직원 PC 악성코드 감염 시 사내 확산을 막는 방법 : 백신보다 먼저 해야 할 15분 대응

읽기 전에 확인하세요

이 글은 일반적인 기업 악성코드 사고 대응 원칙을 설명합니다. 실제 감염 경로와 피해 범위는 악성코드 종류, 네트워크 구성, 관리자 권한, 서버 연결 상태에 따라 달라질 수 있습니다.

특히 도메인 관리자 계정, Active Directory, 서버, 대규모 파일 암호화, 개인정보 유출 가능성이 관련되어 있다면 단순 PC 치료보다 사고 대응과 포렌식 관점의 검토가 필요할 수 있습니다. 중요한 시스템을 임의로 초기화하거나 로그를 삭제하기 전에 보안 담당자 또는 침해사고 대응 전문가와 확인하는 편이 안전합니다.

첫 15분, 백신보다 네트워크 격리가 먼저입니다

1단계: LAN과 와이파이를 먼저 끊습니다

감염 의심 PC가 발견되면 우선 다른 사내 장비와 통신하지 못하게 만드는 것이 핵심입니다. 유선 LAN 케이블을 분리하고 와이파이 연결을 해제합니다. 회사가 EDR 같은 단말 대응 솔루션을 운용하고 있다면 관리 콘솔의 네트워크 격리 기능을 사용할 수도 있습니다.

단순히 인터넷 브라우저만 닫거나 파일서버 창을 종료하는 것으로는 충분하지 않습니다. 악성 프로그램은 화면에 아무것도 나타나지 않은 상태에서도 외부 서버나 내부 장비와 통신할 수 있기 때문입니다.

잠깐, 전원을 끄기 전에

‘감염됐으니 전원부터 뽑아야 한다’고 생각하기 쉽지만 항상 최선은 아닙니다. 전원을 끄면 메모리에만 존재하던 실행 정보, 네트워크 연결 상태처럼 조사에 도움이 되는 정보가 사라질 수 있습니다.

따라서 네트워크 격리가 가능하고 전문 분석이 예정되어 있다면 먼저 격리한 뒤 전원 처리 여부를 판단하는 편이 좋습니다. 반대로 파일 암호화가 실시간으로 계속되고 네트워크 격리조차 어렵다면 상황에 따라 더 적극적인 중단 조치가 필요할 수 있습니다. 랜섬웨어 상황에서 전원 종료 여부를 별도로 정리한 랜섬웨어 감염 PC 전원 종료 판단 가이드도 함께 확인할 수 있습니다.

2단계: 사용자가 더 이상 조작하지 않게 합니다

• 이메일과 메신저를 계속 사용하지 않습니다.
• USB 저장장치를 새로 연결하지 않습니다.
• 공유폴더에 파일을 복사하지 않습니다.
• 감염 PC에서 회사 계정 비밀번호를 변경하지 않습니다.
• 임의로 프로그램을 삭제하거나 로그 정리 도구를 실행하지 않습니다.

한 대만 감염됐는데 왜 서버까지 확인해야 할까

회사 PC는 혼자 존재하지 않습니다. 파일서버, NAS, 그룹웨어, 메일, 업무 프로그램, 원격접속 환경, 관리자 계정과 연결되어 있습니다. 따라서 피해 범위를 결정하는 것은 ‘감염된 PC의 수’가 아니라 그 PC가 무엇에 접근할 수 있었느냐입니다.

KISA의 기업 대상 보안 권고에서도 악성 메일을 통한 PC 감염뿐 아니라 중앙 관리 계정, 원격접속, NAS, 보안 업데이트 미적용 등이 랜섬웨어와 정보유출 사고의 주요 경로로 다뤄지고 있습니다. 외부 접속 제한, 다중인증, 로그 확인, 관리자 계정 관리, 네트워크와 분리된 백업도 함께 권고됩니다.

