목적 및 범위

2026년 9월 한 달 동안 수집된 신규 랜섬웨어 샘플 수량, 피해 시스템 수량, 피해 업체 통계와 국내외 주요 랜섬웨어 이슈를 정리한 보고서이다. ATIP(AhnLab Threat Intelligence Platform)과 ASD(AhnLab Smart Defense) 기반 수집 데이터, 그리고 랜섬웨어 그룹의 DLS(Dedicated Leaks Sites, 피해 업체를 공개하는 사이트) 게시 정보를 바탕으로 분석하였다. 2025년 12월부터 피해 업체 통계 집계 방식이 일부 변경되어 과거 수치와 직접 비교 시 유의가 필요하다.

주요 통계

2026년 9월 피해 산업군은 정보통신업 39건이 가장 많았고, 제조업 29건, 도매 및 유통업 13건, 전문·과학 및 기술 서비스업 19건, 보건 및 사회복지 서비스업 17건, 건설업 7건 등이 뒤를 이었다. 상위 10개 산업군의 피해는 총 140건이었다. 국가별로는 미국(us) 88건이 가장 많았고, 인도(in)와 독일(de)이 각각 14건, 캐나다(ca) 8건, 프랑스(fr) 7건, 브라질(br)·스페인(es)·대한민국(kr)이 각각 6건으로 집계되었다. 상위 10개국의 피해는 총 159건이었다.

Top10 랜섬웨어 그룹 피해 업체 수에서는 Gentlemen이 102건으로 1위, Qilin이 78건으로 2위를 기록했다. 이어 Akira 47건, Rhysidaarchive 45건, Metaencryptor 40건, KillSecurity 37건, KryBit 34건, IncRansom 31건, Safepay 29건, DarkProject 27건 순이었다. 상위 10개 그룹의 총 피해 건수는 470건으로 전월 453건보다 증가했다. 최근 3년 추이에서는 DLS 게시 피해 업체와 MDP 기반 피해 시스템 비율이 등락을 반복했으며, 2026년 9월에는 두 지표가 모두 하락했다.

주요 이슈

2026년 9월에는 The Gentlemen, Qilin, Metaencryptor, CL0P, Storm, AUDIT TEAM, LockBit, EMPERADOR, RansomHouse 등이 활동했으며, Vladivostok, Vexy, BlackLocks 같은 신규 그룹도 등장했다. 한국 지역에서는 제조 분야 기업 5곳이 피해자로 확인되었다. The Gentlemen은 Wooshin Systems를, LockBit은 SPG를, Metaencryptor는 HyVision System과 SFA Engineering Corporation을, BlackLocks는 광명산업을 피해자로 게시했다. AUDIT TEAM이 게시한 gownet.net과 dg.ac.kr은 실제 존재하는 도메인으로 확인되지 않았다.

The Gentlemen은 미국의 Aware, Veradigm, 캐나다의 Air Canada, 일본식 외식 프랜차이즈 Sarku Japan, 일본의 TENTAC, 스페인의 Zanini Auto Group을 대상으로 공격했다. Qilin은 일본의 SK Logistics, Nissho Electric Manufacturing, Ikegami Tsushinki, Mitsuwa Trading Co., Ltd., 미국의 ADM과 Colonial Hyundai, 필리핀의 Philippine Ports Authority를 겨냥했다. Metaencryptor는 한국의 HyVision System과 SFA Engineering Corporation, 일본의 Astemo와 Nippon Steel Corporation, 미국의 Flex Ltd를 대상으로 공격했다.

CL0P은 ShinyHunters가 기존 DLS를 침해한 뒤 신규 DLS와 onion 도메인을 공개했으며, 미국의 General Electric Company, Harley-Davidson, TriStar Digital Thread Solutions를 공격 대상으로 게시했다. Storm은 First Secure Bank Group, Applied Composites, 미국의 금융 및 자문 기관 5곳, 캐나다의 Petrocare를 대상으로 공격했다. LockBit은 SPG와 Siinqee Bank를, EMPERADOR는 AB Electrolux와 RDA MOTORS S.P.A.를, RansomHouse는 Pertamina, Namibian Defence Force, REXT Holdings Co., Ltd.를, Everest는 UNIRITA를, SafePay는 Ryomo Systems를, Rhysida는 General Santos Doctors Hospital과 Széchenyi Programiroda Nonprofit Kft.를 공격했다.

신규 그룹 중 Vladivostok은 DLS를 공개하고 협력자를 모집했으며, Vexy는 에콰도르와 브라질의 기업 2곳을 공격하고 RaaS 제휴 프로그램을 운영하기 시작했다. BlackLocks는 광명산업을 첫 피해자로 게시했다. Panzer는 8월 등장 후 19개 피해 조직을 주장했으며, Windows, Linux, VMware ESXi용 빌드를 제공하는 RaaS 모델로 운영된다고 보도되었다. SovCali는 Lucid Motors의 차세대 중형차 설계 데이터 159GB를 Rehub에서 공유했다.

일본에서는 Keio Corporation, Keio Plaza Hotel, 돗토리현 방사선 모니터링 시스템이 랜섬웨어 피해를 공식 발표했다. Keio는 일부 업무 시스템 장애를, 돗토리현은 주 감시국 정지에도 보조 서버가 피해를 입지 않아 방사선 모니터링은 지속되었다고 밝혔다.

결론

2026년 9월 랜섬웨어 위협은 기존 주요 그룹의 다국가 공격과 신규 그룹의 연속 등장, 그리고 DLS와 RaaS 제휴 프로그램의 확산이 함께 나타난 복합 양상으로 정리된다. 제조업이 가장 넓게 피해를 입었고, 정보통신, 금융, 정부·공공, 에너지, 운송 및 물류, 의료 분야에서도 공격이 이어졌다. 보고서는 신속한 취약점 패치, 제3자 및 공급망 접근 권한 점검, 네트워크 세그먼트화, 데이터 백업 강화, 위협 인텔리전스 활용, 지속적인 모니터링 강화를 필요 대응으로 제시한다.