랜섬웨어 판도 재편…Qilin, LockBit 3대장 부상

2026년 1분기, 랜섬웨어 생태계에 지각 변동이 감지되었습니다.

과거 분산되었던 양상이 점차 핵심 그룹 중심으로 재편되는 추세입니다.

Check Point 연구진의 보고에 따르면, 상위 10개 랜섬웨어 그룹이 전체 피해자의 71%를 차지하며 이는 2025년 3분기의 57% 대비 확연히 증가한 수치입니다.

이러한 변화는 랜섬웨어 공격의 집중화 현상을 명확히 보여줍니다.

랜섬웨어 공격, 여전히 높은 수준 유지

전반적인 성장세가 안정화되는 듯 보이지만, 랜섬웨어 공격의 총량은 여전히 역사적으로 높은 수준을 유지하고 있습니다.

2026년 1분기에 데이터 유출 사이트(DLS)에 공개된 피해자 수는 총 2,122명으로, 이는 역대 두 번째로 높은 1분기 기록입니다.

월별 피해자 수는 1월 732명, 2월 684명, 3월 706명으로 안정적인 패턴을 보이며, 이는 랜섬웨어 공격 그룹들이 체계적인 운영 패턴을 유지하고 있음을 시사합니다.

작년 동기 대비 7.1% 감소한 수치이지만, 이는 2025년 1분기의 Cl0p 랜섬웨어의 대규모 공격 캠페인으로 인한 일시적 급증을 제외하면 실질적으로 5.3% 증가한 수치로 해석될 수 있습니다.

즉, 일시적인 최대치 감소에도 불구하고 지속적인 성장 추세는 이어지고 있다고 볼 수 있습니다.

3대 주요 랜섬웨어 그룹의 영향력 확대

이번 보고서에서 주목할 만한 점은 특정 랜섬웨어 그룹들의 두드러진 영향력 확대입니다.

• Qilin: 3분기 연속 가장 두각을 나타내는 랜섬웨어 작전으로, 1분기 동안 338명의 피해자를 공개하며 글로벌 랜섬웨어 시장에서 선두 자리를 굳건히 지켰습니다.
• The Gentlemen: 이번 분기의 떠오르는 스타로 평가받으며, 2025년 4분기 40명에서 2026년 1분기 166명으로 피해자 수를 대폭 늘리며 전 세계 3위로 급상승했습니다. 이들의 공격 방식과 타겟팅 전략은 면밀히 분석할 필요가 있습니다.
• LockBit: LockBit 5.0 작전을 통해 강력한 복귀를 알렸습니다. 1분기에 163명의 피해자를 공개하며 글로벌 랜섬웨어 운영자 중 4위로 올라섰습니다. LockBit의 지속적인 활동은 사이버 보안 업계에 중요한 과제를 던지고 있습니다.

이 세 그룹이 전체 피해자의 41%를 차지했으며, Qilin 단독으로도 하위 50개 그룹을 합친 것보다 더 많은 피해자를 기록했습니다.

이러한 소수 정예화는 법 집행 기관의 단속으로 인한 일시적 혼란 이후, 생존한 그룹들이 기존의 운영 기술과 인력을 흡수하며 더욱 강력해지는 패턴을 보여줍니다.

랜섬웨어 생태계 변화와 대응 전략

2년간 지속된 랜섬웨어 생태계의 분산화는 2026년 1분기에 뚜렷한 집중화 현상으로 전환되었습니다.

활동 그룹 수는 85개에서 71개로 감소했으며, 상위 10개 그룹의 피해자 점유율은 57%에서 71.1%로 증가했습니다.

이는 2024년 1분기 이후 가장 높은 집중도입니다.

새로운 21개 그룹이 등장했지만, 대부분 10명 미만의 적은 피해자를 공개하며 중간 규모 운영자들이 사라진 빈자리를 채우지 못했습니다.

이러한 변화는 RaaS(Ransomware-as-a-Service) 모델의 성숙과 관련이 있습니다.

주요 RaaS 운영자들은 신뢰할 수 있는 복호화 도구를 제공해야만 피해자로부터의 지불을 보장받을 수 있으며, 이는 운영의 안정성 및 신뢰도를 높이는 요인으로 작용합니다.

반면, Obscura와 같이 파일 크기 1GB 이상을 복호화하지 못하는 일회성 운영자들은 점차 설 자리를 잃고 있습니다.

상세 비교 분석: 주요 랜섬웨어 그룹 활동 변화

2025년 4분기와 2026년 1분기 데이터를 비교하면, 어떤 그룹이 인력을 흡수하고 시장 변화에 성공적으로 대응했는지 명확히 드러납니다.

