가족사진, 아이 영상, 회사 문서까지 한곳에 모아 두는 NAS(나스, 네트워크 저장장치) 쓰시는 분 많죠. 집이나 작은 사무실에서 “우리만의 클라우드”처럼 쓰기 좋아서 인기가 높은데요. 요즘 이 NAS가 통째로 잠겨 버리는 피해가 국내외에서 잇따르고 있어요. 열어 보면 파일 이름 뒤에 ‘.L0CK3D’가 붙어 있고, 폴더마다 ‘read-me3.txt’라는 협박문이 놓여 있습니다.
NAS 업체 시놀로지(Synology)는 10월 29일 공지를 내고 “업데이트하지 않은 옛 DSM(시놀로지 NAS의 운영체제)을 노린 랜섬웨어 공격을 확인했다”며 즉시 업데이트를 당부했어요. 시놀로지가 이렇게 ‘공격이 벌어지고 있다’고 직접 경고한 건 2019년 8월 이후 처음이라고 해외 보안 매체 블리핑컴퓨터는 전했습니다. 국내에서도 한국인터넷진흥원(KISA)에 피해 신고가 여러 건 들어왔다는 보도가 나왔고요. 오늘은 “랜섬웨어가 뭔지”, “왜 고친 지 오래된 구멍으로 지금 당하는지”, “우리 집 NAS는 괜찮은지 10분 안에 확인하는 법”을 차근차근 풀어 볼게요.
한눈에 보는 핵심 정리
| 항목 | 내용 |
|---|---|
| 무슨 일? | 업데이트하지 않은 시놀로지 NAS를 노린 랜섬웨어 공격이 이어져, 시놀로지가 10월 29일 공식 경고 |
| 랜섬웨어 이름 | C3RB3R(세르베르) — 옛 ‘Cerber’ 랜섬웨어 계열의 변종 |
| 피해 흔적 | 파일 끝에 .L0CK3D가 붙고, 폴더마다 read-me3.txt 협박문 |
| 요구 금액(국내 사례) | 0.036960 비트코인(보도 기준 약 395만 원), 5일이 지나면 두 배(0.073920 비트코인, 약 789만 원)로 올린다고 협박 |
| 시놀로지 설명 | “2024년 12월에 이미 고친 취약점”을 악용 → 2024년 보안 공지(Synology-SA-24:20) 안내 |
| 보안업체 360 분석 | 2026년 9월 18일 고친 DSM 취약점 CVE-2026-13639·CVE-2026-13684(둘 다 9.8점)를 공격 경로로 지목 |
| 해결책 | DSM을 최신으로 업데이트 + 자동 업데이트 켜기 + 관리 화면을 인터넷에 직접 열어 두지 않기 + NAS와 분리된 백업 |
| 무료 복호화 도구 | 아직 확인된 것 없음 → 사실상 ‘백업’만이 복구 수단 |
먼저, NAS와 랜섬웨어가 뭔지부터
NAS는 하드디스크 여러 개를 꽂아 두고 인터넷 공유기에 연결해서, 집 안 PC·휴대폰이나 밖에서도 파일을 꺼내 쓰는 ‘개인용 파일 창고’예요. 시놀로지 NAS는 DSM(DiskStation Manager)이라는 전용 운영체제로 움직입니다. 윈도가 PC의 운영체제이듯, DSM은 NAS의 운영체제라고 보면 돼요.
