美 7위 은행 US뱅크, 락비트 랜섬웨어 해킹 주장…4차 협력사발 공급망 유출 논란

美 7위 은행 US뱅크, 락비트 랜섬웨어 해킹 주장…4차 협력사발 공급망 유출 논란

[핵심요약] 랜섬웨어 조직 락비트가 미국 7위 은행 US뱅크를 다크웹 유출 사이트에 올리고 9월 3일까지 몸값을 요구했어요. US뱅크는 자체 시스템 침해는 없다며, 협력사의 협력사인 4차 벤더에서 벌어진 사고라고 선을 그었어요.

2026년 8월 19일, 랜섬웨어 조직 락비트(LockBit)가 자신들의 다크웹 유출 사이트에 새 피해자로 미국 7위 은행 US뱅크(U.S. Bancorp)를 올렸어요. 락비트는 9월 3일까지 몸값을 지불하지 않으면 탈취했다는 데이터를 공개하겠다고 협박했어요. 

하지만 US뱅크는 자사 시스템·네트워크·데이터 저장소에 침해 흔적이 전혀 없다고 밝혔고, 이번 사안은 자사와 직접 계약한 협력사가 아니라 그 협력사가 다시 업무를 위탁한 '4차 협력사'에서 벌어진 사고와 관련이 있다고 설명했어요. 락비트는 탈취를 입증할 증거 샘플을 하나도 공개하지 않아서, 실제 피해보다는 세력 과시용 허위 협박일 가능성도 함께 제기되고 있어요.

무슨 일이 있었나?

이번 소동의 뿌리를 거슬러 올라가면 지난 5월로 이어져요. US뱅크는 올해 5월 7일 협력사 쪽에서 벌어진 침해 사고를 인지했고, 6월에는 매사추세츠 거주 고객 537명에게 이름·우편주소·신용카드번호가 유출됐을 수 있다는 통지를 보냈어요. 

다행히 사회보장번호나 온라인 뱅킹 로그인 정보, 계좌 잔액까지는 노출되지 않은 것으로 알려졌고, 이 사고는 US뱅크의 벤더인 피델리티내셔널정보서비스(FIS) 쪽 사고와 연관된 것으로 전해졌어요. 그리고 이달 들어 락비트가 별도로 US뱅크를 유출 사이트에 올리며 새로운 협박에 나선 거예요. 

US뱅크는 관련 정보를 사법 당국에 제출했다고 밝혔지만, 문제가 된 하청업체의 이름은 공개하지 않았어요. 참고로 락비트는 2024년 2월 국제 공조 수사(오퍼레이션 크로노스)로 인프라가 압수되고 조직 수장 드미트리 코로셰프의 신원까지 공개되며 큰 타격을 입었던 조직이에요. 그럼에도 2025년 9월 'LockBit 5.0'이라는 신형 랜섬웨어로 재기했고, 활동이 왕성했던 2022~2024년 사이엔 353건의 공격으로 2억 5,240만 달러를 갈취한 이력이 있어요.

왜 중요한가, 무엇이 위험한가?

이 사건이 눈에 띄는 이유는 US뱅크처럼 보안 투자 여력이 충분한 대형 금융기관조차 '내 시스템은 안 뚫렸다'는 해명만으로는 위기를 피해가지 못한다는 점이에요. 협력사의 협력사, 즉 4차 벤더에서 벌어진 사고라 해도 다크웹 유출 사이트에 브랜드명이 오르는 순간 고객과 언론은 일단 US뱅크의 문제로 받아들이거든요. 실제 침해 여부와 무관하게 신뢰도 타격과 문의 응대 부담이 먼저 발생하는 셈이에요. 

게다가 이번 협박은 증거 샘플조차 없는 상태라, 랜섬웨어 조직이 실제 탈취 여부와 무관하게 '유출 사이트에 이름만 올려도' 여론전 효과를 노릴 수 있다는 걸 보여줘요. 여기에 더해 과거 조사에서 락비트가 몸값을 받고도 피해자 데이터를 계속 보유하고 있었다는 정황이 드러난 적이 있어서, 설령 US뱅크나 관련 협력사가 돈을 지불하더라도 데이터 삭제가 보장되지 않는다는 근본적인 문제도 함께 제기되고 있어요.

우리 화사도 대비하려면...

