랜섬웨어 사고 보고서를 보면 빠지지 않고 등장하는 문구가 있다. “인터넷에 노출된 RDP(원격 데스크톱 프로토콜, 포트 3389)를 통해 최초 침투가 이루어졌다”는 것이다. RDP 자체가 취약한 기술은 아니지만, 포트를 인터넷에 그대로 열어두는 순간 전 세계 스캐너의 표적이 된다는 점이 문제다. 공격자 입장에서 RDP는 “로그인만 뚫으면 화면 전체를 손에 넣을 수 있는” 매우 효율 높은 침투 경로이기 때문이다.
왜 하필 RDP가 표적이 되는가
RDP는 인증에 성공하면 해당 PC의 화면과 파일, 설치된 프로그램까지 그대로 사용할 수 있다. 웹 서비스 취약점처럼 별도의 익스플로잇 체인을 만들 필요 없이, 계정 하나만 확보하면 사실상 그 PC의 관리자가 되는 셈이다. 게다가 3389번 포트를 인터넷에 노출한 서버는 Shodan 같은 검색 엔진으로 손쉽게 찾아낼 수 있어, 공격자 입장에서는 “찾기도 쉽고 뚫으면 보상도 큰” 표적이 된다.
일반적으로 알려진 공격 흐름
- 스캐닝: 공격자는 인터넷 전체 대역에서 3389 포트가 열린 IP를 자동으로 수집한다.
- 무차별 대입 공격(Brute-force): 자동화 툴로 흔한 아이디·비밀번호 조합을 반복 시도해 로그인을 뚫는다.
- 탈취된 자격증명 활용: 다른 유출 사고에서 나온 아이디·비밀번호 조합이 다크웹에서 거래되며, 이를 그대로 대입해 시도하는 경우도 흔하다(비밀번호 재사용이 원인).
- 초기 접근 판매(Initial Access Broker): 로그인에 성공한 접근 권한 자체를 다른 공격 그룹에 되파는 생태계가 존재한다고 널리 알려져 있다.
- 내부 확산 및 실행: 접근 권한을 넘겨받은 그룹이 백신을 끄고, 백업을 삭제한 뒤 랜섬웨어를 실행하는 방식이 다수의 침해 사고 보고서에서 공통적으로 보고된다.
즉 RDP 침투는 어느 한 번의 “해킹 기술”이 아니라, 스캐닝→계정 탈취→권한 판매→랜섬웨어 실행으로 이어지는 분업화된 산업 구조에 가깝다.
그래서 어떻게 막아야 하는가
- RDP 포트를 인터넷에 직접 노출하지 않는다: 3389 포트를 공인 IP에 그대로 열어두지 말고, VPN이나 별도 게이트웨이 뒤에 두는 것이 기본이다.
- 다단계 인증(MFA)을 적용한다: 비밀번호가 뚫려도 추가 인증 단계가 있으면 로그인 자체를 막을 수 있다.
- 계정 잠금 정책을 켠다: 로그인 실패가 반복되면 일정 시간 계정을 잠가 무차별 대입 공격의 효율을 크게 떨어뜨린다.
- 불필요한 계정을 정리한다: 기본 Administrator 계정 이름 변경, 퇴사자·휴면 계정 삭제는 기본이지만 자주 누락된다.
- 원격제어 SaaS로 전환을 검토한다: 포트를 열 필요 없이 아웃바운드 연결만으로 화면을 공유하는 방식은 애초에 스캐닝·무차별 대입의 대상이 되는 포트 자체가 사라진다는 점에서 구조적으로 공격 표면을 줄여준다.
실무자를 위한 한 줄 정리
RDP를 쓰지 말라는 이야기가 아니라, “포트를 인터넷에 그대로 노출한 채” 쓰지 말라는 것이다. 이미 다른 곳에서 유출된 비밀번호가 다크웹에서 재활용되고, 계정 하나가 뚫리면 그 접근 권한 자체가 상품처럼 거래되는 생태계가 존재한다는 점을 감안하면, 원격 접속 환경을 설계할 때는 “포트를 얼마나 숨길 수 있는가”와 “로그인 단계에서 얼마나 여러 겹으로 확인하는가”를 최우선으로 점검해야 한다. 재택근무·외주 인력·다지점 운영처럼 원격 접속이 상시로 필요한 조직일수록 이 점검은 선택이 아니라 필수다.
재택근무나 원격 지원 환경을 안정적으로 운영하고 싶다면, 브라우저 기반 원격제어 서비스 와이리모트를 한번 살펴보세요.