시놀로지 NAS 랜섬웨어 경보｜교회 피해 사례로 보는 외부 접속 차단·DSM 업데이트 방법

어느 교회의 메인 NAS가 하룻밤 사이에 랜섬웨어에 감염됐습니다. 예배 영상, 설교 원고, 행정 문서, 수년 치 사진이 모두 열리지 않는 파일로 바뀌었습니다. NAS에 연결해 두었던 외장하드까지 함께 잠겼습니다.

시놀로지 NAS를 쓰는 모든 분께 해당하는 이야기입니다. 교회, 회사, 가정 모두 마찬가지입니다. 특히 많은 교회가 시놀로지(Synology) NAS 하나에 교회의 모든 자료를 모아 두고, 집이나 외부에서도 쓰려고 인터넷에 열어 둡니다. 이 글에서는 실제 피해 교회의 사례를 먼저 살펴보고, 지금 바로 공유기와 NAS에서 외부 접속을 막고 업데이트하는 방법을 단계별로 정리합니다.

실제 피해 교회의 사례

피해 교회가 교인들에게 알린 공고를 바탕으로 정리했습니다. 교회 이름은 밝히지 않습니다.

무슨 일이 있었나

• 알게 된 시각: 2026년 10월 29일 오후 4시 30분.
• 증상: 파일 확장자가 lock3d로 바뀌고 열리지 않았습니다. C3RB3R 계열 랜섬웨어로 확인됐습니다.
• 침입 시각: 새벽 2시 이전 기록이 모두 지워져 있었습니다. 새벽 2시 무렵 NAS를 빼앗긴 것으로 보입니다.
• 피해 범위: NAS와 NAS에 연결된 외장하드가 모두 감염됐습니다. 다른 내부망 PC의 감염은 아직 확인되지 않았습니다.
• 원인 추정: 시놀로지 운영체제인 DSM 자체의 취약점을 노린 신종 공격으로 보고 있습니다. 시놀로지 공식 공지는 아직 없지만, 서버포럼·레딧 같은 커뮤니티에서 하루 사이에 비슷한 피해가 잇따라 보고되고 있습니다.

교회는 이렇게 대응했습니다

1. NAS의 랜선을 뽑고 전원을 껐습니다.
2. 한국인터넷진흥원(KISA)에 해킹 피해를 신고했습니다.
3. 교역자실에 임시 공유 저장소를 만들고, 각자 PC에 남아 있는 자료를 다시 모으고 있습니다.
4. 감염된 NAS는 지우지 않고 통째로 보관합니다. 나중에 복호화 도구가 나오면 쓰기 위해서입니다.

네 가지 모두 올바른 대응입니다. 특히 감염된 NAS를 바로 초기화하지 않고 보관한 것이 중요합니다. 초기화하면 나중에 복호화 도구가 나와도 되살릴 파일이 없습니다.

지금 무슨 일이 벌어지고 있나: 기사로 보는 C3RB3R 랜섬웨어

• 10월 29일 보도에 따르면, C3RB3R(Cerber 계열) 랜섬웨어가 시놀로지 NAS를 공격하고 있습니다. 파일 이름 끝에 .L0CK3D(또는 .LOCK3D)를 붙이고, 폴더마다 read-me3.txt라는 협박 메모를 남깁니다. PBX Science: Synology NAS Ransomware Alert
• 시놀로지는 9월 18일 보안 공지 Synology-SA-26:13에서 DSM의 치명적(Critical, 9.8점) 취약점 2개를 포함한 8개 취약점을 고쳤습니다. 공지에는 업데이트 말고 다른 임시 대책은 없다고 적혀 있습니다. Synology-SA-26:13 DSM
• 싱가포르 사이버보안청(CSA)도 9월 23일 같은 취약점에 대해 "즉시 최신 버전으로 업데이트하라"고 경고했습니다. CSA 경보 AL-2026-127
• 피해자들이 모여 정보를 나누는 게시판도 있습니다. 한 피해자는 백신 업체 Emsisoft에서도 아직 복호화 방법이 없다는 답을 받았다고 적었습니다. BleepingComputer 포럼: C3RB3R .LOCK3D/.L0CK3D

주의할 점이 하나 있습니다. 최신 DSM 7.4.1을 쓰던 NAS도 감염됐다는 보고가 있습니다. 대응 업체들은 아직 정확한 침입 경로를 확정하지 못했고, 새 취약점이나 설치한 패키지, 유출된 비밀번호가 원인일 가능성도 열어 두고 있습니다. 그래서 업데이트만으로는 부족하고, NAS를 인터넷에서 보이지 않게 막는 것이 먼저입니다.

