충북 청주에서 포장 디자인 사무실을 하는 E씨(가상의 사례예요)는 사무실 구석의 NAS에 디자인 원본과 거래처 견적서를 전부 넣어 둬요. NAS는 사무실에 두는 공용 하드디스크 서버예요. 직원 여섯 명이 매일 꺼내 쓰는 공용 서랍이고요. 설치한 뒤로 관리 화면은 한 번도 열어 본 적이 없어요.
10월 29일, 그 NAS를 만든 시놀로지가 경고문을 냈어요. 낡은 DSM을 노린 랜섬웨어 공격을 확인했다는 내용이에요. 시놀로지 NAS 랜섬웨어 소식, 내 NAS가 걸리는지는 3단계로 점검할 수 있어요.
2년 전 패치를 안 올린 NAS가 표적이에요
DSM이란 시놀로지 NAS를 움직이는 운영체제(DiskStation Manager)예요. 스마트폰의 안드로이드 같은 역할이에요. 그 운영체제가 낡았다는 게 문제의 출발점이에요.
시놀로지는 발표문에서 "2024년 12월에 패치한 취약점"을 노린 공격이라고 밝혔어요. 취약한 버전을 쓰는 모든 사용자에게 DSM을 즉시 업데이트하라고 강하게 권했고, 자동 업데이트도 켜 두라고 했어요. 발표문에는 취약점 번호도, 랜섬웨어 이름도 적혀 있지 않고요.
▲ 2024년 보안 공지와 2026년 경고, 약 2년 간격 · 출처: Synology 2026년 10월 29일 발표문(SA-24:20 링크, 원인 결함은 미특정)
시놀로지 발표문은 2024년 11월 5일에 올라온 보안 공지 Synology-SA-24:20 링크를 달아 두었어요. 다만 발표문은 그 공지의 어느 결함이 공격에 쓰였는지 밝히지 않았어요. 참고로 SA-24:20에는 CVE-2024-10441을 비롯해 결함 세 개의 패치가 올라 있어요. CVE는 보안 결함마다 붙는 고유 번호고요. 이 번호들이 이번 랜섬웨어의 원인이라고 확인된 건 아니에요.
BleepingComputer 보도에 따르면 공격당한 파일은 확장자가 .L0CK3D로 바뀌고 read-me3.txt라는 요구 쪽지가 남아요. 같은 보도에 따르면 이 랜섬웨어는 2016년에 나온 유명한 랜섬웨어 서비스 Cerber(C3RB3R로도 표기)의 이름을 빌려 왔어요.
원인이 확정 안 됐는데 왜 업데이트일까요
여기서 의심이 하나 생기죠. "정확히 어떤 결함인지도 모르는데, 업데이트가 답이 맞아요?"
솔직히 시놀로지가 어느 결함인지 밝히지 않아서, 특정 CVE를 범인으로 단정할 수 없어요.
그래도 결론은 같아요. 시놀로지가 직접 말한 입구는 '2024년 12월에 이미 고쳐진 결함'이고, 막는 방법은 업데이트예요. BleepingComputer는 보안 감시 단체 Shadowserver가 인터넷에 노출된 시놀로지 NAS를 38만 대 넘게 집계한다고 전했어요. 감염되거나 취약한 대수가 아니라 밖에서 접속되는 대수예요. 그래도 공유기에서 NAS 관리 화면을 밖으로 열어 둔 사무실이라면 남의 일이 아니에요.
NAS는 사 두면 끝나는 가전이 아니라, 주기적으로 업데이트와 백업을 확인해야 하는 장비로 보는 편이 안전해요.