첫 번째 통로는 사용자 계정입니다

악성코드가 브라우저나 PC에 저장된 인증정보, 세션 정보 등을 노리는 유형이라면 PC를 치료해도 계정 자체가 이미 노출됐을 가능성이 남습니다. 같은 비밀번호를 여러 시스템에서 사용했다면 확인 범위는 더 넓어집니다.

두 번째 통로는 공유폴더와 네트워크 드라이브입니다

사용자가 읽고 쓸 수 있는 네트워크 드라이브는 랜섬웨어 사고에서 특히 주의해야 합니다. 직원 PC 한 대의 권한이 넓다면 그 계정으로 접근 가능한 부서 공유폴더까지 피해가 이어질 수 있습니다.

세 번째 통로는 관리자 권한입니다

문제의 PC에서 서버 관리자나 도메인 관리자 계정으로 로그인한 적이 있다면 위험도를 한 단계 높게 보는 편이 좋습니다. 공격자는 감염 PC 자체보다 더 강한 권한을 가진 인증정보를 노릴 수 있기 때문입니다.

조금 더 깊이 알고 싶다면

악성코드가 내부망에서 다른 장비로 이동하는 것을 흔히 ‘횡적 이동’이라고 부릅니다. 꼭 악성 프로그램 파일을 다른 PC에 복사해야만 이동이 일어나는 것은 아닙니다.

탈취한 계정, 이미 열려 있는 관리자 세션, 원격접속 기능, 공유폴더 권한 등을 이용하는 방식도 있습니다. 그래서 사고 대응에서는 파일 검사 결과뿐 아니라 로그인 기록과 원격접속 기록, 관리자 계정 사용 이력을 함께 살펴봅니다.

악성코드 감염 직후 하지 말아야 할 행동 5가지

백신 한 번 돌리고 바로 업무망에 다시 연결하기

검사 결과 악성 파일이 삭제됐다는 메시지는 하나의 판단 자료일 뿐 ‘사고가 완전히 끝났다’는 증명은 아닙니다. 계정 탈취, 지속성 설정, 다른 장비 침해 여부가 확인되지 않았다면 재연결을 서두르지 않는 것이 좋습니다.

감염 PC에서 모든 비밀번호를 바꾸기

비밀번호를 변경하는 행동 자체는 필요할 수 있지만 장소가 중요합니다. 감염이 해결되지 않은 PC에서 새 비밀번호를 입력하면 새 인증정보까지 노출될 가능성을 배제하기 어렵습니다.

계정 변경은 패치와 보안 상태를 확인한 별도의 신뢰할 수 있는 기기에서 진행하는 편이 안전합니다.

대부분 여기서 잘못 판단합니다: 바로 포맷하기

급한 마음에 PC를 곧바로 초기화하면 원인을 확인할 단서도 함께 사라질 수 있습니다. 특히 다른 장비까지 침해됐는지 판단해야 하는 상황이라면 감염 시각, 파일명, 경고 화면, 로그 등의 기록을 먼저 남기는 편이 유리합니다.

조용히 해결하고 직원들에게 알리지 않기

같은 피싱 메일이 여러 직원에게 발송된 사고라면 최초 감염자만 치료해서 끝나지 않습니다. 동일한 제목, 발신자, 첨부파일을 받은 직원에게 열지 말도록 빠르게 알리고 메일 시스템에서도 동일 메시지를 검색할 필요가 있습니다.

확산됐는지 판단하려면 이 흔적부터 확인합니다

격리가 끝났다면 다음 질문은 ‘다른 PC도 감염됐는가’입니다. 이때 회사 전체를 무작정 포맷하거나 모든 장비를 정지시키는 대신 감염 PC와 연결점이 많은 자산부터 좁혀가는 방식이 현실적입니다.

