NSHC 보고서 내용 이미지
NSHC(대표 최병규) 위협분석 연구소 TRLab이 지난 한 해 제조 산업을 겨냥한 사이버 공격을 분석한 결과, 제조업은 이제 단순한 랜섬웨어 표적을 넘어 산업기술 탈취, 공급망 침투, 원격관리도구 악용이 동시에 벌어지는 복합 위협 산업으로 자리잡은 것으로 나타났다. 보고서는 2025년 한 해 동안 제조 산업을 대상으로 발생한 204건의 공격 이벤트를 분석한 결과를 담고 있으며, 제조업이 국가 연계 해킹조직과 사이버 범죄조직, 그리고 정체가 드러나지 않은 공격자들까지 한꺼번에 몰리는 핵심 표적이라고 진단했다.
가장 먼저 눈에 띄는 점은 공격 주체가 불분명한 사례가 압도적으로 많았다는 사실이다. 전체 204건 가운데 160건이 미식별 위협 행위자로 분류됐고, 비중으로는 약 77~78%에 달했다. 보고서는 이 수치가 단순히 분석 한계만을 의미하는 것이 아니라, 공격자들이 공개 도구 재활용, 합법 서비스 악용, 짧은 캠페인 운영, 다단계 인프라 사용 등으로 자신들의 정체를 감추고 있다는 점을 보여준다고 설명했다. 이는 제조업 보안 대응이 특정 해킹그룹 이름을 쫓는 방식만으로는 한계가 있으며, 전술·기술·절차(TTP) 중심의 탐지 체계가 더 중요해졌다는 의미다.
식별된 공격그룹 가운데서는 범죄형 조직인 SectorJ 계열과 중국 연계 SectorB 계열의 활동이 두드러졌다. SectorJ 계열은 18건으로 가장 많은 활동량을 보였고, 랜섬웨어 서비스형 생태계, 데이터 유출, 사회공학 기반 초기 침투, 원격지원 도구 악용 등 전형적인 수익화 공격의 특징을 보였다. 반면 SectorB 계열은 14건으로 뒤를 이었는데, 이들은 제조 기밀 탈취, 산업 스파이 활동, 공급망 연계 침투, 섀도패드(ShadowPad) 계열 백도어 운용 등 전략적 목적의 공격 양상을 드러냈다. 제조업이 돈을 노리는 범죄조직과 기술을 노리는 국가 연계 조직 모두에게 매력적인 목표라는 점이 다시 확인된 셈이다.
피해 국가 분포도 한국 제조업계에 적지 않은 경고를 던진다. 보고서에 따르면 미국이 70건, 한국이 68건으로 가장 많은 피해 사례가 집계됐다. 그 뒤로 독일 36건, 영국 29건, 인도 28건, 러시아 21건, 캐나다와 대만 각 20건, 이탈리아 19건, 터키 18건이 뒤를 이었다. 반도체, 배터리, 자동차, 정밀화학, 조선, 방산 등 전략 제조업이 밀집한 국가들이 상위권에 집중됐다는 점에서, 공격자들이 생산 능력과 공급망 영향력이 큰 국가를 우선적으로 노리고 있음을 보여준다. 특히 한국은 기술 탈취의 가치가 높고, 생산 차질이 곧 큰 손실로 이어지는 구조를 갖고 있어 국가 지원형 공격과 금전 갈취형 공격이 동시에 집중될 가능성이 높은 환경으로 분석됐다.
이번 분석에서 또 하나 주목할 대목은 취약점 악용 방식이다. 제조업 공격에서는 최신 고위험 취약점과 수년 전 공개된 오래된 취약점이 함께 악용된 것으로 나타났다. 보고서는 총 108건의 취약점 활용 기록과 40여 종의 식별 가능한 CVE를 확인했다고 밝혔다. 대표적으로 SAP 넷위버(SAP NetWeaver)의 CVE-2025-31324, 마이크로소프트 익스체인지 서버(Microsoft Exchange Server)의 CVE-2021-34473 및 CVE-2021-34523, 마이크로소프트 오피스 수식 편집기 취약점 CVE-2017-11882, 포티넷 포티OS·포티프록시(Fortinet FortiOS/FortiProxy)의 CVE-2024-55591, 체크포인트 시큐리티 게이트웨이(Check Point Security Gateway)의 CVE-2024-24919, 커넥트와이즈 스크린커넥트(ConnectWise ScreenConnect)의 CVE-2024-1709 등이 반복적으로 악용됐다. 이는 제조 현장의 패치 지연과 레거시 시스템 운영 문제가 여전히 구조적 위험이라는 점을 보여준다.