무료로 쓸 수 있는 방어 도구 3가지
지금 쓰는 NAS와 PC가 조건에 맞으면 새로 살 장비는 없어요. DSM 안에 들어 있는 도구와 오픈소스 백업 프로그램 하나면 돼요. 다만 불변 스냅샷은 WORM을 지원하는 모델이어야 하고, 사무실 밖 백업에는 저장소(클라우드 계정이나 SFTP 서버)가 따로 필요해요. 이 둘은 조건에 안 맞으면 새로 갖춰야 할 수 있어요. 아래 표에서 내 사무실에 맞는 걸 골라 보세요.
| 방법 | 비용 | 필요한 사양 | 막아 주는 것 | 아쉬운 점 |
|---|---|---|---|---|
| DSM 자동 업데이트 | 0원 (DSM 기본 기능) | 관리자 로그인 | 새 결함이 막힌 버전 유지 | 업데이트 중 재시작이 필요할 수 있어요 |
| 불변 스냅샷 (Snapshot Replication) | 별도 구입 비용은 확인되지 않았고, 스냅샷이 쌓인 만큼 NAS 저장공간을 써요 | Btrfs 볼륨, 불변(WORM) 스냅샷을 지원하는 시놀로지 모델 | 관리자 계정이 뚫려도 보호 기간 안에는 삭제 불가 | 같은 NAS 안이라 장비 고장·화재엔 무력해요 |
| 외부 백업 (restic, BSD 2-Clause) | 프로그램 0원, 저장소는 별도 (아래 계산 참고) | Linux 또는 macOS PC 한 대(아래 실습 기준), 외부 저장소 | 사무실 밖에 암호화된 사본 | 처음 설정에 손이 가고, 복원 연습이 필요해요 |
시놀로지 블로그는 불변 스냅샷에 WORM을 지원하는 모델이 필요하다고 설명해요. 내 모델이 되는지는 모델 사양에서 먼저 확인하세요.
자동 업데이트는 DSM의 제어판 > 업데이트 및 복원에서 설정해요. 2025년 이후 나온 모델은 매일 확인해 정해진 시간에 설치하고, 그 전 모델은 중요 업데이트만 자동 설치하는 옵션을 고를 수 있어요(Synology 지식센터 안내).
불변 스냅샷은 시놀로지가 "관리자나 탈취당한 관리자 계정도 보호 기간 안에는 지울 수 없다"고 설명하는 기능이에요. 랜섬웨어가 관리자 권한을 얻어도 스냅샷은 못 지워요. 다만 같은 NAS 안에 있는 사본이라, 시놀로지도 사무실 밖에 세 번째 사본을 두는 3-2-1 백업을 권해요.
▲ 3-2-1 백업 규칙 · 출처: Synology 랜섬웨어 대비 안내(3번째 사본은 오프사이트·클라우드)
restic은 직접 구성하는 만큼 손이 가요. 대신 클라우드(S3, BackBlaze B2 등)나 SFTP 서버처럼 여러 곳을 저장소로 고를 수 있고, 데이터를 암호화해서 보내요. 저장소 비용은 이렇게 계산해요. 백업할 용량(TB) × 저장소 월 단가예요. 예를 들어 Backblaze B2는 2026년 11월 확인 기준 1TB에 월 6.95달러라서, 백업이 1TB면 월 6.95달러, 3TB면 약 20.85달러예요. 처음 10GB는 무료고요. 백업 버전을 여러 개 보관하면 그만큼 용량이 더 필요할 수 있어요. 단가는 제공자 사정에 따라 바뀌니, 읽는 시점의 요금표를 꼭 확인하세요. 사양은 공식 설치 문서에 최소 요구가 따로 적혀 있지 않아요. 사무용 PC에서 먼저 한 번 돌려 보고, 백업이 새벽 안에 끝나는지 시간을 재 보세요.
청주 디자인 사무실 E씨가 한 일
E씨는 먼저 DSM 관리 화면에서 버전을 봤어요. 업데이트 알림이 몇 달째 떠 있었어요. 공유기를 열어 보니 NAS 쪽으로 열어 둔 포트포워딩 규칙도 하나 있었고요. 외근할 때 도면을 받으려고 3년 전에 열어 둔 거예요. 그 규칙을 지우고, 외근 때는 VPN으로 접속하는 방식으로 바꿨어요.
그다음 업데이트를 올리고 자동 업데이트를 켰어요. 보안 점검 도구(Security Advisor)도 돌려 봤고요. 점검 기사들은 NAS 작업 스케줄러에 모르는 스크립트가 있는지, 사용자 및 그룹에 모르는 관리자 계정이 있는지도 같이 보라고 권해요.
