세계 1위 랜섬웨어 '킬린', 국내 산업용 모터업체 하이젠모터 공격…데이터 유출 협박

2026년 8월 10일, 세계에서 가장 활발하게 활동 중인 랜섬웨어 조직 '킬린(Qilin)'이 다크웹 유출 사이트에 국내 산업용 모터 제조업체 하이젠모터(HIGEN MOTOR)를 새 피해자로 올렸다. 

이 소식은 8월 18일 국내 매체를 통해 알려졌다. 하이젠모터는 1963년 금성사(현 LG전자) 사업부에서 출발해 국내에서 유일하게 산업용 모터와 제어시스템을 독자적으로 개발·생산·판매하는 업체로, 국내 범용 모터 시장 점유율 3위를 지키고 있는 곳이다. 킬린 측은 협박 페이지를 통해 내부 데이터를 확보했다고 주장하며, 몸값을 지불하지 않으면 탈취한 자료를 공개하겠다고 위협했다.

무슨 일이 있었나?

킬린은 최근 몇 달 사이 한국 기업을 상대로 공격 범위를 빠르게 넓혀왔다. 지난 4월에는 SK그룹 뉴욕오피스를 공격했고, 이후 국내 자산운용사 30여 곳의 내부자료를 다크웹에 잇달아 게시했다. 

이 가운데 상당수는 자산운용사에 전산 서비스를 제공하는 IT업체 한 곳을 먼저 뚫은 뒤, 그 업체가 관리하던 여러 고객사로 동시에 침투하는 공급망 공격 방식이었다. 웰컴금융그룹 계열 대부업체 웰릭스에프앤아이대부에서는 1테라바이트(TB)가 넘는 데이터를 탈취했다고 주장했고, 토목 엔지니어링 업체 여러 곳, KT알티미디어 등도 피해자 명단에 올랐다. 

하이젠모터 공격 역시 이런 흐름의 연장선에 있다. 보안업계에 따르면 킬린은 침투 이후 시스템을 안전모드로 강제 재부팅해 백신·EDR의 탐지를 무력화하고, 관리자 계정 비밀번호를 바꿔 방어팀의 접근을 차단한 뒤, 파일 복구 기능부터 무력화하고 나서야 데이터를 암호화·탈취하는 절차를 밟는 것으로 알려졌다. 이 방식은 초기 침투에서 데이터 탈취까지 걸리는 시간을 크게 단축시켜, 담당자가 이상 징후를 알아챘을 때는 이미 되돌릴 수 없는 단계인 경우가 많다.

왜 위험한가?

킬린이 위협적인 이유는 단순히 공격 건수가 많아서가 아니다. 올해 누적 공격 건수가 2017건을 기록하며, 그동안 최악의 랜섬웨어로 꼽히던 록빗(2016건)을 근소한 차이로 넘어섰다. 

2024년까지만 해도 연간 186건에 그쳤던 공격이 2025년 1058건으로 5배 이상 급증했고, 올해도 이미 722건을 넘겼다. 이런 급성장의 배경에는 록빗·드래곤포스 등 기존 대형 조직과 기술·인프라·전술을 공유하는 '랜섬웨어 카르텔' 전략이 있다. 

보안업체 비트디펜더는 북한과 연계된 해킹조직 '문스톤 슬리트(Moonstone Sleet)'가 올해 초 킬린의 제휴 조직(affiliate)으로 합류한 정황도 포착했다고 밝혔다. 국가 배후 조직의 기술력이 랜섬웨어형 서비스(RaaS)에 흘러들어가고 있다는 뜻이다. 

특히 하이젠모터처럼 특정 산업용 부품·설비를 담당하는 국내 유일 업체가 랜섬웨어에 감염된 경우, 생산라인이 멈추면 그 부품을 쓰는 다른 제조사들의 공급망까지 연쇄적으로 흔들릴 수 있다는 점에서 파급력이 더 크다.

우리 회사가 대비하려면..

1. 외부 접근 권한의 엄격한 통제

제조업 현장에서는 생산설비를 운영하는 OT(운영기술) 네트워크와 일반 사무용 IT 네트워크가 완전히 분리되지 않은 경우가 많다. 킬린처럼 공급업체나 협력사를 거쳐 침투하는 공격이 늘어나는 만큼, 외부 업체 계정에 부여된 접근 권한을 주기적으로 점검하고, 반드시 필요한 범위로만 제한하는 것이 첫 단추다.