The Gentlemen은 315%라는 폭발적인 증가율을 기록하며 가장 극적인 변화를 보여주었습니다.

Nightspire 역시 183% 증가하며 주목할 만한 성장을 보였고, LockBit 5.0과 Play도 각각 106%, 64% 증가하며 활동량을 늘렸습니다.

반면, SafePay는 77%, Devman은 70% 감소했습니다.

특히 Devman의 경우, 운영자 ‘Tramp’가 Interpol 수배자 명단에 오르면서 활동에 큰 타격을 입은 것으로 분석됩니다.

한국 시장에 미칠 영향 및 시사점

이번 랜섬웨어 생태계의 재편은 국내 기업들에게도 중대한 보안 위협으로 다가올 수 있습니다.

특정 그룹의 활동 집중은 곧 해당 그룹의 공격 패턴과 취약점이 더욱 널리 확산될 가능성을 의미합니다.

특히, Qilin은 금융 분야를 타겟으로 약 30개 한국 기업을 공격한 바 있으며, The Gentlemen이 태국을 주요 타겟으로 삼은 것처럼 특정 지역이나 산업에 대한 집중 공격이 강화될 수 있습니다.

미국 기업들이 전체 피해자의 49.6%를 차지하는 가운데, 태국의 최상위 10개국 진입은 특정 그룹의 전략적 타겟 확장을 보여주는 사례입니다.

한국의 경우, 이전 분기 대비 순위권 밖으로 밀려난 것은 일시적인 현상일 수 있으나, 안심하기는 이릅니다.

잠재적인 위협은 항상 존재하며, 이에 대한 사전 예방 및 대응 체계 구축이 더욱 중요해지고 있습니다.

또한, LockBit과 같은 주요 그룹의 복귀는 지속적인 보안 업데이트와 위협 인텔리전스 활용의 필요성을 강조합니다.

전문가 통찰 및 한줄평 (Insight)

이번 보고서에서 드러난 랜섬웨어 그룹들의 점진적인 세력 집중은 필연적인 흐름으로 보입니다.

복잡하고 수익성이 높은 사이버 공격의 세계에서, 소수의 성공적인 그룹이 더 많은 자원과 인재를 흡수하며 규모의 경제를 실현하는 것은 당연한 결과일 수 있습니다.

이는 곧 방어자들에게는 더욱 강력하고 조직화된 적과 맞서야 함을 의미하며, 개별 기업의 노력만으로는 한계가 있음을 시사합니다.

정부 차원의 국제 공조 강화와 함께, 기업들은 보안 자동화 및 위협 탐지 역량 강화에 투자를 아끼지 않아야 할 것입니다.

한줄평: 랜섬웨어, 이제는 ‘빅3’ 시대…집중화된 위협에 ‘선제 방어’가 답이다.

자주 묻는 질문 (FAQ)

Q: 2026년 1분기 랜섬웨어 공격이 이전보다 줄어든 것인가요?

A: 총 피해자 수는 전년 동기 대비 감소했지만, 이는 2025년 1분기 Cl0p의 대규모 공격으로 인한 일시적 급증 효과를 제외하면 실질적으로 증가했습니다.

공격의 총량보다는 주요 그룹으로의 집중화가 두드러지는 추세입니다.

Q: The Gentlemen, LockBit, Qilin 그룹이 한국 기업에 직접적인 위협이 되나요?

A: 이들 그룹이 한국 시장을 주요 타겟으로 삼고 있다는 직접적인 증거는 아직 부족하지만, Qilin의 금융권 공격 사례와 같이 영향력 있는 그룹들은 언제든 한국 시장을 포함한 전 세계 기업을 공격할 가능성이 있습니다.

따라서 지속적인 보안 강화가 필수적입니다.

Q: 랜섬웨어 공격에 대비하기 위해 기업은 무엇을 해야 하나요?

A: 정기적인 백업 및 복구 계획 수립, 보안 인식 교육 강화, 최신 보안 솔루션 도입, 취약점 점검 및 패치 관리 등 다층적인 보안 전략을 구축해야 합니다.

특히, 랜섬웨어 공격 그룹의 활동 동향을 파악하는 위협 인텔리전스 활용도 중요합니다.

Q: RaaS 모델이 계속 확산될 것으로 보나요?

A: 네, RaaS 모델은 지속적으로 진화하며 확산될 가능성이 높습니다.

핵심 운영자들은 기술력과 자금을 바탕으로 더욱 정교한 공격 도구와 서비스를 제공하며, 이는 범죄자들에게 낮은 진입 장벽과 높은 수익성을 제공합니다.

따라서 RaaS 생태계에 대한 지속적인 감시와 대응이 요구됩니다.

— 출처: Industrial Cyber