먼저 시간표를 하나 만듭니다

• 수상한 메일 또는 파일을 받은 시각
• 파일을 실행한 것으로 추정되는 시각
• 백신 또는 보안 경고가 처음 발생한 시각
• 파일명 변경·암호화·속도 저하 등 이상 징후가 나타난 시각
• PC를 네트워크에서 격리한 시각

같은 계정이 어디에 로그인했는지 확인합니다

메일, 그룹웨어, 가상사설망(VPN), 파일서버, 클라우드 서비스, 원격 데스크톱 등에서 감염 전후의 로그인 기록을 확인합니다. 평소와 다른 시간대, 위치, IP, 기기에서 접속한 흔적이 있다면 별도의 조사가 필요합니다.

같은 파일이나 경고가 다른 PC에도 있는지 찾습니다

확인 항목	무엇을 찾나	이상 시 다음 행동
다른 직원 PC	동일 파일명, 경고, 프로세스, 이상 증상	해당 PC도 네트워크에서 우선 격리
메일 시스템	동일 발신자·제목·첨부파일	추가 열람 방지 및 대상자 확인
파일서버·NAS	대량 수정·삭제·확장자 변경	관련 계정 접근 차단 및 범위 확인
VPN·원격접속	평소와 다른 접속 기록	세션 종료, 계정·인증수단 점검
관리자 로그	신규 계정·권한 변경·비정상 로그인	보안 담당자 또는 전문 대응 검토

실제 적용 사례

20여 명이 근무하는 회사에서 한 직원이 ‘거래명세서’라는 압축파일을 열었다고 가정해 보겠습니다. 몇 분 뒤 백신 경고가 떴지만 파일서버는 정상으로 보였습니다.

이때 PC만 검사하고 다시 업무를 시작하면 문제는 간단해 보입니다. 하지만 확인해 보니 해당 직원은 부서 공용폴더에 쓰기 권한이 있었고 회사 메일도 같은 PC에서 사용하고 있었습니다.

전산 담당자가 PC를 먼저 격리하고 메일 서버에서 동일한 제목의 메시지를 검색하자 다른 직원 세 명에게도 같은 메일이 전달된 사실을 확인했습니다. 세 사람에게 첨부파일을 열지 말도록 알리고, 감염자의 계정 세션을 종료한 뒤 별도 PC에서 인증정보를 변경했습니다.

핵심은 ‘한 대를 치료했다’가 아니라 같은 공격 경로가 회사 안에 몇 군데 더 남아 있는지 확인했다는 점입니다. 초기 대응의 품질은 악성 파일 삭제 속도보다 범위를 얼마나 빨리 좁히느냐에서 갈립니다.

계정이 털렸을 가능성까지 함께 차단하는 순서

비밀번호보다 먼저 활성 세션을 생각합니다

일부 서비스는 비밀번호를 바꿔도 이미 발급된 로그인 세션이 일정 시간 유지될 수 있습니다. 사용 중인 메일·클라우드·업무 시스템이 지원한다면 기존 세션 로그아웃 또는 토큰 폐기 기능도 함께 확인합니다.

변경 우선순위는 권한이 높은 계정부터입니다

1. 감염 PC에서 사용한 관리자·특권 계정
2. 회사 메일과 통합 업무 계정
3. VPN·원격접속 계정
4. 파일서버·NAS 계정
5. 같은 비밀번호를 재사용한 다른 업무 서비스

회사 이메일 계정 자체의 탈취 징후가 있다면 회사 이메일 계정 탈취 대응 절차처럼 메일 전달 규칙, 로그인 기록, 외부 세션까지 별도로 확인하는 것이 좋습니다.

다중인증도 다시 확인합니다

다중인증을 사용 중이라고 해서 모든 상황에서 안전한 것은 아니지만 비밀번호 하나만 사용하는 환경보다 계정 탈취 위험을 줄이는 데 도움이 됩니다. 관리자 계정, 메일, VPN처럼 외부에서 접근할 수 있는 서비스부터 적용 여부를 확인하세요.

