기타 랜섬웨어 행위자들과 연관된 제공업체인 Zservers에 대한 제재는, 인프라 제공업체들이 랜섬웨어 수익 창출에 얼마나 깊이 관여하고 있는지를 여실히 드러냈다.

제재 및 인프라 압수와 더불어, 2025년에는 민간 부문도 랜섬웨어와 관련 사이버 범죄 활동을 뒷받침하는 대규모 프록시 서비스에 상당한 차질을 초래했습니다. 주목할 만한 사례 중 하나는 중국에 기반을 둔 주거용 프록시 서비스인 IPIDEA로, 이 서비스는 매주 수백만 개의 프록시 엔드포인트를 대여할 수 있다고 광고했습니다. 구글은 해당 서비스 차단과 관련된 블로그 게시물을 통해, 이 서비스가 Aisuru 및 Kimwolf를 비롯한 봇넷 활동을 어떻게 지원했는지, 그리고 재정적 동기를 가진 캠페인은 물론 간첩 활동 및 정보 작전에 관여하는 위협 행위자들이 이 인프라를 어떻게 활용했는지를 상세히 설명했다. 구글의 분석에 따르면, 아래에 제시된 여러 주거용 프록시 브랜드가 IPIDEA 배후의 동일한 행위자들에 의해 통제되고 있는 것으로 밝혀졌으며, 이는 비교적 소수의 운영자가 위협 환경 전반에 걸쳐 광범위한 불법 고객들에게 서비스를 제공할 수 있음을 다시 한번 입증했다.

온체인 데이터는 이러한 서비스들의 재정적 상호연계성을 드러냄으로써 이 기술적 분석을 보완합니다. 당사의 분석 결과, 거래소에서 공동으로 사용되는 통합 지갑과 입금 주소가 확인되었으며, 이는 소유권이 중복되고 자금 흐름이 조율되고 있음을 시사합니다. 또한, 이 네트워크와 연결된 지갑들이 잘 알려진 사이버 범죄 포럼에 자금을 입금하는 것을 관찰했으며, 이 클러스터와 관련된 여러 대리 브랜드들이 다수의 다크넷 마켓에서 광고를 게재하며 익명성 및 악용 서비스를 노골적으로 홍보하고 있는 것으로 나타났습니다.

궁극적으로 이러한 인프라 중심 접근 방식은 공격자들의 경제적 계산법을 바꿀 수 있다. 이러한 차질이 공격 건수의 급격한 감소로 이어지지는 않았지만, 정부와 민간 부문 모두로부터 조직적인 압박을 받고 있는 위협 행위자들에게 운영 비용을 부과하고 활동의 장벽을 높였다.

매출은 감소했으나 피해는 확대되었다

2025년의 랜섬웨어 현황은 단순히 수익 수치만으로는 설명할 수 없다. 몸값 지불액은 소폭 감소했지만, 공격의 규모와 정교함, 그리고 전략적 영향력은 계속해서 확대되었다. 글로벌 자동차 제조업체부터 지역 의료 시스템에 이르기까지 규모에 상관없이 모든 조직은 운영을 마비시키고 신뢰를 훼손하며, 온체인 랜섬 총액을 훨씬 초과하는 체계적인 비용을 초래한 갈취에 직면했다.

이러한 맥락에서, 2025년의 랜섬웨어 현황은 ‘후퇴’라기보다는 ‘적응’으로 가장 잘 설명될 수 있습니다. 갈취 수법은 계속해서 진화하고 있으며, 이를 통해 공격자들은 기존의 금전적 요구를 넘어 더 큰 이익을 챙기고 더 큰 피해를 입힐 수 있게 되었습니다. 이는 방어 담당자와 정책 입안자 모두에게 현대 랜섬웨어 시대의 핵심적인 진실을 다시금 일깨워 줍니다. 즉, 효과적인 대응을 위해서는 이러한 다면적인 위협이 초래하는 총체적인 피해를 최소화하기 위해 견고한 방어 체계와 전략적 회복탄력성이 모두 필요하다는 것입니다.

The 체이널리시스 2026 가상자산 보고서

지금 다운로드하세요!

이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다. 

본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.

체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.