0.036960 BTC 요구…시놀로지 NAS 공격 국내서 잇따라

국내 시놀로지(Synology) 네트워크 저장장치(NAS) 이용자가 랜섬웨어 공격을 받아 파일이 암호화됐다. 공격자는 파일 복구 대가로 5일 안에 0.036960 비트코인(BTC)을 요구했다.

한국인터넷진흥원(KISA)에도 국내 이용자의 피해 신고가 여러 건 접수됐다고 조선비즈(ChosunBiz)는 보도했다. KISA는 조선비즈의 질의에 개별 침해사고의 경위와 원인, 피해 규모, 대응 상황을 구체적으로 답하기 어렵다고 밝혔다.

피해자에게 전달된 협박문은 ‘C3RB3R DECRYPTOR’를 구매하라고 요구했다. 몸값은 0.036960 비트코인으로, 약 2952달러(약 395만원)다.

협박문에는 5일의 지급 기한을 넘기면 요구액을 0.073920 비트코인, 약 5904달러(약 789만원)로 올리겠다는 내용도 담겼다. 두 금액은 공격자가 요구한 액수이며 실제 지급액을 뜻하지 않는다.

NAS는 네트워크에 연결해 사진과 문서 등을 저장하고 공유하는 장치다. 이번 공격으로 암호화된 파일에는 ‘.L0CK3D’가 붙었고, 해당 폴더에는 ‘read-me3.txt’라는 협박문이 남았다. 파일 확장자를 원래대로 바꿔도 암호화된 내용은 복원되지 않는다.

시놀로지는 29일 회사 공지에서 구형 디스크스테이션 매니저(DSM)를 사용하는 장치를 노린 랜섬웨어 공격을 확인했다고 밝혔다. 회사는 공격자가 2024년 12월 이미 수정된 취약점을 악용해 데이터를 암호화하고 몸값을 요구한다고 설명했다.

시놀로지는 취약한 버전 이용자에게 DSM을 즉시 업데이트하고 자동 업데이트를 켜라고 권고했다. 구체적인 수정 버전 기준은 9월 보안 공지에 제시했다.

중국 보안업체 360은 공개한 악성코드 분석에서 기존 Cerber 랜섬웨어의 변종인 C3RB3R가 사용됐다고 밝혔다. 360은 자체 대응 서비스에 접수된 사례를 분석해 DSM 취약점 CVE-2026-13639와 CVE-2026-13684가 공격에 이용됐다고 봤다.

시놀로지는 9월 18일 보안 공지에서 두 취약점을 각각 심각도 9.8점으로 분류했다. 회사는 해당 결함으로 외부 공격자가 인증 없이 파일을 읽거나 쓸 수 있다고 설명하고 수정 버전을 제시했다.

두 발표는 공격 경로를 다르게 설명했다. 시놀로지의 29일 공지는 2024년 수정된 취약점을 언급했지만, 360이 지목한 두 CVE 번호는 명시하지 않았다.

시놀로지와 360은 DSM 보안 업데이트를 대응의 핵심으로 제시했다. 360은 관리자 페이지를 인터넷에 직접 노출하지 말고 중요한 자료를 NAS와 연결되지 않은 별도 저장소에 백업하라고 권고했다. 의심스러운 파일 확장자나 협박문을 발견하면 네트워크 연결을 끊고 점검하라는 안내도 내놨다.

시놀로지가 9월 보안 공지에서 제시한 수정 기준은 DSM 7.4의 경우 7.4-90075, DSM 7.3은 7.3.2-86009-4, DSM 7.2.2는 7.2.2-72806-9, DSM 7.2.1은 7.2.1-69057-12 이상이다.