특히 SAP 넷위버 취약점은 제조기업의 ERP, 생산계획, 구매, 재고, 물류, 회계, 공급망 관리와 깊게 연결된 핵심 시스템에서 악용됐다는 점에서 파급력이 크다. 익스체인지 서버 역시 외부 협력사와 문서 교환이 많은 제조업 특성상 공격자에게 계정 탈취와 내부 확산의 효율적인 출발점이 됐다. 여기에 오래된 오피스 취약점까지 여전히 유효하게 쓰였다는 점은, 제조업이 새로운 공격에만 취약한 것이 아니라 과거 위협까지 누적된 상태라는 점을 드러낸다. 보고서는 제조업의 취약점 관리를 일반적인 CVSS 점수 중심이 아니라 인터넷 노출 여부, 관리자 권한 연계성, 생산 영향도, ERP·메일·원격관리 시스템과의 연결성 등을 함께 따지는 방식으로 바꿔야 한다고 지적했다.
공격 도구 측면에서는 전통적인 악성코드보다 정상 도구의 악용이 훨씬 더 문제로 떠올랐다. 보고서는 총 335건의 도구 사용 기록을 분석한 결과, 깃허브(GitHub) 기반 오픈소스 도구, 마이크로소프트 시스템인터널스(Microsoft SysInternals) 계열 유틸리티, 애니데스크(AnyDesk), 글리치닷컴(Glitch.com), 알클론(Rclone), 코발트 스트라이크(Cobalt Strike), 텔레그램 API, 윈에스씨피(WinSCP), 드롭박스(Dropbox), 어드밴스드 IP 스캐너(Advanced IP Scanner), 아테라(Atera) 등이 반복적으로 사용됐다고 설명했다. 공격자들은 직접 악성코드를 새로 만들기보다 널리 알려진 정상 도구와 서비스, 상용 프레임워크를 섞어 쓰며 탐지를 피하고 비용도 줄이고 있었다.
이 가운데 애니데스크와 아테라 같은 원격관리도구는 제조업 특성상 특히 위험하다. 제조 현장은 설비 유지보수, 원격 장애 대응, 외부 엔지니어 접속, 해외 법인 지원 등으로 원격 도구 사용이 일상적이다. 공격자들은 이 현실을 역이용해 정상 운영 행위처럼 보이는 방식으로 내부에 머무르고, 측면 이동과 지속성 확보까지 이어간다. 또 알클론, 윈에스씨피, 파일질라(FileZilla), 드롭박스, 텔레그램 같은 도구는 설계도면, 부품명세서(BOM), 공정 레시피, 시험성적서, 연구개발 자료 등 고부가가치 정보를 외부로 빼내는 데 사용됐다. 제조업에서는 파일이 암호화되지 않았더라도 이미 중요한 기술 자료가 빠져나갔다면 피해를 되돌리기 어렵다는 점에서, 랜섬웨어 대응과 데이터 유출 대응을 분리해 생각해서는 안 된다는 경고다.
보고서는 2025년 제조업 공격의 핵심 특징으로 금전 갈취와 산업기밀 탈취의 동시 진행, 초기 침투 경로의 다변화, 합법적 도구와 서비스의 무기화, 발주서·견적요청서·배송문서·세금계산서·채용문서 등 제조업 업무 문맥에 맞춘 사회공학 공격, 공급망 및 IoT 장비를 통한 우회 침투, 그리고 BYOVD·DLL 사이드로딩·안티샌드박스 같은 방어 회피 기술의 고도화를 꼽았다. 한마디로 제조업은 IT 시스템만 지키면 되는 환경이 아니라, 생산과 공급망, 원격 운영, 외주 유지보수, 협력사 연결 구조 전체를 함께 지켜야 하는 산업이라는 것이다.