우리 교회 NAS, 지금 바로 할 일

순서가 중요합니다. 문을 먼저 닫고(공유기), 그다음 집을 고칩니다(NAS).

이미 감염된 NAS는 아래 작업을 하지 마세요. 랜선을 뽑은 채로 보관하고 전문가와 상의하세요. 아래 내용은 아직 감염되지 않은 NAS, 새로 들이는 NAS를 위한 것입니다.

0단계: 감염 여부부터 확인합니다

• File Station에서 파일 확장자가 .lock3d, .L0CK3D로 바뀐 파일이나 read-me3.txt가 있는지 봅니다.
• 하나라도 보이면 바로 랜선을 뽑고 전원을 끕니다. 이후 단계는 진행하지 말고 KISA에 신고합니다.

1단계: 공유기에서 외부 접속 막기

교회에서 가장 많이 쓰는 ipTIME 공유기를 예로 듭니다. 다른 공유기도 메뉴 이름만 조금 다를 뿐 같은 항목이 있습니다.

1. 공유기 관리 화면에 들어갑니다. 교회 PC 웹 브라우저 주소창에 192.168.0.1을 입력하고 관리자 계정으로 로그인합니다.
2. 포트포워드를 지웁니다. 고급 설정 → NAT/라우터 관리 → 포트포워드 설정으로 갑니다. NAS 주소로 연결된 규칙을 모두 삭제합니다. 특히 5000, 5001(DSM 관리 화면), 22(SSH), 23(Telnet), 445(파일 공유) 포트는 절대 열어 두면 안 됩니다.
3. UPnP를 끕니다. UPnP가 켜져 있으면 NAS가 스스로 공유기 포트를 열 수 있습니다. 공유기 설정에서 UPnP 항목을 찾아 끕니다.
4. DMZ·Twin IP를 끕니다. DMZ에 NAS가 지정되어 있으면 NAS 전체가 인터넷에 그대로 드러납니다. 고급 설정 → NAT/라우터 관리 → DMZ/Twin IP 설정에서 꺼져 있는지 확인합니다.
5. 공유기 원격 관리를 끄고 비밀번호를 바꿉니다. 공유기 관리 화면을 밖에서 접속할 수 있게 해 두었다면 끄고, 관리자 비밀번호를 기본값이 아닌 긴 비밀번호로 바꿉니다.
6. 공유기 펌웨어도 업데이트합니다. 관리 화면의 펌웨어 업그레이드 메뉴에서 최신 버전으로 올립니다.

막혔는지 확인하기: 휴대폰 와이파이를 끄고 LTE·5G로 http://교회공인IP:5000과 https://교회공인IP:5001에 접속해 봅니다. 화면이 열리지 않으면 잘 막힌 것입니다.

2단계: NAS에서 외부 접속 막기

DSM 7.2 기준입니다. 버전에 따라 메뉴 이름이 조금 다를 수 있습니다.

1. QuickConnect를 끕니다. 제어판 → 외부 액세스 → QuickConnect에서 "QuickConnect 활성화"를 해제합니다. 꼭 밖에서 써야 한다면 3단계의 VPN 방식을 씁니다.
2. NAS의 자동 포트 열기를 끕니다. 제어판 → 외부 액세스 → 라우터 구성에 등록된 규칙이 있으면 삭제합니다.
3. DDNS를 정리합니다. 제어판 → 외부 액세스 → DDNS에 쓰지 않는 주소가 있으면 지웁니다.
4. SSH·Telnet을 끕니다. 제어판 → 터미널 및 SNMP에서 SSH와 Telnet 서비스를 모두 해제합니다.
5. 방화벽을 켭니다. 제어판 → 보안 → 방화벽에서 방화벽을 켜고, 교회 내부망(예: 192.168.0.0/24)만 허용하고 나머지는 모두 거부하는 규칙을 만듭니다.
6. 안 쓰는 패키지를 지웁니다. 패키지 센터에서 쓰지 않는 앱(웹 서버, 컨테이너, 미디어 서버 등)은 중지하거나 삭제합니다.

3단계: DSM과 패키지 업데이트하기

1. 제어판 → 업데이트 및 복원 → DSM 업데이트로 갑니다.
2. "지금 업데이트"를 눌러 최신 버전을 설치합니다. 시놀로지 공지 기준으로 최소 아래 버전 이상이어야 합니다.

