쉘(Shell)도 뚫렸다…클롭 랜섬웨어, PTC 윈드칠 제로데이로 43개 기업 데이터 탈취

쉘(Shell)도 뚫렸다…클롭 랜섬웨어, PTC 윈드칠 제로데이로 43개 기업 데이터 탈취

글로벌 에너지 기업 쉘(Shell)이 지난 8월 14일, 랜섬웨어 조직 클롭(Clop)의 데이터 탈취 주장과 관련해 "잠재적 침해 사고"를 조사 중이라고 밝혔다. 클롭은 자사 다크웹 유출 사이트에 쉘에서 엔지니어링 도면, 시설 테스트 보고서, 시설 현장 사진, 프로젝트 계획서 등 약 89기가바이트(GB) 규모의 데이터를 훔쳤다고 주장했다. 

이번 공격은 단독 사건이 아니다 — 클롭은 산업용 제품수명주기관리(PLM) 소프트웨어 PTC 윈드칠(Windchill)과 플렉스PLM(FlexPLM)의 제로데이 취약점(CVE-2026-12569)을 악용해 제너럴일렉트릭(GE), 필립스를 포함한 43개 기업을 동시에 피해 대상으로 지목했다. 이 취약점은 인증 전 정보 노출과 로그인 서블릿 결함을 연쇄로 악용해 원격 코드 실행(RCE)까지 이어지는 구조로, 인터넷에 노출된 서버라면 별도의 피싱 없이도 곧바로 뚫릴 수 있었다. 특히 이번 공격은 파일을 암호화하지 않고 데이터만 훔쳐 유출을 협박하는 이중공격(더블 익스토션) 방식이라, 피해 기업이 침해 사실을 뒤늦게 인지하는 경우가 많다는 점에서 더 위험하다는 지적이 나온다.

무슨 일이 있었나

클롭의 이번 캠페인은 올해 초여름부터 준비된 것으로 보인다. 보안 연구진에 따르면 클롭과 연계된 공격자들은 이르면 6월 초부터 CVE-2026-12569를 제로데이 상태로 악용하기 시작했다. PTC는 6월 17일부터 해당 취약점에 대한 보안 패치를 순차 배포했고, 6월 26일에는 고객사에 "위협 활동이 고조되고 있다"는 경고를 별도로 발송했다. 미국 사이버보안·인프라보안청(CISA)도 이 취약점을 '알려진 악용 취약점(KEV)' 목록에 등재하고, 연방기관에 3일 이내 조치를 의무화할 만큼 사안을 심각하게 봤다. 그러나 패치가 배포되기 전 이미 다수의 인터넷 노출 윈드칠·플렉스PLM 인스턴스가 뚫린 뒤였다. 공격자들은 로그인 서블릿의 인증 우회 결함을 통해 시스템에 침투한 뒤 JSP 웹셸을 심어 장기간 데이터를 빼돌린 것으로 파악된다. 쉘 측은 8월 14일 "보안팀 및 외부 전문가와 함께 사고를 조사 중"이라는 공식 입장만 내놓았을 뿐, 클롭의 89GB 탈취 주장 자체를 확인하거나 부인하지는 않은 상태다.

왜 위험한가

이번 사건이 특히 위험한 이유는 공격 대상이 일반 사무용 시스템이 아니라 제품 설계·생산 데이터를 통째로 관리하는 PLM 시스템이었다는 점이다. 윈드칠과 플렉스PLM은 제조업체가 제품 설계도면, 생산 공정 정보, 협력사 계약 문서까지 한곳에 모아 관리하는 핵심 인프라로, 여기서 데이터가 유출되면 단순 개인정보 유출보다 훨씬 큰 기업 기밀·지적재산권 피해로 이어진다. 또한 클롭은 시스템을 암호화하지 않았기 때문에 업무 마비 같은 즉각적인 징후가 없어, 기업이 침해 사실을 스스로 알아채기 어렵다. 실제로 다수의 피해 기업이 클롭의 다크웹 공개 이후에야 사고를 인지했다. 게다가 이번 공격은 피싱 메일이나 내부자 실수 없이, 오직 인터넷에 노출된 서버 자체의 취약점만으로 뚫렸다는 점에서 사람이 아무리 조심해도 막을 수 없는 유형의 위협이라는 점도 조직 입장에서는 뼈아프다.