공유폴더가 멀쩡해 보여도 놓치기 쉬운 부분

흔한 실수 1: 파일이 열리니 괜찮다고 판단하기

랜섬웨어나 악성코드 피해는 모든 파일에 동시에 나타난다고 볼 수 없습니다. 일부 폴더부터 변경됐거나 아직 대량 작업이 시작되지 않았을 수도 있으므로 최근 수정량, 삭제 기록, 이름 변경 등을 함께 확인하는 것이 좋습니다.

흔한 실수 2: 백업 저장소를 계속 연결해 두기

운영 데이터와 같은 네트워크에서 항상 접근 가능한 백업만 가지고 있다면 감염 시 백업까지 영향을 받을 수 있습니다. KISA도 중요 자료를 네트워크와 분리된 별도 저장소에 정기적으로 백업하는 방식을 권고하고 있습니다.

복구 전에 백업 날짜부터 확인합니다

가장 최신 백업이 반드시 가장 안전한 백업은 아닙니다. 악성코드가 발견되기 며칠 전부터 잠복했다면 최근 백업에도 문제가 포함됐을 가능성을 검토해야 합니다. 복구 시점은 감염 추정 시각과 백업 생성 시점을 함께 놓고 판단하는 편이 좋습니다.

백업 구조	장점	주의할 점
PC와 항상 연결된 외장 저장장치	복구가 간단함	감염 시 함께 영향을 받을 수 있음
사내 NAS	여러 직원이 사용하기 편함	권한과 네트워크 분리, 별도 백업 필요
버전 관리형 클라우드	과거 버전 복구에 유리할 수 있음	계정 탈취와 보존 정책을 함께 확인
오프라인·분리 백업	사내망 감염과 분리 가능	복구 절차와 백업 정상 여부를 정기적으로 검증

사내 저장 방식을 다시 설계해야 한다면 NAS와 클라우드 백업 비교를 참고해 운영 데이터와 백업 데이터를 분리하는 기준부터 잡아볼 수 있습니다.

백신 검사에서 깨끗하면 끝일까? 도구별 역할이 다릅니다

소규모 회사에서는 ‘백신만 있으면 되는가, EDR까지 필요한가’가 현실적인 고민입니다. 핵심은 제품 이름이 아니라 사고가 났을 때 어떤 질문에 답할 수 있느냐입니다.

방식	주요 역할	사고 시 장점	어울리는 환경
일반 백신	알려진 악성 파일 탐지·차단	구성이 비교적 단순함	PC 수가 적고 전담 관리가 어려운 곳
EDR	단말 행위 기록·탐지·대응	감염 경로와 다른 PC 영향을 추적하기 유리함	직원·단말 수가 늘고 원격근무가 있는 조직
관리형 보안관제·MDR	탐지 정보 분석과 대응 지원	내부 전문 인력이 부족할 때 활용 가능	전담 보안팀이 없지만 중요 시스템을 운영하는 조직
침해사고 대응 전문 서비스	사고 범위·원인·복구 분석	이미 사고가 발생한 상황에 적합	서버, 관리자 계정, 개인정보가 관련된 사고

무료에 가까운 기본 대응으로 충분한 경우

단말 수가 매우 적고 관리자 권한이 제한돼 있으며 중요 서버와 분리된 PC라면 운영체제 보안 업데이트, 기본 백신, 최소권한, 다중인증, 분리 백업부터 제대로 갖추는 것이 우선일 수 있습니다.

비용을 더 쓸 가치가 커지는 경우

• 직원 수와 PC 수가 늘어 누가 어떤 파일을 실행했는지 추적하기 어렵습니다.
• 재택근무와 외부 접속이 많습니다.
• 사내 파일서버나 NAS에 핵심 업무자료가 집중돼 있습니다.
• IT 담당자가 보안을 겸직하고 있습니다.
• 사고 발생 시 영업 중단 비용이 큰 업종입니다.

구체적인 기능 차이는 중소기업용 백신과 EDR 차이에서 비교해 볼 수 있습니다.

구매 전에 이 네 가지를 묻습니다

• 감염 PC를 원격으로 네트워크 격리할 수 있는가?
• 행위 기록을 어느 정도 기간 확인할 수 있는가?
• 경고만 제공하는가, 실제 분석 지원도 포함되는가?
• 사고 발생 시 연락할 수 있는 대응 창구와 지원 범위가 명확한가?