백업은 이렇게 짰어요. 아래 명령은 Linux나 macOS PC 기준이에요. 윈도우 PC는 경로와 예약 방식이 달라서 이 명령을 그대로 쓸 수 없고, 별도 설정이 필요해요. 디자인 폴더는 불변 스냅샷으로 매일 한 번 찍고, 사무실 밖에는 restic으로 밤마다 암호화해서 올리는 식이에요. 밤마다 알아서 돌게 하려면 준비가 두 가지 필요해요. 사람이 없는 시간에는 암호를 대신 입력해 줄 사람이 없기 때문이에요.
준비 1. SSH 공개키로 접속하기. restic 공식 문서는 SFTP로 백업하려면 서버에 내 공개키를 등록해 두라고 안내해요. 서버가 암호를 물으면 자동 백업이 불가능하니, 암호 없이 로그인되는 설정이 중요하다고 짚고요. 백업을 돌릴 PC에서 한 번만 이렇게 해 두세요(주소는 본인 환경에 맞게 바꾸세요).
# 열쇠 한 쌍 만들기 (질문이 나오면 Enter)
ssh-keygen -t ed25519
# 백업 서버에 공개키 등록하기 (이때 한 번만 서버 암호를 입력해요)
ssh-copy-id [email protected]
# 암호를 묻지 않고 들어가지면 성공이에요
ssh [email protected]준비 2. 저장소 암호를 파일에 담기. restic도 백업할 때마다 저장소 암호를 물어요. 공식 문서는 자동화할 때 암호 파일(--password-file 또는 RESTIC_PASSWORD_FILE)이나 암호를 꺼내 주는 프로그램(--password-command)을 쓰라고 안내해요. 암호 파일은 이렇게 만들어요. 암호를 명령에 직접 적으면 터미널의 명령 기록(history)에 그대로 남기 때문에, 아래처럼 화면에 보이지 않는 입력창으로 받아서 파일에 넣어요.
# 내 계정만 읽고 쓰는 빈 파일을 먼저 만들기
install -m 600 /dev/null ~/.restic-pass
# 암호를 입력하고 엔터 (입력하는 글자는 화면에 안 보여요)
printf '저장소 암호: '
read -rs RESTIC_PW
echo
# 입력한 암호를 파일에 한 줄로 적고, 변수는 지우기
printf '%s\n' "$RESTIC_PW" > ~/.restic-pass
unset RESTIC_PW
chmod 600 ~/.restic-pass위 명령은 Linux의 bash와 macOS의 터미널(zsh)에서 쓸 수 있어요. 암호 글자는 명령 자리에 쓰지 않고 입력창에만 치기 때문에 명령 기록에 남지 않아요.
chmod 600은 내 계정만 읽고 쓰게 막는 설정이에요. 암호 파일을 아무나 열 수 있으면 암호화한 보람이 없으니까요. PC가 고장 나면 이 파일도 함께 사라지고, 암호를 잃으면 백업을 열 수 없어요. 그래서 암호 자체는 NAS와 다른 곳에 종이나 비밀번호 관리자로 한 번 더 적어 두세요.
이제 명령에 --password-file만 붙이면 돼요. NAS 공유폴더가 연결된 PC에서 이렇게 실행해요.
# 1. 백업 저장소 만들기 (처음 한 번)
restic -r sftp:[email protected]:/srv/restic-office --password-file ~/.restic-pass init
# 2. 디자인 폴더 백업
restic -r sftp:[email protected]:/srv/restic-office --password-file ~/.restic-pass backup /mnt/nas/designs
# 3. 백업이 쌓였는지 목록 확인
restic -r sftp:[email protected]:/srv/restic-office --password-file ~/.restic-pass snapshots2번 명령이 암호 질문 없이 끝까지 돌면, 그 명령을 그대로 예약하면 돼요. crontab -e에 한 줄을 넣어요. 매일 새벽 2시 예시예요.