비슷한 조직이 대비하려면

가장 먼저 해야 할 일은 인터넷에 직접 노출된 산업용 소프트웨어(PLM, PDM, ERP 등)가 있는지 전수 점검하는 것이다. 이런 시스템은 원래 사내망에서만 접근하도록 설계된 경우가 많은데, 재택근무나 협력사 연동 편의를 위해 외부에서 접근 가능하게 열어두는 경우가 적지 않다. 이런 노출 자체가 공격 표면을 넓히므로, 꼭 필요한 경우가 아니라면 VPN이나 접근 제어 게이트웨이 뒤로 옮기는 것이 우선이다.

두 번째로는 취약점 패치 체계를 정비해야 한다. 이번 사고처럼 벤더가 패치를 배포한 뒤에도 실제 적용까지 시차가 발생하는 경우가 많은데, 그 사이가 공격자에게는 최적의 기회가 된다. 특히 KEV 목록에 오른 취약점은 이미 실공격에 쓰이고 있다는 뜻이므로 최우선으로 패치해야 한다.

마지막으로, 암호화 없는 데이터 탈취형 공격은 실시간 탐지가 어려운 만큼 웹 서버의 파일 변경 이력과 비정상적인 대용량 다운로드 트래픽을 주기적으로 점검하는 체계를 별도로 갖춰야 한다. 침입 흔적이 시스템 마비로 드러나지 않는 만큼, 로그 기반의 조용한 탐지 체계가 사실상 유일한 조기 경보 수단이다.

• 인터넷에서 직접 접근 가능한 PLM·PDM·ERP 시스템이 있는지 확인했다
• PTC 윈드칠·플렉스PLM을 사용 중이라면 CVE-2026-12569 패치(6월 17일 이후 버전) 적용 여부를 확인했다
• 웹 서버 루트 디렉터리에 낯선 JSP 등 확장자 파일(웹셸 흔적)이 있는지 점검했다
• 로그인 서블릿·인증 관련 URL에 비정상적인 접근 로그가 없는지 확인했다
• 최근 특정 계정에서 평소보다 큰 용량의 파일이 외부로 다운로드·압축된 이력이 있는지 확인했다
• 협력사·외부 에이전시 계정의 접근 권한이 필요 이상으로 넓게 설정돼 있지 않은지 점검했다

Q. 파일이 암호화되지 않았는데도 랜섬웨어라고 부르나요?

네. 최근 랜섬웨어 조직들은 시스템을 암호화하지 않고 데이터만 훔친 뒤 "돈을 내지 않으면 공개하겠다"고 협박하는 이중공격(데이터 탈취형 갈취) 방식을 점점 더 많이 쓴다. 암호화가 없으니 업무는 멈추지 않지만, 기밀 유출이라는 피해는 그대로 남는다.

Q. 전산 인력이 1~2명뿐인 중견기업도 해당되는 이야기인가요?

이번 사고의 직접 대상인 윈드칠·플렉스PLM은 주로 대기업·글로벌 제조사가 쓰지만, 비슷한 구조의 산업용 소프트웨어(ERP, PDM, 생산관리시스템 등)를 인터넷에 노출해 쓰는 중견기업도 원리적으로 동일한 방식의 공격에 노출될 수 있다. 자사가 쓰는 시스템이 외부에서 접근 가능한지부터 확인하는 것이 시작이다.

쉘이라는 이름값 때문에 화제가 됐지만, 이번 사건의 본질은 특정 대기업의 불운이 아니라 '패치되지 않은 인터넷 노출 소프트웨어'라는 매우 흔한 취약점이다. 클롭이 43개 기업을 동시에 뚫을 수 있었던 것도 결국 같은 소프트웨어를 쓰는 조직들이 같은 방식으로 방치돼 있었기 때문이다. 암호화 없는 데이터 탈취형 공격은 눈에 띄는 증상이 없다는 점에서 오히려 더 오래, 더 조용히 조직의 기밀을 빼갈 수 있다. 지금 이 순간 우리 회사의 산업용 소프트웨어가 인터넷에 그대로 노출돼 있지는 않은지, 오늘 바로 점검해볼 시점이다.