NSHC, ‘2025년 제조 산업 대상 글로벌 사이버 위협 동향’ 발표
범죄형 갈취·국가 지원형 정보수집 결합…77% 공격 주체 미식별
[데이터넷] 지난해 제조업을 겨냥한 사이버 공격은 미국과 한국에 집중된 것으로 나타났다.
NSHC가 지난해 발생한 204건의 공격 이벤트를 분석한 ‘2025년 제조 산업 대상 글로벌 사이버 위협 동향’에 따르면, 전체 공격 중 10.4%가 미국, 10.1%가 한국을 타깃으로 한 것으로 집계됐다. 이는 3위 독일(5.4%) 대비 약 두 배 수준이다.
보고서는 미국이 첨단 제조, 항공우주, 방산, 반도체, 산업용 소프트웨어, 글로벌 공급망 조정 기능을 폭넓게 보유하고 있어 정치적 목적과 금전적 목적을 모두 가진 공격 그룹에게 매력적인 표적이 된다고 분석했다.
한국 역시 반도체, 디스플레이, 배터리, 정밀화학, 조선, 자동차, 방산 등 전략 산업이 밀집돼 있고, 제조·연구개발·수출입 네트워크가 긴밀하게 연결돼 있어 주요 공격 대상이 되고 있다. 특히 한국은 국가 지원형 해킹 그룹에게는 기술 탈취 가치가 높고, 랜섬웨어 조직에게는 생산 중단에 따른 피해 규모가 커 협상 압박이 효과적으로 작동하는 구조라는 점에서 이중의 위험에 노출돼 있는 것으로 평가된다.
러시아를 대상으로 한 공격도 21건 발생해 눈길을 끌었다. 보고서는 이를 지정학적 긴장과 연계된 산업 및 제조기업 대상 공격 사례가 반영된 결과로 해석했다. 제조 산업은 물리적 생산 역량과 국가 안보 역량이 결합된 영역으로, 지정학적 긴장이 고조될수록 사이버 공격의 전략적 가치가 확대된다는 설명이다.
범죄형·국가 지원형 결합된 ‘복합 위협 구조’
보고서는 지난해 제조 산업 대상 공격이 범죄형 갈취와 국가 지원형 정보수집이 동시에 전개되는 복합 위협 양상을 보였다고 분석했다.
제조 환경은 ERP, 이메일, 원격접속, 공급망, OT-IT 연계 구조로 구성돼 있어 일반 사무환경보다 훨씬 넓은 공격 표면을 갖는다. 이로 인해 국가 지원형 해킹 그룹, 사이버 범죄 조직, 미식별 위협 행위자들이 동시에 집중하는 핵심 표적 영역으로 확인됐다. 특히 랜섬웨어 및 데이터 탈취를 통한 금전적 수익 추구와 산업기술·공급망 정보 확보를 위한 장기 침투가 병행되는 점이 주요 특징으로 지목됐다.
전체 사고 중 약 77%에 해당하는 160건은 공격 주체가 명확히 식별되지 않았다. 이는 제조 산업 대상 공격에서 위장 기술 활용이 일반화되면서 전통적인 공격 그룹 식별 및 위협 인텔리전스 기반 대응의 한계를 보여주는 지표로 분석된다.
공격자는 다단계 인프라 운영, 공개 도구 재활용, 짧은 캠페인 생명주기 등을 통해 정체를 은폐하고 있으며, 이에 따라 공격 주체 식별 여부와 관계없이 전술·기술·절차(TTP) 기반 탐지와 대응 역량 확보가 요구된다.
중국·북한 연계 그룹 활동 지속
국가 지원형 공격은 총 44건으로 집계됐으며, 이 중 중국 연계 그룹이 14건으로 가장 높은 비중을 차지했다. 이들은 제조업 기밀 탈취, 산업 스파이 활동, 장기 잠복 침투, 공급망 연계 공격 등을 수행하며 정보 수집, 지적재산 탈취, 금전적 공격을 병행하는 것으로 나타났다.