개인정보가 저장된 PC였다면 대응 범위가 달라집니다

인사자료, 고객 명단, 주민등록번호, 진료·상담자료, 결제 관련 정보 등 개인정보가 저장되거나 접근 가능한 PC였다면 단순 악성코드 치료만으로 판단을 끝내지 않는 것이 좋습니다.

‘감염’과 ‘유출’은 같은 말이 아닙니다

악성코드가 발견됐다는 사실만으로 개인정보가 외부로 유출됐다고 단정할 수는 없습니다. 반대로 파일 암호화가 없었다고 해서 정보 탈취가 없었다고 판단할 수도 없습니다.

외부 통신 기록, 계정 로그인, 파일 접근 기록, 악성코드 기능 등을 통해 유출 가능성을 별도로 판단해야 합니다.

신고 대상 여부는 공식 기준으로 확인합니다

기업·기관의 개인정보 유출이나 침해사고는 사고 성격과 적용 법령 등에 따라 신고 절차가 달라질 수 있습니다. KISA도 개인정보 유출 신고와 해킹 등 침해사고 신고를 구분해 안내하고 있으므로 사고 규모가 커질수록 개인정보보호 담당자와 공식기관 안내를 함께 확인하는 것이 좋습니다.

사고 증거를 무엇부터 보존해야 할지 막막하다면 해킹 피해 발생 시 보존할 증거자료도 함께 확인해 두면 좋습니다.

KISA 118은 해킹·바이러스 긴급상담과 침해사고 신고 창구를 안내하고 있으며, 현재 해킹·바이러스 긴급상담은 365일 24시간 이용할 수 있도록 안내되고 있습니다.

이 글이 필요한 사람과 다른 도움이 필요한 사람

사내 담당자가 먼저 대응해 볼 수 있는 상황

• 특정 직원 PC 한두 대에서 의심 징후가 발견됐습니다.
• 네트워크 격리가 가능하고 업무 서버는 정상입니다.
• 관리자 계정 침해 징후가 아직 발견되지 않았습니다.
• 기본적인 로그와 백신 기록을 확인할 담당자가 있습니다.

전문가의 도움이 필요한 신호

• 여러 PC에서 동시에 같은 증상이 나타납니다.
• 파일서버나 NAS의 파일까지 암호화·삭제되고 있습니다.
• 도메인 관리자나 서버 관리자 계정이 관련됐습니다.
• 새 관리자 계정이나 정체불명의 원격접속 흔적이 발견됩니다.
• 백업까지 손상됐거나 정상 복구 여부를 판단하기 어렵습니다.
• 고객·직원 개인정보가 외부로 전송됐을 가능성이 있습니다.
• 회사 업무가 중단될 정도로 피해 범위가 넓습니다.

업체에 연락하기 전에 준비할 자료

준비 항목	기록할 내용
최초 발견	날짜, 시각, 발견자
PC 정보	사용자, PC명, 운영체제
증상	백신 경고, 파일 암호화, 이상 접속 등
연결 자산	메일, NAS, 파일서버, VPN, 관리자 시스템
현재 조치	격리, 계정 중지, 세션 종료 여부
보존 자료	스크린샷, 로그, 의심 파일명, 메일 정보

자주 묻는 질문

직원 PC에서 악성코드가 발견되면 랜선을 바로 뽑아도 되나요?

일반적인 초기 대응에서는 다른 사내 장비와 통신하지 못하도록 유선 LAN과 무선 네트워크를 격리하는 것이 우선입니다. 다만 회사가 EDR 등의 중앙 관리 도구를 사용한다면 관리 콘솔을 이용한 격리가 더 적합할 수도 있습니다.

악성코드 감염 PC는 바로 전원을 꺼야 하나요?

