랜섬웨어 지불률 역대 최저 — 그런데 평균 지불액은 176% 급등했다
Coveware 2026년 2분기 데이터에서 평균 지불액은 188만 달러로 176% 뛰었지만 중앙값은 15만 달러로 반토막 났습니다. 이 괴리가 무엇을 뜻하는지, 그리고 협상 전 반드시 확인해야 할 법적 리스크를 정리했습니다.
2026년 2분기 — 평균과 중앙값이 갈라졌다
· 평균 지불액 1,880,612달러 — 1분기 대비 176% 급등
· 중앙값 지불액 150,000달러 — 50% 하락
· 전체 지불률 역대 최저 경신
· 데이터 유출만 있는 경우의 지불률 15%로 하락
왜 평균만 뛰었나
평균과 중앙값의 괴리는 소수의 대형 지불에서 나왔다. 특히 Silent Ransom(Luna Moth)이 대형 로펌을 겨냥한 캠페인에서 표적형 사회공학으로 확보한 민감 법률 기록의 공개를 협박해 거액을 받아낸 것이 주요 원인이다.
즉 대부분의 기업은 덜 내거나 아예 내지 않게 됐지만, 특정 업종의 특정 데이터는 여전히 비싼 값에 팔린다. 업종별로 위험 프로파일이 갈리고 있다는 신호다.
추세 — 지불은 줄고 피해 공개는 늘었다
- Coveware 2025년 4분기 지불률 20% — 당시 사상 최저, 평균 지불액 591,988달러
- Chainalysis — 2025년 온체인 랜섬웨어 지불액 약 8억 2,000만 달러로 2021년 이후 최저, 2024년 대비 8% 감소
- 반면 NCC Group — 유출 사이트에 게시된 피해자는 50% 증가해 7,874명으로 사상 최대
더 많은 기업이 돈을 내지 않고 유출을 감수하기로 선택하고 있다는 뜻이다.
협상의 실제 — 요구액 대비 8.7%
Coveware 데이터에 따르면 실제 지불액은 최초 요구액의 약 8.7% 수준이다. Sophos 기준 2025년 중앙값 요구액 132만 달러에 대해 중앙값 지불액은 11만~11.5만 달러에 형성됐다.
이 격차가 벌어지는 이유는 세 가지다:
- 피해 기업의 대응 역량 향상
- 사이버보험을 통한 전문 협상가 투입
- 공격자가 삭제 약속을 지킬 것이라는 신뢰의 붕괴
전형적인 협상 업무는 요구 조건 분류 → 위협 행위자 식별 → 역제안 구조 설계 → 암호화폐 거래 실행 → 복호화 증명 검증 순으로 진행된다. Coveware 같은 업체는 협상 · 지불 · 복호화를 담당하며, 포렌식은 별도 기술 IR 파트너와 짝을 이루는 것이 일반적이다.
⚠️ OFAC — 몰랐어도 책임진다
차단 대상자에게 지불하면 제재 집행 대상이 될 수 있으며, 2021년 자문은 미국인이 지불을 중개한 경우 수취인의 제재 대상 여부를 몰랐더라도 민사 제재를 받을 수 있다고 명시한다.
적용 범위가 넓다는 점이 특히 중요하다. 이 자문은 지불을 돕는 모든 주체에 적용된다 — 사이버 보험사, 금융기관, 포렌식 · IR 업체까지.
Evil Corp(2019년 12월 SDN 지정)처럼 위협 행위자가 SDN 목록에 있는 경우 어떤 지불도 민사 · 형사 위반이 될 수 있어 OFAC 개별 허가 없이는 협상 자체가 법적으로 불가능하다.
반대로 감경 요소도 명시돼 있다 — 공격 이전의 견고한 보안 체계와 신속한 신고 및 수사기관과의 지속적 협조다.
지불해도 돌아오지 않는다
CISA 지침과 FBI 자문이 반복하는 경고다. 지불은 데이터 삭제를 보장하지 않는다. 2025년 Sophos 조사에서 지불한 응답자 중 49%만이 데이터를 돌려받았다.
실무 체크리스트
- ☐ 사고대응계획에 OFAC 제재 준수 절차 명문화
- ☐ 사고 발생 시 경영진에게 OFAC 리스크 브리핑하는 절차 지정
- ☐ 협상 착수 전 위협 행위자 SDN 목록 대조 필수
- ☐ 직접 협상 금지 — 전문 협상 업체 활용 (감정적 대응이 금액을 올린다)
- ☐ 지불 전 복호화 증명 요구 (소수 파일 시범 복호화)
- ☐ 사이버보험 약관의 랜섬웨어 · 제재 관련 면책 조항 사전 확인
- ☐ 신속 신고 + 수사기관 협조 — OFAC 감경 요소
- ☐ 3-2-1-1 백업 및 분기 1회 실제 복구 훈련 (협상 테이블에 앉지 않는 것이 최선)
지불률은 사상 최저로 내려가고 있다. 그 말은 준비된 기업이 늘고 있다는 뜻이다.