랜섬웨어는 ‘몸값(ransom)’과 ‘소프트웨어’를 합친 말이에요. 남의 파일을 마구 암호화해서 못 열게 만든 다음, “풀고 싶으면 돈을 내라”고 요구하는 악성 프로그램이죠. 비유하자면 도둑이 창고에 들어와 물건은 그대로 두고, 상자마다 자물쇠를 채운 뒤 열쇠값을 내라는 것과 같아요.
| 용어 | 쉬운 뜻 | 이번 사건에서는 |
|---|---|---|
| NAS | 네트워크에 붙인 개인 파일 창고 | 공격 대상이 된 시놀로지 기기 |
| DSM | 시놀로지 NAS의 운영체제 | 업데이트 안 된 옛 버전이 노려짐 |
| 랜섬웨어 | 파일을 잠그고 몸값을 요구하는 악성코드 | C3RB3R |
| 취약점(구멍) | 프로그램의 설계·코딩 실수로 생긴 틈 | 2024년·2026년에 고친 DSM 취약점들이 거론됨 |
| CVE | 취약점에 붙이는 국제 일련번호 | CVE-2024-10441, CVE-2026-13639, CVE-2026-13684 등 |
| CVSS 점수 | 위험도를 0~10점으로 매긴 것 | 거론된 핵심 취약점들은 9.8점(최고 수준) |
| 패치 | 구멍을 막는 수정 업데이트 | 이미 나와 있음 — 설치만 하면 됨 |
협박문 ‘read-me3.txt’에는 뭐라고 쓰여 있나
블리핑컴퓨터가 공개한 협박문은 대략 이런 내용이에요. “당신의 중요한 파일은 모두 암호화됐다. 다른 프로그램으로 복구하려 하면 파일이 망가진다. 안전하게 푸는 유일한 방법은 ‘C3rb3r Decryptor’를 사는 것이다.” 그리고 다크웹(일반 브라우저로는 못 들어가는 숨은 인터넷) 주소로 안내하며, 믿게 하려고 “파일 하나는 무료로 풀어 주겠다”고 꼬드기죠.
국내 피해 사례를 전한 토큰포스트·조선비즈 보도에 따르면, 협박문은 5일 안에 0.036960 비트코인을 내라고 했고, 기한을 넘기면 두 배로 올리겠다고 했어요. 이 금액은 공격자가 요구한 액수일 뿐, 실제로 돈을 냈다는 뜻은 아닙니다.
| 보이는 것 | 뜻 | 하면 안 되는 것 |
|---|---|---|
파일명 끝 .L0CK3D |
내용이 암호화됨 | 확장자만 지운다고 풀리지 않아요 (보도에서도 “확장자를 바꿔도 복원 안 됨”) |
read-me3.txt |
몸값 안내문 | 안내된 주소에 서둘러 접속·결제 |
| “파일 1개 무료 복구” | 신뢰를 사려는 미끼 | 그걸 믿고 전액 지불 — 돈을 내도 복구된다는 보장이 없어요 |
| “5일 지나면 2배” | 시간 압박으로 판단을 흐리게 함 | 당황해서 NAS를 초기화(리셋) — 증거와 복구 가능성까지 날아갈 수 있어요 |
그런데 왜 ‘이미 고친 구멍’으로 지금 당할까?
이번 사건에서 가장 중요한 포인트예요. 시놀로지는 공격자가 “2024년 12월에 이미 패치된 취약점”을 쓰고 있다고 밝혔어요. 즉 약은 이미 나와 있었는데, 약을 안 먹은 기기만 골라서 당하고 있는 거예요.
여기엔 보안 세계의 씁쓸한 법칙이 하나 있습니다. 업체가 “이런 구멍을 고쳤어요”라고 공지하는 순간, 공격자들도 그 공지를 읽어요. 고친 내용을 비교해서 구멍의 위치를 거꾸로 알아내고, 업데이트를 미룬 기기를 찾아 다니죠. 이렇게 패치는 나왔지만 아직 설치 안 된 틈을 노리는 공격을 흔히 ‘원데이(1-day) 공격’이라고 불러요. 아무도 몰랐던 구멍을 노리는 ‘제로데이’와 구별하는 말입니다.