0 2 * * * restic -r sftp:[email protected]:/srv/restic-office --password-file /home/내계정/.restic-pass backup /mnt/nas/designs예약 작업에서는 ~가 통하지 않을 수 있으니 암호 파일은 전체 경로로 적으세요. 반드시 먼저 터미널에서 직접 한 번 돌려 보고, 암호나 접속 질문이 한 번도 안 나오는지 확인한 뒤에 예약하세요. 질문이 나오면 예약 실행은 멈추거나 실패해요. 이 준비가 번거로우면 자동화를 접고 매번 직접 실행해도 돼요. 대신 하루라도 빠지면 그날 변경분은 사무실 밖에 없다는 점은 기억하세요. 백업 명령이 에러 없이 끝났는지 한 주에 한 번은 기록을 봐 주세요.
여기까지는 직접 하셔도 충분해요. 이미 파일이 .L0CK3D로 바뀌었거나 모르는 관리자 계정이 나왔다면 얘기가 달라요. 초기화하거나 지우기 전에 어떻게 들어왔는지부터 봐야 해서, 이 단계부터는 전문가와 함께 보시길 권해요.
(주)비젼솔루션은 백업을 '꺼내 본 적이 있는가'로 판단해요. 복원해 본 적 없는 백업은 믿기 이르다고 봐요. 이번 경고도 새로운 공격 기법 때문이라기보다, 2년 묵은 업데이트 숙제가 청구서로 돌아온 경우예요.
지금 따라 해 보세요
▲ 점검 3단계 순서 · 출처: Synology 발표문 및 지식센터, 점검 기사 권고 종합
- 버전과 노출 확인: DSM에 로그인해 제어판 > 업데이트 및 복원에서 설치된 버전과 알림을 봐요. SA-24:20이 안내한 최소 빌드는 DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7, 6.2.4-25556-8이에요. 이 목록은 그 공지에 오른 결함 세 개를 모두 고친 기준이에요. 이번 공격이 어느 결함을 썼는지는 확정되지 않았으니, 최소선에 맞췄더라도 가능하면 지금 올라온 최신 버전으로 올리세요. 공유기에서 NAS로 향하는 포트포워딩 규칙이 있다면 지금 지우세요.
- 업데이트와 자동 업데이트: 업데이트를 설치하고 같은 화면에서 자동 설치 옵션을 켜요. 패키지 센터의 앱도 함께 올리고, Security Advisor 검사를 한 번 돌려요. 모르는 관리자 계정이나 작업 스케줄러의 낯선 스크립트가 보이면 바로 전문가에게 물어보세요.
- 백업과 복원 시험: 중요한 공유폴더에 불변 스냅샷을 켜고(보호 기간은 업무 주기에 맞춰 정해요), 사무실 밖 저장소에 암호화 백업을 하나 더 만들어요(위 E씨 사례의 SSH 공개키·암호 파일 준비를 먼저 하세요). 마지막으로 폴더 하나를 실제로 복원해 열어 보세요.
restic -r 저장소주소 --password-file ~/.restic-pass restore latest --target /tmp/restore-test로 시험할 수 있어요.
자주 묻는 질문
Q. 시놀로지 말고 다른 회사 NAS도 해당되나요?
이번 경고는 시놀로지 DSM에 대한 거예요. 다른 제조사 NAS도 낡은 소프트웨어가 위험하다는 점은 같아서, 제조사 공지에서 업데이트 여부를 확인해 보세요.
Q. 업데이트 알림이 없는데 안전한 건가요?
알림이 없어도 버전이 낮을 수 있어요. 위 1단계에 적은 최소 빌드와 내 버전을 직접 비교해 보세요.
Q. 이미 파일이 .L0CK3D로 바뀌었어요.
연결된 PC를 네트워크에서 분리하고, 깨끗한 백업이 있는지부터 확인하세요. 원인을 모르는 채로 복원하면 같은 입구로 다시 들어올 수 있어요. 이 단계는 전문가와 함께 보시길 권해요.
이번 주에 시간을 내서 위 3단계 중 1단계만이라도 확인해 보세요. NAS를 쓰는 지인이 있다면 이 글을 공유해 주세요. 댓글로 질문하시면 답변드릴게요.