제조업이 랜섬웨어 표적 1위인 이유와 생산라인 중단 막는 법
랜섬웨어 조직이 요즘 가장 즐겨 노리는 업종은 어디일까요? 정답은 제조업입니다. 글로벌 위협 인텔리전스 기업 ZeroFox의 2026년 2분기 보고서는 제조업을 가장 많이 공격받은 산업으로 꼽았고, 국내 보안업체 안랩(ASEC) 집계에서도 2026년 6월 한 달간 제조업 피해가 41건으로 전체 업종 중 1위를 기록했습니다. 도매·유통업(32건), 정보통신업(31건)이 뒤를 이었지만 격차가 뚜렷합니다.
왜 하필 제조업 공장을 돌리는 회사들이 표적이 될까요. 그리고 전산 인력이 몇 명뿐인 중견 제조업체는 무엇부터 점검해야 할까요.
제조업이 랜섬웨어 공격의 최다 표적이 된 이유는?
이유는 단순합니다. 생산라인이 멈추는 순간 손실이 시간 단위로 발생하기 때문입니다. 사무직 중심 기업은 며칠 시스템이 멈춰도 우회할 여지가 있지만, 컨베이어 벨트와 설비 제어 시스템(OT)이 IT망과 얽혀 있는 공장은 서버 하나만 잠겨도 라인 전체가 멈춥니다. 실제로 2026년 7월, 코카콜라의 유제품 자회사 페어라이프(Fairlife)는 랜섬웨어 조직 Anubis의 공격을 받아 미국 내 생산을 일시 중단했고, 공시 며칠 뒤 탈취 데이터가 다크웹에 게시됐습니다. 미국 제조기업 Park Manufacturing Corp.도 같은 달 195GB, 41만 건이 넘는 파일이 유출되는 피해를 입었습니다. 국내에서도 대창솔루션, 두산 Bobcat 등 제조 분야 기업들의 피해가 잇따라 확인됐습니다. 공격자 입장에서 제조업은 "멈추면 바로 아쉬운 쪽이 협상 테이블에 앉는" 업종인 셈입니다.
생산라인이 멈추기 전, 반드시 확인해야 할 백업 구조
랜섬웨어 조직의 공격 순서는 이제 거의 정형화돼 있습니다. 관리자 권한을 확보하면 가장 먼저 하는 일은 운영 서버 암호화가 아니라 백업 서버를 찾아 무력화하는 것입니다. 백업이 운영망과 같은 네트워크(TCP/IP)로 연결돼 있으면, 공격자는 탈취한 관리자 계정으로 정상 접근해 복구 수단부터 지워버립니다. 그래서 점검해야 할 질문은 "백업이 있는가"가 아니라 "그 백업이 운영망에서 물리적으로 분리돼 있는가"입니다. 분리가 안 돼 있다면 매일 성실하게 해 온 백업조차 사고 당일엔 무용지물이 될 수 있습니다.
생산라인과 사무망을 분리하지 않으면 벌어지는 일
제조업 환경에서는 20~30년 된 설비 제어 시스템(PLC, SCADA)이 여전히 가동 중인 경우가 많습니다. 이런 설비는 보안 패치를 적용하기 어렵고, 벤더 지원이 끊긴 경우도 흔합니다. 문제는 이런 레거시 OT 장비가 사무망(IT)과 같은 네트워크에 물려 있을 때입니다. 공격자가 사무용 PC 한 대나 원격 접속(VPN) 계정 하나만 뚫어도, 분리되지 않은 네트워크를 타고 공장 설비 제어 시스템까지 접근할 길이 열립니다. 실제로 다수의 제조업 랜섬웨어 사고에서 초기 침투 지점은 사무직 PC였지만, 최종 피해는 생산라인 정지로 이어졌습니다.
이런 이유로 최근 보안 업계에서는 운영망과 백업망을 물리적으로 끊어놓는 에어갭(Air-Gap) 구조와, 한 번 저장된 데이터는 관리자 권한으로도 임의로 지우거나 바꿀 수 없게 하는 불변 스토리지(WORM), 접속 권한을 매번 다시 검증하는 제로트러스트 원칙을 백업 체계에 적용하는 사례가 늘고 있습니다. 핵심은 "뚫리지 않게 막는다"가 아니라 "뚫려도 백업까지는 못 건드리게 만든다"는 발상의 전환입니다.
자주 묻는 질문
Q. 전산팀이 1~2명뿐인 중견 제조업체도 대비할 수 있나요? 네. 오히려 인력이 적을수록 복잡한 체계보다 "백업만큼은 운영망과 분리한다"는 원칙 하나에 집중하는 게 현실적입니다. 전체 인프라를 다 손보기 어렵다면, 핵심 생산 데이터와 설계 도면, ERP 백업만이라도 물리적으로 분리된 저장소에 두는 것부터 시작하는 것을 권합니다.더 자세한 원리가 궁금하다면 에어갭이 랜섬웨어를 막는 원리 글도 참고해보세요.
제조업이 랜섬웨어의 1순위 표적이 된 지금, "우리는 작은 회사라 안전하다"는 생각은 더 이상 통하지 않습니다. 오히려 전산 인력이 적은 중견 제조업체일수록 복구 수단 하나만큼은 확실히 지켜두는 전략이 필요합니다.
댓글
댓글 쓰기