1. 같은 화면의 업데이트 설정에서 중요 업데이트 자동 설치를 켭니다.
2. 패키지 센터 → 설치됨에서 "모두 업데이트"를 누릅니다.
3. DSM 7.2 이전 버전(DSM 6 등)을 쓰고 있다면 지원이 끝났거나 끝나 가는 버전입니다. 장비 교체를 검토하세요.

4단계: 계정 잠그기

1. 기본 admin 계정을 끕니다. 제어판 → 사용자 및 그룹에서 admin 계정을 비활성화하고, 이름을 짐작하기 어려운 관리자 계정을 따로 씁니다.
2. 비밀번호를 모두 바꿉니다. 특히 관리자 계정은 다른 곳에서 쓰지 않는 긴 비밀번호로 바꿉니다.
3. 2단계 인증을 켭니다. 개인 → 보안(또는 제어판 → 사용자 및 그룹 → 고급)에서 관리자 계정에 2단계 인증을 강제합니다.
4. 자동 차단을 켭니다. 제어판 → 보안 → 보호에서 자동 차단을 켜고, 예를 들어 5분 안에 5번 로그인에 실패하면 차단하도록 설정합니다.
5. 보안 어드바이저를 돌립니다. 보안 어드바이저 앱에서 검사를 실행하고, 경고가 나온 항목을 하나씩 고칩니다.

5단계: 백업을 다시 짭니다

이번 피해 교회는 NAS에 연결해 둔 외장하드까지 함께 잠겼습니다. NAS에 늘 꽂혀 있는 외장하드는 백업이 아닙니다.

• 3-2-1 원칙: 자료는 3벌로 두고, 2가지 다른 매체에 저장하며, 1벌은 교회 밖이나 오프라인에 둡니다.
• 오프라인 백업: 외장하드는 백업할 때만 연결하고, 끝나면 뽑아서 따로 보관합니다.
• 스냅샷: 스냅샷 복제(Snapshot Replication) 패키지로 공유 폴더 스냅샷을 정기적으로 만들고, 변경 불가(Immutable) 스냅샷을 켭니다. 랜섬웨어가 관리자 권한을 얻어도 정해진 기간 동안 지울 수 없습니다.
• 복원 연습: 백업이 실제로 되살아나는지 한 달에 한 번 파일 몇 개로 확인합니다.

밖에서 꼭 써야 한다면

외부 접속을 다 막으면 집에서 자료를 못 쓰게 됩니다. 그래도 NAS를 인터넷에 직접 여는 것보다는 아래 방법이 안전합니다.

• 공유기나 NAS의 VPN으로 먼저 교회 내부망에 들어온 뒤 NAS를 씁니다.
• 꼭 필요한 사람의 IP만 방화벽에서 허용합니다.
• 외부 공유가 필요한 파일은 기간과 비밀번호를 건 공유 링크로만 보내고, 다 쓰면 지웁니다.

이미 감염됐다면

1. 랜선을 뽑고 전원을 끕니다. 같은 망에 있는 다른 PC와 외장하드도 확인합니다.
2. 몸값을 내지 마세요. 낸다고 복구된다는 보장이 없고, 다시 공격받을 수 있습니다.
3. KISA 보호나라(boho.or.kr) 또는 118 상담센터에 신고합니다. KISA 보호나라
4. 감염된 NAS와 디스크는 초기화하지 말고 그대로 보관합니다.
5. 복호화 도구가 나왔는지 No More Ransom에서 가끔 확인합니다.
6. 새 NAS는 이 글의 1~5단계를 마친 뒤에 내부망에만 연결합니다.

마치며

피해 교회의 대응을 정리하면 이렇습니다. 빨리 끊었고, 신고했고, 자료를 다시 모았고, 감염된 장비는 보관했습니다. 그래도 수년 치 자료를 한 번에 잃을 수 있다는 사실은 변하지 않습니다.

이번 주 안에 우리 교회 공유기에서 NAS로 열린 포트가 있는지 한 번 확인해 보세요. 10분이면 됩니다. 그 10분이 교회의 수년 치 자료를 지킵니다.

이 글이 도움이 되셨나요?

좋아요를 눌러주시고, 댓글로 궁금하신 점을 남겨주세요. 여러분의 질문이 다음 글을 만드는 데 큰 도움이 됩니다.

더 깊은 미디어와 AI 정보는 카카오톡 오픈채팅방에서 만나보실 수 있습니다.