문제는 NAS가 ‘한번 설치하면 잊고 사는 기기’라는 점이에요. 휴대폰처럼 매일 만지지 않으니 업데이트 알림을 볼 일도 적고, “잘 돌아가는데 굳이…” 하며 몇 년씩 그대로 두는 경우가 많죠. 블리핑컴퓨터에 따르면 인터넷 감시 단체 섀도서버(Shadowserver)는 인터넷에 그대로 노출된 시놀로지 NAS를 38만 대 넘게 추적하고 있다고 해요(이 중 몇 대가 이미 안전하게 업데이트됐는지는 공개되지 않았어요).
| 날짜 | 일어난 일 |
|---|---|
| 2024년 11월 5일~12월 5일 | 시놀로지, 보안 공지 SA-24:20으로 DSM 취약점 3개 수정 (해킹 대회 Pwn2Own 2024에서 보고된 것들). 마지막으로 DSM 6.2용 수정이 12월 5일 추가 |
| 2026년 9월 18일 | 보안 공지 SA-26:13으로 DSM 취약점 8개 수정 (그중 CVE-2026-13639·13684가 ‘치명적’ 9.8점) |
| 2026년 10월 들어 | 해외 대응팀들이 C3RB3R에 암호화된 시놀로지 NAS 사례를 다루기 시작, 사용자 커뮤니티에 피해 호소 확산 |
| 10월 29일 | 시놀로지, “옛 DSM을 노린 랜섬웨어 공격 확인, 즉시 업데이트” 공식 경고. 중국 보안업체 360이 분석 결과 공개 |
| 10월 30일 | 국내 언론, KISA에 국내 이용자 피해 신고가 여러 건 접수됐다고 보도 |
| 11월 2일(한국 시간 밤) | 블리핑컴퓨터 등 해외 매체가 시놀로지 경고와 피해 확산을 크게 보도 |
어떤 구멍으로 들어오나? 두 가지 설명
공격 경로에 대해서는 설명이 둘로 갈려요. 한쪽만 믿기보다 둘 다 막는 것이 정답이라, 차이를 정리해 볼게요.
| 구분 | 시놀로지 공식 공지 | 보안업체 360 분석 |
|---|---|---|
| 지목한 구멍 | 2024년에 고친 취약점 (공지 SA-24:20 안내) | CVE-2026-13639, CVE-2026-13684 (공지 SA-26:13) |
| 대표 내용 | CVE-2024-10441: 인증 없이 원격에서 임의 코드 실행 (9.8점) | 13639: 로그인 처리의 ‘무작위성 부족’ 13684: SCGI 부분의 출력 처리 오류 → 둘 다 인증 없이 원격에서 파일 읽기·쓰기 가능 (9.8점) |
| 막는 버전 | DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7, 6.2.4-25556-8 이상 | DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9, 7.2.1-69057-12 이상 |
| 임시 회피책 | 두 공지 모두 “완화책 없음(None)” — 업데이트가 유일한 해결책 | |
눈여겨볼 점은 9월(SA-26:13) 기준 버전이 2024년 기준 버전보다 더 새 버전이라는 거예요. 그러니 9월 기준 이상으로 올려 두면 두 설명 모두에 대비가 됩니다. 한 가지 더, 해외 보안 브리핑 TrebSec에 따르면 한 사고 대응팀은 최근 DSM 7.4.1을 쓰던 기기도 당한 사례를 보고 있으며, 새 구멍이나 설치한 앱(패키지)·컨테이너, 도난당한 비밀번호 같은 다른 경로를 아직 배제하지 못했다고 해요. 그래서 “업데이트만 하면 끝”이 아니라 ‘문 닫기’와 ‘따로 백업’까지 함께 해야 합니다.
C3RB3R는 처음 보는 녀석일까?