항상 그렇지는 않습니다. 전원을 끄면 조사에 유용한 메모리 정보가 사라질 수 있으므로 네트워크 격리가 가능한 경우 먼저 격리하고 상황을 판단하는 편이 좋습니다. 다만 암호화가 빠르게 진행되거나 다른 방법으로 피해를 중단하기 어려운 상황에서는 판단이 달라질 수 있습니다.

백신에서 치료 완료라고 나오면 다시 사용해도 되나요?

치료 결과만으로 즉시 정상 업무망에 복귀시키는 것은 신중할 필요가 있습니다. 감염 원인, 계정 탈취 가능성, 지속성 흔적, 다른 PC와 서버의 이상 여부를 확인한 뒤 재연결하는 편이 안전합니다.

회사 전체 직원의 비밀번호를 모두 바꿔야 하나요?

무조건 전 직원의 모든 계정을 한꺼번에 변경하는 것보다 실제 노출 가능성이 있는 계정을 먼저 식별하는 방식이 현실적입니다. 감염 PC에서 사용한 관리자 계정, 메일, VPN, 파일서버 계정을 우선 확인하고 비밀번호 재사용 여부까지 살펴보세요.

다른 직원들도 같은 이메일을 받았다면 무엇을 해야 하나요?

해당 제목, 발신자, 첨부파일을 직원들에게 공유해 열지 않도록 알리고 메일 관리자가 동일 메시지의 수신 범위를 확인하는 것이 좋습니다. 이미 첨부파일을 실행한 직원이 있다면 해당 단말도 별도로 확인합니다.

NAS 파일이 아직 정상이라면 피해가 없다고 봐도 될까요?

현재 파일이 열린다는 이유만으로 피해가 없다고 확정하기는 어렵습니다. 최근 대량 수정, 삭제, 이름 변경 기록과 감염 사용자의 NAS 접근 기록을 확인하고 백업도 함께 점검하는 편이 좋습니다.

백신과 EDR을 둘 다 사용해야 하나요?

회사 규모와 위험도에 따라 달라집니다. 기본 백신과 패치, 다중인증, 백업이 제대로 관리되지 않는 조직이라면 우선 기본 통제를 정비하는 것이 중요합니다. 반면 단말이 많거나 원격근무·중요 서버 접근이 빈번하다면 EDR의 탐지 기록과 원격 격리 기능이 도움이 될 수 있습니다.

직원 PC 한 대 감염으로 KISA에 신고해야 하나요?

악성코드 발견 사실만으로 모든 기업에 동일한 신고 요건이 적용된다고 단정하기는 어렵습니다. 해킹·랜섬웨어 등 실제 침해사고가 발생했거나 개인정보 유출 가능성이 있다면 사고 유형과 회사에 적용되는 의무를 KISA 118, 보호나라, 개인정보 담당자 등을 통해 확인하는 것이 좋습니다.

지금 15분 안에 이 기록부터 만드세요

사고가 발생했을 때 가장 비싼 자원은 보안 프로그램이 아니라 시간입니다. 하지만 서두른다고 이것저것 동시에 실행하면 오히려 흔적을 잃고 대응 순서가 꼬일 수 있습니다.

지금 한 가지 행동만 한다면 종이나 별도 문서에 아래 일곱 항목을 적어 두세요.

1. 감염 의심 PC 사용자와 PC 이름
2. 이상 징후를 처음 발견한 정확한 시각
3. 직전에 열었던 이메일·파일·사이트
4. 현재 네트워크 격리 여부
5. 해당 사용자가 접근 가능한 서버와 공유폴더
6. PC에서 사용한 관리자·메일·VPN 계정
7. 다른 직원에게 동일 증상이 있는지 여부

자체 판단이 어렵다면 국번 없이 118 또는 KISA 보호나라의 침해사고 안내를 확인하고, 서버·관리자 계정·개인정보가 관련된 사고라면 초기 자료를 보존한 상태에서 전문 대응 여부를 검토하는 것이 좋습니다.

최종 검토: 2026-08