북한 연계 그룹은 드론 개발·제조 기업을 대상으로 한 데이터 유출 공격과 함께 취업을 미끼로 한 사회공학 기법을 적극 활용하는 특징을 보였다. 특히 제조업 종사자와 생산기술 인력을 동시에 노려 인력과 기술을 결합한 접근 방식을 취하고 있는 것으로 분석된다.
공급망·해외 거점 통한 ‘우회 침투’ 증가
공격 대상은 특정 국가나 기업에 국한되지 않고, 글로벌 공급망과 다국적 운영 구조 전반으로 확대되는 양상을 보였다. 실제 공격은 본사를 직접 겨냥하기보다 해외 생산기지, 물류센터, 부품 공급사, 협력사, 외부 유지보수 업체, MSP, 클라우드 서비스 사업자 등 공급망 네트워크를 악용하는 방식이 다수 확인됐다. 일부 사례에서는 협력사나 원격지원 사업자를 먼저 침해한 후 이를 우회 경로로 활용해 제조 본사를 공격하는 형태도 나타났다.
또한 특정 국가에서 먼저 등장한 피싱 기법, VPN 취약점 악용, 원격지원 도구 공격 패턴이 동일 산업군 내 다른 국가로 빠르게 확산되는 경향도 확인됐다. 이에 따라 보안 조직은 해외 제조업 침해 사례를 자사 환경에 대한 선제적 경보로 인식해야 한다.
오픈소스·정상 도구 활용한 공격 체인 고도화
공격 방식은 랜섬웨어, 정보탈취, 스피어피싱, 공급망 침투, 원격관리도구 악용, 취약점 기반 초기 침투, 합법적 클라우드 서비스를 이용한 명령제어(C2) 등 다양한 전술이 복합적으로 활용됐다. 공격에 사용된 도구는 총 335종으로 확인됐으며, 오픈소스 도구, 프리웨어, 원격관리 도구, 합법적 클라우드 서비스, 시스템 내장 유틸리티를 조합하는 방식이 주를 이뤘다. 오픈소스 저장소와 정상 관리 도구, 클라우드 서비스가 공격 체인의 핵심 요소로 반복 활용됐다.
취약점 악용에서도 최신 고위험 취약점과 레거시 취약점이 동시에 사용됐다. 공격자는 실제 환경에서 성공 가능성이 높은 취약점을 우선적으로 선택하는 경향을 보였다. 마이크로소프트, SAP, 포티넷 제품군의 취약점이 주요 공격 벡터로 활용됐으며, CVSS 9.0 이상의 고위험 취약점뿐 아니라 공개 후 수년이 지난 취약점도 패치되지 않은 환경에서는 지속적으로 악용되고 있는 것으로 나타났다.
“제조업 보안, ‘차단’ 아닌 ‘피해 최소화 구조’로 전환해야”
보고서는 제조기업의 취약점 관리가 단순 CVSS 점수 기반 접근으로는 한계가 있다고 지적했다. 인터넷 노출 여부, 권한 연결성, 생산 연속성 영향도, ERP·메일·원격관리 연계성, OT 인접성 등을 고려한 산업 특화 우선순위 체계가 필요하다. 또한 패치가 어려운 환경에서는 가상 패치, 네트워크 세그멘테이션, 관리 포트 제한, 관리자 페이지 외부 노출 제거, EDR·NDR 기반 탐지 강화 등 보완 통제를 병행해야 한다고 강조했다.
보고서는 “제조업 보안의 본질은 공격을 완전히 차단하는 것이 아니라, 침투 이후에도 확산과 데이터 유출, 생산 차질을 최소화할 수 있는 구조를 설계하는 데 있다”며 “자산 우선순위화, 원격접속 통제, 데이터 보호, 공급망 관리, 취약점 관리, 행위 기반 탐지, 위협 인텔리전스, IT-OT 연계 구간 방어를 통합적으로 운영해야 한다”고 강조했다.
Tag
#NSHC
#제조업 타깃 공격
저작권자 © 데이터넷
김선애 기자
다른기사 보기
댓글
0