반도체·철강에 산업가스 공급하는 에어리퀴드코리아, 세이프페이 랜섬웨어 공격 주장 나와

세이프페이 랜섬웨어 공격 주의!

[핵심요약] 프랑스계 산업가스 기업 에어리퀴드의 한국 산업 부문이 랜섬웨어 조직 세이프페이(SafePay)의 다크웹 유출사이트에 새 피해자로 등록됐어요. 산업 시스템 접근 권한을 확보했다는 주장이며, 공식 확인은 아직 안 됐어요.

지난 8월 25일, 다크웹 랜섬웨어 유출사이트에 낯선 이름이 올라왔어요. 바로 '에어리퀴드코리아 산업 부문(industry.airliquide.kr)'이에요. 에어리퀴드는 프랑스 파리에 본사를 둔 세계적인 산업가스 기업으로, 국내에서도 수십 년째 반도체·철강·석유화학 공장에 질소·산소 같은 필수 산업가스를 공급해온 곳이에요. 

이름을 올린 해킹 조직은 세이프페이(SafePay)로, 2024년 말 등장한 이후 전 세계 300곳이 넘는 기업을 공격한 것으로 알려진 신흥 랜섬웨어 그룹이에요. 산업 부문 시스템에 접근했다고 주장하며 이를 협상 근거로 내세웠지만, 정확히 어떤 자료가 얼마나 빠져나갔는지는 아직 공식 확인되지 않았어요.

세이프웨이의 공격 과정

세이프페이는 도구를 제휴사(어필리에이트)에게 빌려주는 '서비스형 랜섬웨어(RaaS)' 구조 대신, 침투부터 협상까지 전 과정을 자체 인력으로만 운영해요. 보안업계가 파악한 전형적인 침투 경로는 외부에 노출된 RDP(원격 데스크톱)나 VPN 취약점, 혹은 도용한 계정 정보예요. 

세이프웨이 랜섬웨어의 공격 과정

내부망에 들어오면 미미카츠(Mimikatz) 같은 자격증명 탈취 도구와 정상 프로그램을 악용하는 LOLBins 기법으로 관리자 권한을 확보하고, 자체 스크립트로 다른 서버로 옮겨다니며 접근 범위를 넓혀요. 마지막엔 데이터를 암호화하는 동시에 빼돌린 자료로 '돈을 내지 않으면 공개하겠다'고 압박하는 이중갈취 방식을 쓰는데, 이번 다크웹 공개도 이 협상 압박 단계의 결과로 보여요.

왜 중요한가, 무엇이 위험한가?

이 사고를 '해외 기업 한국 지사 이슈'로만 넘기기는 어려워요. 산업가스는 반도체 공정의 특수가스, 철강·화학 공장의 산소·질소처럼 생산 라인이 멈추면 안 되는 필수 원료예요. 공급업체의 IT 시스템이 뚫리면 주문·물류·배송 관리에 차질이 생기고, 그 여파는 산업가스를 공급받는 국내 제조업체의 생산 일정까지 번질 수 있어요. 

최근 국내에서도 배달대행 플랫폼이 뚫려 요기요·SSG닷컴 같은 연계 업체까지 불똥이 튄 사례가 있었는데, 이번 사고 역시 '협력사·공급망의 보안 수준이 곧 우리 회사의 보안 수준'이라는 같은 패턴을 다시 보여줘요.

우리 회사도 대비하려면?

이번 사고의 핵심 진입점인 RDP·VPN은 랜섬웨어 침투 경로에서 반복 등장하는 단골 통로예요. 외부에 열린 원격 접속 포트를 정기 점검하고 꼭 필요한 곳만 최소한으로 열어두는 게 기본이고, 다단계인증(MFA)을 예외 없이 적용하면 계정 정보가 도용돼도 곧바로 로그인까지 이어지지는 않아요.

침투 이후 단계도 중요해요. 공격자가 내부에 들어온 뒤에도 자격증명 탈취 도구나 정상 프로그램 위장 악용 움직임을 탐지할 수 있어야 확산을 초기에 끊을 수 있고, 최악의 경우 시스템이 암호화되더라도 복구할 수 있도록 백업은 반드시 운영망과 분리된 별도 경로에 보관해 두는 게 마지막 안전장치예요.

• 외부에 노출된 RDP·VPN 접속 경로가 몇 개인지, 지금 목록으로 정리돼 있나요?
• 원격 접속 계정에 예외 없이 다단계인증(MFA)이 걸려 있나요?
• 미미카츠 같은 자격증명 탈취 도구의 실행 흔적을 EDR·백신에서 탐지하고 있나요?
• 정상 프로그램을 악용하는 LOLBins 유형의 이상 행위 탐지 룰이 마련돼 있나요?
• 백업 데이터가 운영 네트워크와 물리적·논리적으로 분리돼 있나요?
• 협력사·공급업체 계정의 접근 권한을 주기적으로 재검토하고 있나요?

Q. 에어리퀴드 측이 공식적으로 피해 사실을 인정했나요?

아직 아니에요. 지금은 세이프페이가 다크웹 유출사이트에 올린 주장 단계이고, 정확한 유출 항목이나 규모는 공식적으로 확인되지 않았어요. 다만 랜섬웨어 조직의 이런 공개는 통상 협상이 결렬되거나 지연될 때 나오는 압박 수단이라, 상황을 지켜볼 필요가 있어요.

Q. 산업가스 회사가 뚫리는 게 왜 일반 기업과 다르게 위험한가요?

산업가스는 반도체·철강·화학 등 국가 핵심 산업의 생산 라인에 직결되는 원료라, 공급업체 시스템 장애가 곧바로 재고·배송 차질로 이어질 수 있어요. 단순 정보유출을 넘어 다운스트림 제조업체의 생산 리스크로 번질 가능성이 있는 거예요.

Q. RaaS가 아니라 자체 운영 조직이면 뭐가 다른가요?

한 조직이 침투부터 협상까지 도맡다 보니 공격 패턴이 더 일관되고 협상 전략도 조직적이에요. 그만큼 탐지 규칙이나 대응 매뉴얼도 알려진 수법에 맞춰 미리 준비해두는 게 도움이 돼요.

이번 사고는 아직 다크웹의 '주장' 단계지만, 국내 핵심 산업에 필수 원료를 공급하는 기업이 랜섬웨어 조직의 표적이 됐다는 사실만으로도 시사하는 바가 커요. RDP·VPN 노출과 자격증명 도용이라는 흔한 침투 경로가 이번에도 지목되고 있고, 그 뒤에 이어지는 확산·이중갈취 패턴도 익숙한 흐름이에요. 우리 회사, 혹은 협력업체가 같은 통로로 뚫리지 않는지 지금 점검해볼 시점이에요.

세이프페이가 노린 것처럼 원격 접속 계정 하나, 자격증명 하나가 뚫리는 순간은 언제든 올 수 있어요. 이런 상황에서도 백업 데이터만큼은 공격자의 손이 닿지 않는 곳에 지켜내는 구조를 만드는 게 디포트리스가 하는 일이에요. 해커가 관리자 권한을 뺏어도 왜 백업은 못 건드리는지 궁금하다면 여기서 확인해보세요.