밥콕(Babcock) 아프리카법인, '더 젠틀맨' 랜섬웨어에 뚫렸다…62명 정보유출 정황

2026년 8월 19일, 남아프리카공화국 기반 엔지니어링·중장비 기업 밥콕 아프리카(Babcock Africa, babcock.co.za)가 신흥 랜섬웨어 조직 '더 젠틀맨(The Gentlemen)'의 공격을 받았다고 다크웹 유출 사이트에 공개됐습니다. 

밥콕 아프리카는 영국 FTSE250 상장사이자 글로벌 국방·엔지니어링 그룹인 밥콕 인터내셔널의 아프리카 법인으로, 130년 넘게 산업용 발전설비·건설장비·인프라 유지보수 서비스를 제공해온 곳입니다. 

'더 젠틀맨' 공격 그룹은 다크웹 유출 사이트에 내부 계정 62건, 협력사 직원 자격증명 21건, 외부 노출 공격면 7건이 확보됐다고 주장했다. '더 젠틀맨'은 2025년 중반 등장한 이후 불과 5개월 만에 66개국 300여 개 기업을 공격한 것으로 집계되는, 역대 어떤 조직보다 빠르게 몸집을 불린 랜섬웨어 그룹입니다.

무슨 일이 있었나?: 방화벽 취약점부터 자기복제형 확산까지

보안업계가 추적한 '더 젠틀맨'의 공격 흐름을 보면, 초기 침투는 주로 포티넷(Fortinet) FortiGate·FortiProxy 장비의 알려진 취약점(CVE-2024-55591) 악용이나 무차별 대입으로 뚫은 VPN 계정을 통해 이뤄집니다. 

침투 이후에는 별도 조작 없이도 malware 자체에 내장된 '--spread' 기능이 작동해 PsExec, WMIC, 원격 예약작업, 윈도우 서비스, PowerShell 원격 실행(WinRM) 등 21가지 서로 다른 방식으로 동시에 사내 다른 PC로 옮겨 붙습니다. 확산에 앞서 PowerShell 스크립트로 백신 실시간 감시를 끄고 예외 목록에 자신을 등록하며, 볼륨 섀도 복사본과 이벤트 로그, 프리페치 파일까지 지워 흔적을 없앴습니다. 

이어 데이터베이스·백업 소프트웨어·EDR 에이전트·오피스 프로그램 등 70여 개 프로세스를 강제 종료한 뒤, Curve25519 타원곡선 키와 XChaCha20 스트림 암호를 결합한 방식으로 파일을 암호화하고 확장자를 바꿉니다. 이후 유출 사이트를 통한 이중공갈(데이터 공개 협박 + 암호화)로 협상을 압박하는 방식은 여느 랜섬웨어 조직과 같습니다.

왜 더욱 위험한가?

이 사건이 눈에 띄는 이유는 피해 기업의 지명도보다 공격 방식 자체에 있습니다. '더 젠틀맨'의 확산 로직은 사람이 일일이 다음 표적을 고르지 않아도, 21가지 침투 경로를 동시다발적으로 시도해 그중 하나라도 뚫리면 순식간에 사내 전체로 번지도록 설계돼 있습니다. 

보안 솔루션 일부가 막아도 나머지 경로로 우회하는 구조라, 부분적인 방어만으로는 확산을 막기 어렵습니다. 게다가 이 조직은 제휴 파트너(어필리에이트)에게 수익의 90%를 나눠주는 파격적인 조건을 내걸어 랜섬웨어 업계 사상 유례없는 속도로 조직원을 끌어 모았습니다.

 등장 5개월 만에 300여 개 기업을 공격한 속도는 아카이라(Akira)가 1년, 킬린(Qilin)이 1년 반 걸려 도달한 규모입니다. 주요 표적도 태국·미국·프랑스·브라질 등 특정 국가에 쏠리지 않고 IT서비스·건설·제조·금융·의료 등 전 산업군에 걸쳐 있어, "우리는 미국 기업이 아니니 안전하다"는 안이한 판단이 통하지 않습니다.

우리 회사가 대비하려면?

가장 먼저 손봐야 할 곳은 인터넷에 노출된 방화벽·VPN 장비입니다. 이번 공격의 초기 침투 경로로 지목된 FortiGate·FortiProxy 취약점처럼, 이미 패치가 나와 있는데도 방치된 네트워크 경계 장비가 여전히 가장 흔한 침투 경로입니다. 원격 접속 장비는 최신 펌웨어 상태를 주기적으로 점검하고, VPN 계정에는 다단계 인증을 걸어 무차별 대입 시도 자체를 무력화해야 합니다.