이름이 낯익다면 이유가 있어요. 블리핑컴퓨터에 따르면 원조 ‘Cerber’는 2016년 등장한 서비스형 랜섬웨어(돈을 받고 공격 도구를 빌려주는 방식)로, 2019년 말 사라지기 전까지 크게 유행했어요. 지금의 C3RB3R는 그 이름을 빌려 온 것으로, 2021년 12월부터 협업 도구 컨플루언스(Confluence)나 코드 저장소 깃랩(GitLab) 서버의 구멍을 노린 공격에 쓰인 적이 있습니다. 즉 “업데이트 안 된 서버를 찾아 다니는” 전문 기회주의자에 가까워요.
| 시기 | 주로 노린 대상 | 공통점 |
|---|---|---|
| 2016~2019년 | 원조 Cerber — 주로 PC·기업 컴퓨터 | 인터넷에 열려 있고 업데이트가 늦은 기기를 노림 |
| 2021년 12월~ | C3RB3R — 컨플루언스·깃랩 서버 | |
| 2026년 10월~ | C3RB3R — 시놀로지 NAS (옛 DSM) |
공격자는 어떻게 우리 집 NAS를 찾을까
NAS를 밖에서도 쓰려고 공유기에서 ‘포트포워딩’을 설정해 두는 경우가 많아요. 포트포워딩은 쉽게 말해 아파트 공동현관을 거치지 않고 우리 집 현관으로 바로 들어오는 전용 출입문을 거리 쪽에 하나 뚫어 두는 것과 비슷해요. 편리하지만, 그 문은 전 세계 누구에게나 보입니다.
공격자들은 인터넷 전체를 자동으로 훑으며 “NAS 관리 화면이 열려 있는 주소”를 모아요. 그리고 그 화면이 알려 주는 정보나 반응으로 옛 버전인지 가늠한 뒤, 맞는 공격을 자동으로 던집니다. 그래서 시놀로지와 보안업체들은 공통적으로 “관리 화면을 인터넷에 직접 열어 두지 말라”고 강조해요.
| 밖에서 NAS 쓰는 방식 | 편의성 | 위험도 | 한 줄 평 |
|---|---|---|---|
| 공유기 포트포워딩으로 DSM 관리 화면을 그대로 공개 | 높음 | 높음 | 전 세계에 현관문을 보여 주는 셈 |
| VPN(집 네트워크로 들어오는 암호화 통로)으로 접속 | 중간 | 낮음 | 보안업체들이 공통으로 권하는 방식 |
| 제조사 중계 서비스(시놀로지의 경우 QuickConnect) 이용 | 높음 | 중간 | 포트를 직접 열지 않아도 되지만, 강한 비밀번호·2단계 인증은 필수 |
| 집 안에서만 사용(외부 접속 없음) | 낮음 | 가장 낮음 | 외부 접속이 꼭 필요 없다면 가장 안전 |
오늘 밤 10분 점검: 우리 집 NAS 지키기
시놀로지 공지와 보안업체·대응팀 권고를 초보 눈높이로 모아 순서대로 정리했어요. 메뉴 이름은 DSM 버전에 따라 조금 다를 수 있어요.