가장 먼저 필요한 건 협력사 리스트를 넘어 '협력사의 협력사'까지 파악하는 N차 공급망 점검이에요. 우리 회사 데이터를 직접 다루는 1차 벤더는 관리하더라도, 그 벤더가 또 어떤 하청업체에 업무를 재위탁하는지까지 알고 있는 조직은 많지 않아요. 계약 단계에서부터 재위탁 시 사전 고지 의무와 침해 발생 시 통보 기한을 명확히 못박아 두는 게 출발점이에요.

두 번째는 데이터 최소 공유 원칙이에요. 협력사에 넘기는 고객 정보의 항목을 업무에 꼭 필요한 범위로 줄이고, 카드번호나 개인식별정보처럼 민감한 항목은 암호화하거나 토큰화해서 전달하면 설령 협력사 쪽에서 사고가 나도 실제 악용 가능한 데이터의 양은 크게 줄어들어요.

세 번째는 '내 잘못이 아니어도 내 위기'라는 전제로 대응 체계를 짜는 거예요. 다크웹 유출 사이트 모니터링, 언론·고객 문의 대응 매뉴얼, 법무팀과의 협업 절차를 사고가 터지기 전에 미리 준비해 두면, US뱅크처럼 신속하게 '우리 시스템은 안전하다'는 팩트를 근거와 함께 전달할 수 있어요.

• 우리 회사와 계약한 협력사가 업무 일부를 다른 하청업체에 재위탁하고 있는지 파악하고 있나요?
• 협력사와의 계약서에 침해 발생 시 통보 의무와 기한이 구체적으로 명시돼 있나요?
• 고객의 이름·주소·카드번호 같은 개인정보를 외부 벤더에 넘길 때 꼭 필요한 항목만 최소한으로 공유하고 있나요?
• 다크웹 유출 사이트나 랜섬웨어 협박 게시판에 우리 회사명이 언급되는지 정기적으로 모니터링하고 있나요?
• 증거 없는 협박이 들어왔을 때 사실관계를 확인하고 고객에게 안내할 대응 매뉴얼이 준비돼 있나요?
• 협력사 계정이 우리 내부 네트워크나 시스템에 접근할 때 별도의 인증·권한 제한이 걸려 있나요?

Q. 우리 회사는 직접 해킹당한 적이 없는데도 이런 식으로 다크웹에 이름이 오를 수 있나요?

네, 이번 US뱅크 사례가 정확히 그런 경우예요. 협력사, 혹은 협력사의 하청업체 쪽에서 사고가 나도 그 데이터 안에 우리 회사 고객 정보가 섞여 있었다면 랜섬웨어 조직은 우리 브랜드명을 걸고 협박할 수 있어요. 자체 보안이 아무리 튼튼해도 이 리스크는 계약과 벤더 관리로만 줄일 수 있어요.

Q. 전산 인력이 1~2명뿐인 중견기업도 이런 공급망 리스크에 해당되나요?

오히려 더 취약할 수 있어요. 대형 은행은 그나마 법무·홍보 조직이 빠르게 대응하지만, 전산 인력이 적은 중견기업은 협력사가 몇 곳인지, 그 협력사가 또 어디에 업무를 맡기는지조차 파악이 안 돼 있는 경우가 많아요. 지금이라도 주요 협력사 목록과 계약 조건부터 점검해 보는 걸 권해요.

US뱅크 사례는 '우리 시스템만 지키면 안전하다'는 믿음이 더는 통하지 않는다는 걸 보여줘요. 공격자는 가장 약한 고리를 찾아 파고들고, 그 고리가 4차, 5차 협력사라 해도 최종 브랜드는 우리가 짊어지게 되거든요. 증거 없는 협박이라 해도 일단 이름이 오르면 고객 신뢰는 이미 흔들리기 시작해요. 지금 우리 회사의 협력사 지도를 다시 한번 그려보는 게 다음 사고를 막는 첫걸음이에요.

이런 식으로 협력사를 거쳐 데이터가 새어 나가는 걸 계약과 점검만으로 완전히 막기는 어려워요. 그래서 최후의 방어선으로, 관리자 권한이나 협력사 계정이 뚫려도 백업 데이터만큼은 물리적으로 손댈 수 없는 구조를 갖춰두는 게 중요해요. 네트워크와 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 바로 그 역할을 해줘요.