두 번째는 확산을 막는 내부 통제입니다. '더 젠틀맨'처럼 PsExec·WMIC·원격 예약작업 같은 정상 관리 도구를 악용하는 방식은 백신만으로 잡아내기 어렵습니다. 불필요한 관리자 공유 폴더(admin$)를 막고, 네트워크를 부서·업무 단위로 분리(세그멘테이션)해 한 대가 뚫려도 옆 부서까지 번지지 않도록 물리적·논리적 장벽을 둬야 합니다. 

백업 소프트웨어와 EDR 에이전트가 이 조직의 주요 종료 대상이라는 점을 감안하면, 백업 시스템은 평소 업무망과 분리된 별도 계정·별도 네트워크로 운영하는 것이 특히 중요합니다.

• 포티넷(FortiGate·FortiProxy) 등 방화벽·VPN 장비가 최신 펌웨어인지, 원격접속 로그에 낯선 국가·IP의 접속 시도가 없는지 확인한다
• PowerShell 실행 기록이나 윈도우 이벤트 로그가 특정 시점 이후로 통째로 비어 있거나 삭제된 흔적이 있는지 점검한다(증거 인멸 신호)
• 백신·EDR의 예외(제외) 목록에 낯선 폴더나 프로세스가 추가돼 있는지, 실시간 감시가 알 수 없는 이유로 꺼져 있는지 확인한다
• 볼륨 섀도 복사본(VSS)이 갑자기 사라졌거나 복구 지점이 비어 있는지 확인한다
• 평소 쓰지 않던 PsExec·WMIC·원격 예약작업이 여러 PC에서 비슷한 시각에 동시다발적으로 실행된 로그가 있는지 확인한다
• 백업 서버·가상화 관리 콘솔·ERP 시스템 접속 로그에 낯선 관리자 계정이나 새벽 시간대 접속이 보이는지 확인한다

'더 젠틀맨' 랜섬웨어 대응 전략

Q. 우리 회사는 미국이나 유럽 기업이 아닌데도 이런 식으로 뚫릴 수 있나?

당연합니다. '더 젠틀맨'의 피해 기업 중 미국 비중은 7%에 불과하고, 태국이 가장 많은 피해국으로 집계됐습니다. 이 조직은 특정 국가나 대기업이 아니라 인터넷에 취약한 방화벽·VPN을 노출한 조직이면 어디든 표적으로 삼는 구조입니다. 방화벽이나 VPN 같은 네트워크 보안 장비를 사용하는 곳이라면 어떤 곳이든 공격 대상이 될 수 있는 것이죠.

Q. 전산 인력이 1~2명뿐인 중견기업도 해당되는가?

오히려 더 취약할 수 있습니다. 이 조직의 확산 방식은 21가지 경로를 동시에 시도하기 때문에, 소수 인력이 실시간으로 이상 징후를 다 잡아내기 어렵습니다. 방화벽 패치 자동화, 소산 백업처럼 사람이 매번 확인하지 않아도 되는 구조적 방어를 미리 갖춰두는 것이 현실적인 대응입니다.

밥콕 아프리카 사건은 유명 대기업이라서가 아니라, 방치된 방화벽 하나가 회사 전체로 번지는 데 얼마나 짧은 시간이 걸리는지를 보여주는 사례입니다. '더 젠틀맨'은 등장한 지 1년도 안 돼 역대 가장 빠르게 몸집을 불린 조직으로 꼽히며, 그 성장의 배경에는 사람 손을 거의 타지 않는 자동 확산 기술이 있습니다. 지금 이 순간에도 패치되지 않은 방화벽 장비가 다음 표적이 될 수 있다는 사실을 기억할 필요가 있습니다.

방화벽이나 백신, EDR같은 소프트웨어적 보안 장비는 모두 알려지지 않은 취약점을 가지고 있습니다. 그러므로 사람의 지능과 거의 대등해진 AI에 의해 언제든 제로데이 공격을 받을 수 있습니다. 절대 뚫리면 안되는 중요한 데이터를 가지고 있다거나, 공격을 당해도 즉각 복구가 필요하다면 물리적 제로 트러스트 백업 솔루션인 디포트리스 도입을 추천드립니다.