| 순서 | 할 일 | 어디서 | 왜 |
|---|---|---|---|
| 1 | DSM 버전 확인 후 최신으로 업데이트 | DSM ‘제어판 → 업데이트 및 복원’ | 알려진 구멍을 막는 유일한 해결책 |
| 2 | 자동 업데이트 켜기 (DSM·패키지 모두) | 같은 메뉴의 업데이트 설정, 패키지 센터 설정 | 시놀로지가 직접 권고. ‘잊고 사는 기기’ 문제 해결 |
| 3 | 공유기 포트포워딩에서 NAS 관리 포트 지우기 | 공유기 관리 페이지 | 관리 화면을 인터넷에서 숨기기 |
| 4 | 2단계 인증 켜기, 기본 ‘admin’ 계정 끄기 | DSM 계정·보안 설정 | 비밀번호가 새도 바로 뚫리지 않게 |
| 5 | 자동 차단(로그인 실패 IP 차단)·방화벽 켜기 | DSM ‘제어판 → 보안’ | 무작정 대입 공격 막기 |
| 6 | 안 쓰는 패키지·컨테이너 지우기 | 패키지 센터, 컨테이너 관리 | 최신 DSM에서도 다른 문으로 들어왔을 가능성이 거론됨 |
| 7 | 공유 폴더 스냅샷 켜기(변경 불가 설정이 있다면 함께) | 스냅샷 관련 패키지 | 잠기기 전 상태로 되돌릴 기회를 남김 |
| 8 | NAS와 분리된 백업 하나 만들기 | 외장 하드에 복사 후 뽑아 두기, 또는 별도 클라우드 | NAS가 쓸 수 있는 곳의 백업은 함께 잠길 수 있음 |
DSM 버전, 이렇게 비교하세요
DSM 버전은 ‘7.2.2-72806-9’처럼 큰 버전-빌드 번호-업데이트 번호로 되어 있어요. 아래 표의 숫자와 같거나 더 크면 9월 공지 기준으로는 안전한 쪽입니다.
| 내 DSM 계열 | 9월 공지(SA-26:13) 기준 최소 버전 | 예시 판단 |
|---|---|---|
| DSM 7.4 | 7.4-90075 이상 | 7.4 계열인데 빌드가 90075보다 작으면 업데이트 필요 |
| DSM 7.3 | 7.3.2-86009-4 이상 | 7.3.2-86009-3 → 업데이트 필요 |
| DSM 7.2.2 | 7.2.2-72806-9 이상 | 7.2.2-72806-1 → 2024년 구멍은 막혔지만 9월 구멍은 열려 있음 |
| DSM 7.2.1 | 7.2.1-69057-12 이상 | 7.2.1-69057-6 → 같은 이유로 업데이트 필요 |
| 그보다 오래된 계열(7.2, 7.1, 6.2 등) | 9월 공지 표에는 없음 | 기기에서 받을 수 있는 가장 최신 버전으로 올리고, 외부 노출부터 끊기 |
업데이트 화면에서 더 새 버전이 안 뜬다면, 모델이 오래돼서 큰 버전 업그레이드가 안 되는 경우일 수 있어요. 그럴 땐 시놀로지 홈페이지의 다운로드 센터에서 내 모델명을 검색해 받을 수 있는 최신 버전을 확인하고, 더 이상 보안 업데이트가 없는 기기라면 적어도 인터넷에서 떼어 집 안에서만 쓰는 게 안전해요.
이미 당했다면? 하지 말 것과 할 것
파일이 .L0CK3D로 바뀐 걸 발견했다면 당황스럽겠지만, 순서가 중요해요. 시놀로지 도움말은 “NAS는 개인 저장장치라 시놀로지도 데이터에 접근하거나 암호를 풀어 줄 수 없다”고 분명히 밝히고 있어요. 그리고 TrebSec 등에 따르면 아직 확인된 무료 복호화 도구는 없습니다.
| 단계 | 할 것 | 하지 말 것 |
|---|---|---|
| 1. 격리 | NAS의 랜선을 뽑거나 네트워크에서 분리 (암호화가 더 번지지 않게) | 같은 네트워크의 다른 PC에서 NAS 폴더를 계속 열어 보기 |
| 2. 증거 보존 | 협박문(read-me3.txt), 로그, 암호화된 샘플 파일, 화면 사진 남기기 | 복구 가능성 확인 전에 바로 초기화·재설치 |
| 3. 신고·상담 | KISA 보호나라(국번 없이 118), 경찰 사이버수사, 시놀로지 지원 센터 문의 | 협박범 주소에 바로 연락·결제 |
| 4. 복구 | 깨끗한 백업이나 스냅샷이 있다면, 초기화 → 최신 DSM 설치 → 백업에서 복원 (시놀로지 도움말 안내 순서) | 옛 DSM 그대로 복원해 같은 구멍을 다시 열어 두기 |
| 5. 재발 방지 | 위 ‘10분 점검’ 8단계 + 모든 계정 비밀번호 바꾸기 | “이번엔 운이 나빴다”며 포트포워딩 그대로 두기 |
백업, ‘3-2-1’로 기억하세요
이번 공격이 특히 아픈 이유는 많은 사람이 NAS 자체를 백업 장소로 쓰기 때문이에요. PC 백업도, 휴대폰 사진 백업도 NAS로 모아 두었는데, 그 NAS가 잠기면 원본과 백업이 한꺼번에 사라지죠. TrebSec 브리핑도 “NAS가 쓸 수 있는 곳에 있는 백업은 함께 암호화될 수 있다”고 지적했어요. 그래서 오래된 원칙 하나를 다시 떠올리면 좋습니다.