이에 따라 보안 대응도 달라져야 한다. 보고서는 제조업 보안이 일반 사무환경 보안의 연장선으로 다뤄져서는 안 되며, 원격접속 통제, 데이터 유출 감시, 공급망 보안, 제조업 맞춤형 취약점 우선순위화, 사용자 업무 문맥 기반 훈련, 위협 인텔리전스 기반 선제 대응 체계가 핵심 과제로 떠올랐다고 강조했다. 승인된 원격지원 도구 허용 목록 운영, 접속 시간 제한, 다중인증, 점프서버 경유, 세션 로깅, 외주 인력 최소 권한 부여, 비인가 원격도구 설치 탐지 같은 세부 통제가 필요하다는 것이다. 동시에 협력업체와 수탁 운영사, 부품 공급사, 설비 유지보수 인력까지 포함하는 확장된 보안 거버넌스 없이는 제조업 전체를 지키기 어렵다고 분석했다.
결국 이번 보고서가 던지는 메시지는 분명하다. 제조업 사이버보안의 핵심은 단순히 악성코드 몇 개를 막는 것이 아니라, 침투가 발생해도 확산과 유출, 생산 차질을 최소화할 수 있는 구조를 설계하는 데 있다. 한국 제조업은 이미 세계 공급망의 핵심에 올라선 만큼, 공격자에게도 가장 가치 높은 표적군 가운데 하나가 됐다. 이제 제조기업 보안팀은 사후 복구 중심 대응에서 벗어나, 원격관리도구와 정상 서비스의 비정상 사용을 감시하고, 고위험 자산을 우선 보호하며, 공급망 전체를 시야에 넣는 선제적 방어 체계로 전환해야 할 시점이다.
◈국내 최대 사이버위협 인텔리전스 컨퍼런스 K-CTI 2026 개최(4월 7일 코엑스)-7시간 보안교육이수-사전등록 접수중!
대한민국 최대 사이버위협 정보 및 대응방안 공유 컨퍼런스에
보안담당자 여러분을 초대합니다.
-4월 7일(화) 코엑스 3층 컨퍼런스룸E / 보안교육 7시간 이수 인정-
▲행사명: 제13회 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스(K-CTI 2026)
▲주최: 데일리시큐
▲후원: 한국인터넷진흥원 / 한국정보보호산업협회
▲대상: 전국 정부∙공공∙지자체∙교육기관∙금융기관∙의료기관∙일반기업 정보보안 책임자·실무자
(#정보보안과 관련 없는 자는 참석 불가)
▲일시: 2026년 4월 7일(화)
▲장소: 코엑스 3층 컨퍼런스룸E
▲인원: 정보보호 실무자 800여 명(현업 보안책임자/실무자만 참석 가능)
▲참가비: 무료
▲점심/주차권: 제공하지 않습니다.
▲발표자료: 4월 6일 오후 2시 이후부터 다운로드 가능(프로그램란)
▲교육이수: 공무원 및 일반기업 보안교육 7시간/CPPG, CISSP 등 교육이수 7시간 인정
▲참석확인증: 행사 종료후 설문지를 제출해 주신 참관객에게 메일로 일괄 발송
▲사전등록마감: 2026년 4월 5일 오후 6시까지
▲참석불가: 학생, 프리랜서, 무소속, 정보보호 업무와 상관없는 자는 참석 불가
▲참관문의: 데일리시큐 길민권 기자 /
▲사전등록:
클릭
◈보안기업 모집중: 강연 및 전시 참가 국내외 보안기업 모집중 (문의: 데일리시큐 길민권 기자 /
보안 사건사고 제보 하기
보안 관련 어떤 내용이든 제보를 기다립니다!
이메일
광고문의
★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★
길민권 기자
다른기사 보기
#NSHC
저작권자 © 데일리시큐 무단전재 및 재배포, AI학습 및 활용 금지
댓글
0