2. 사이버 복원력에 중점을 둔 백업 전략

두 번째로 중요한 것은 백업 전략이다. 킬린은 침투 후 파일 복구 기능부터 무력화하는 절차를 밟는 것으로 알려져 있는데, 이는 일반 네트워크 백업이나 클라우드 백업만으로는 막기 어렵다는 뜻이다. 공격자가 관리자 권한을 탈취해도 물리적으로 접근할 수 없는 물리적 에어갭 방식이나, 한 번 기록한 데이터를 수정·삭제할 수 없는 불변 스토리지(WORM)를 백업 체계에 포함해야 최후의 복구 수단이 살아남는다.

3. 비정상적 접근에 대한 EDR·SIEM 정책 강화

마지막으로 관리자 계정의 비밀번호 변경, 안전모드 강제 재부팅처럼 킬린이 실제로 쓰는 수법에 대응하는 탐지 규칙을 EDR·SIEM에 반영해두는 것이 필요하다. 평소와 다른 시간대의 안전모드 재부팅이나 관리자 계정 대량 비밀번호 변경 시도는 그 자체로 강력한 침해 신호다.

• PC나 서버가 이유 없이 안전모드로 재부팅되거나, 재부팅 후 백신·보안 소프트웨어가 꺼져 있다
• 관리자 계정 비밀번호가 담당자도 모르는 사이 바뀌어 있거나, 계정 잠금이 반복된다
• 백업 서버 접속 로그에 낯선 IP나 처음 보는 관리자 계정이 남아 있다
• 파일 서버나 NAS에서 평소보다 파일 접근·읽기 시도가 급격히 늘었다
• 외부 협력사·MSP 계정으로 심야·주말 시간대에 원격 접속이 발생했다
• 백업 파일이 갑자기 삭제되거나 백업 스케줄이 실패로 표시된다

킬린 랜섬웨어 대응 전략

Q. 우리 회사는 하이젠모터처럼 크지 않은데, 이런 공격의 대상이 될 수 있나?

될 수 있다. 킬린은 대기업뿐 아니라 자산운용사, 대부업체, 토목업체 등 업종·규모를 가리지 않고 공격해왔다. 오히려 보안 인력이 적은 중견·중소기업이 공급망 공격의 진입점으로 노려지는 경우가 많다.

Q. 전산 담당자가 1~2명뿐인 회사도 이 정도 대비가 가능한가?

모든 항목을 한 번에 갖추기는 어렵지만 우선순위를 두면 된다. 관리자 계정에는 다중 인증(MFA)을 적용하고, 최소 하나의 백업만이라도 네트워크와 분리된 곳(에어갭)에 두는 것부터 시작하는 것이 현실적이다. 인력이 적을수록 사람이 매번 확인하는 방식보다 이상 징후가 자동으로 격리·차단되는 백업 체계를 갖추는 편이 낫다.

세계 1위 랜섬웨어 조직으로 올라선 킬린은 앞으로도 한국 기업을 상대로 한 공격을 이어갈 가능성이 크다. 하이젠모터 사건은 대기업이 아니어도, 특정 산업에서 대체하기 어려운 위치에 있는 회사라면 언제든 표적이 될 수 있음을 보여준다. 지금 우리 회사의 백업이 정말로 공격자의 손이 닿지 않는 곳에 있는지, 오늘 한 번 점검해볼 시점이다.

특히 킬린의 랜섬웨어 기술은 세계적으로 수준이 높아서 데이터 복구가 힘들기로 악명이 높습니다. 해결을 위해서는 눈물을 머금고 해커에게 비트코인을 지불하던가, 아니면 소중한 데이터를 모두 날리고 맨주먹으로 시스템을 복구하는 방법밖에 없다고 업계에 알려져 있습니다. 이런 치명적인 랜섬웨어 공격에 당하기 전에 귀사의 보안을 더욱 한번 점검해두시길 바랍니다. 

근본적인 대책은 없는가?

요즘 보안 업계에서는 사이버 복원력(Cyber Resillience)을 많이 강조하고 있습니다. AI의 발전으로 인해 기존 보안 솔루션은 모두 뚫릴 수 있다고 가정하는 것이 이제 현실이 되고 있습니다. 모든 시스템이 해킹되는 최악의 상황에서도 시스템을 복구할 수 있도록 데이터를 안전한 곳에 보관하는 것이 사이버 복원력 확보의 첫 걸음입니다. 

랜섬웨어 공격으로 모든 서버와 백업 데이터가 암호화되더라도, 해커의 접속을 원천적으로 차단하는 물리적 제로트러스트 백업 솔루션인 디포트리스 도입을 추천 드립니다.

디포트리스는 핵발전소나 방산 등에서 쓰이던 가장 보안성이 높은 단방향 다이오드 통신을 백업에 적용한 솔루션입니다. 아래 배너를 클릭해서 공식 홈페이지를 방문해 보세요.