| 숫자 | 규칙 | 집에서 하는 예 |
|---|---|---|
| 3 | 데이터 사본을 3개 (원본 포함) | NAS 원본 + 외장 하드 + 클라우드 |
| 2 | 서로 다른 저장 매체 2종류 이상 | NAS 하드디스크와 별도 외장 하드 |
| 1 | 1개는 다른 곳(또는 오프라인)에 | 한 달에 한 번 외장 하드에 복사하고 뽑아서 서랍에 |
매일 연결돼 있는 외장 하드는 랜섬웨어 입장에선 ‘또 하나의 폴더’일 뿐이에요. 복사가 끝나면 선을 뽑아 두는 것, 이 작은 습관 하나가 몸값 수백만 원과 추억을 지켜 줍니다.
자주 묻는 질문
| 질문 | 답 |
|---|---|
| 시놀로지 NAS 쓰면 다 위험한가요? | 아니요. 공격은 업데이트 안 된 옛 DSM을 노리고 있어요. 다만 최신 버전에서도 피해 사례가 조사 중이라, 외부 노출 줄이기와 별도 백업은 꼭 같이 하세요. |
| 집 안에서만 쓰는데도 해야 하나요? | 위험은 확실히 낮지만, 업데이트와 자동 업데이트 켜기는 똑같이 권장돼요. 집 안 PC가 다른 경로로 감염되면 NAS까지 번질 수 있으니까요. |
| 다른 회사 NAS는 괜찮나요? | 이번 경고는 시놀로지 DSM에 대한 것이에요. 하지만 ‘인터넷에 열린 옛 기기’를 노리는 방식은 어떤 NAS·공유기에도 통하니, 같은 점검 원칙을 적용하면 좋아요. |
| 돈을 내면 풀어 주나요? | 보장이 없어요. 범죄자에게 돈을 주는 것이고, 다시 노려질 수도 있어요. 먼저 KISA(118) 등 전문 기관과 상담하세요. |
| CVE 번호는 왜 여러 개가 나오나요? | 시놀로지는 2024년 공지를, 보안업체 360은 2026년 9월 공지의 두 취약점을 지목했어요. 정확한 경로는 사례마다 다를 수 있어서, 최신 버전으로 올리면 둘 다 막을 수 있어요. |
마무리: ‘잊고 사는 기기’에 오늘 10분을
이번 사건의 교훈은 의외로 단순해요. 해커는 새로운 마법을 쓴 게 아니라, 이미 고쳐진 구멍을 아직 안 고친 기기를 찾아다녔을 뿐이에요. NAS, 공유기, IP 카메라처럼 한번 설치하고 잊어버리는 기기일수록 이런 공격에 약합니다.
오늘 밤 딱 10분만 내서 ① DSM 업데이트와 자동 업데이트 켜기 ② 공유기 포트포워딩 정리 ③ 2단계 인증 ④ 뽑아 두는 백업 하나, 이 네 가지만 해 두세요. 우리 가족의 사진 창고에 자물쇠를 채우는 건 해커가 아니라 우리 자신이어야 하니까요.