부산 자동차부품업체 아이윈, 랜섬웨어 공격에 설계도면·공급망 정보 1TB 유출 위협

[핵심요약] 부산의 자동차부품 제조업체 아이윈이 랜섬웨어 조직 블랙엑스(Black X)의 공격을 받아 설계도면과 품질·공급망 정보 등 1테라바이트 규모 데이터가 유출될 위기에 놓였어요. 회사는 아직 공식 확인을 하지 않고 있어요.

2026년 9월 1일, 랜섬웨어 조직 블랙엑스(Black X)가 자신들의 다크웹 유출 사이트에 부산 기장군에 본사를 둔 자동차부품 제조업체 아이윈을 새 피해자로 올렸어요. 실제 공격 시점은 8월 28일 전후로 추정돼요. 블랙엑스는 설계도면과 품질 기록, 물류·판매 데이터, 공급망 정보에 로그인 자격증명(패스워드)까지 포함해 약 1테라바이트 분량을 확보했다고 주장했어요. 파일을 암호화했다는 언급은 없고, 데이터를 볼모로 회사가 연락해오지 않으면 그대로 공개하겠다고 압박하는 방식이에요. 아이윈은 이 주장을 아직 공식적으로 확인하지 않은 상태예요.

블랙엑스는 무슨 일을 벌였나?

아이윈은 시트히터, 발열핸들, 통풍시트, 워머, ECU 등을 만드는 자동차부품 제조업체로, 부산 본사 외에 충남 천안·서울 강남에 사업장을 두고 베트남·중국·슬로바키아·미국에도 해외법인을 운영하고 있어요. 블랙엑스는 이번에 아이윈에서 확보했다는 자료로 설계·품질·물류·판매 데이터는 물론 로그인 자격증명(패스워드)까지 언급했는데, 이는 단순 문서 유출을 넘어 내부 시스템 계정 정보까지 손에 넣었을 가능성을 시사해요.

같은 조직인 블랙엑스는 이보다 며칠 앞선 8월 28일, 지자체·공공기관 대상 AI·공간정보 사업을 하는 또 다른 국내 기업 아이원도 피해 기업으로 다크웹에 올린 바 있어요. 다만 아이원 쪽은 최근 접속 장애가 랜섬웨어가 아니라 보안 인증서 만료 때문이었다고 반박하고 있어, 실제 침해 여부는 아직 엇갈려요. 두 사례를 종합하면 블랙엑스가 짧은 기간에 국내 기업 여러 곳을 잇달아 표적으로 올리고 있다는 점만은 분명해 보여요.

왜 자동차 부품업체가 반복 표적이 되나?

이번 사고에서 눈여겨볼 부분은 파일 암호화 흔적이 없다는 점이에요. 업무 시스템을 멈추지 않고 데이터만 몰래 빼낸 뒤 공개로 압박하는 '데이터 탈취형 이중공갈'은 겉보기엔 조용해서 피해 기업이 스스로 알아차리기 전에 공격자의 다크웹 게시로 먼저 알려지는 경우가 많아요. 게다가 설계도면이나 품질·공급망 정보는 유출 즉시 값이 사라지는 데이터가 아니라, 시간이 지나도 경쟁사나 다른 공격자에게 팔릴 수 있는 자산이라 장기적인 위험이 더 커요.

자동차 부품업체가 특히 매력적인 표적인 이유는 완성차 업체와 여러 협력사를 잇는 공급망의 중간 고리이기 때문이에요. 부품사 하나만 뚫어도 거래 중인 완성차 업체의 설계 정보나 발주 체계까지 엿볼 단서가 나올 수 있어서, 공격자 입장에서는 대기업을 직접 노리는 것보다 방어가 상대적으로 약한 협력사를 거쳐가는 편이 효율적이에요.

우리 회사도 대비하려면?

이런 유형의 사고에서 가장 먼저 챙겨야 할 건 설계·품질 데이터가 저장된 서버(PLM, ERP, 파일서버 등)의 접근 권한이 실제 업무 범위에 맞게 좁혀져 있는지예요. 퇴사자나 협력사 담당자 변경 이후에도 계정이 살아있는 경우가 의외로 많고, 이런 방치 계정이 초기 침투 경로로 자주 악용돼요.

해외법인이 있는 회사라면 본사와 법인이 같은 인증체계나 VPN을 공유하고 있지 않은지도 점검할 필요가 있어요. 한쪽에서 새어나간 계정 정보가 국경을 넘어 다른 법인 시스템까지 그대로 통하는 구조라면, 공격 범위가 예상보다 훨씬 커질 수 있어요.

마지막으로, 공격자가 자격증명(패스워드)까지 확보했다고 주장하는 만큼 비밀번호 저장 방식도 다시 볼 필요가 있어요. 오래된 ERP·PLM 시스템 중에는 여전히 암호화 강도가 낮은 방식으로 비밀번호를 저장하는 경우가 있는데, 이런 시스템은 유출 시 실제 로그인에 바로 악용될 위험이 훨씬 커요.

• 설계도면·CAD 파일이 저장된 서버 접근 로그에 낯선 IP나 평소보다 큰 대량 다운로드 기록이 있는지 확인해보세요
• 퇴사자나 협력사 담당자 변경 이후에도 계정이 그대로 살아있는 경우가 있는지 점검해보세요
• 다크웹 유출 사이트나 관련 보안 커뮤니티에 우리 회사명이나 주요 협력사명이 올라와 있는지 주기적으로 검색해보세요
• 비밀번호를 평문이나 약한 방식으로 저장하고 있는 구형 ERP·PLM 시스템이 있는지 확인해보세요
• 본사와 해외법인이 동일한 VPN·인증 계정을 그대로 공유하고 있지는 않은지 점검해보세요
• 백업 서버가 운영 서버와 같은 네트워크에 묶여 있어 한 번에 함께 뚫릴 위험은 없는지 확인해보세요

회사가 공식 확인을 안 했는데 왜 벌써 기사화되나요?

최근 랜섬웨어 조직들은 협상 압박을 위해 다크웹 유출 사이트에 피해 사실을 먼저 공개하는 이중공갈 방식을 자주 써요. 그래서 기업이 조사 결과를 발표하기 전에 외부에서 먼저 알려지는 경우가 흔한데, 아이윈 사례도 회사의 공식 입장보다 블랙엑스의 다크웹 게시가 먼저 나온 경우예요.

파일이 암호화되지 않았으면 피해가 덜한 건가요?

그렇지 않아요. 암호화 없이 데이터만 빼가는 방식은 업무가 바로 멈추지 않아 겉으로는 덜 심각해 보이지만, 설계도면이나 공급망 정보처럼 오래 가치가 유지되는 데이터가 유출되면 경쟁사 유출이나 후속 공격의 재료로 훨씬 오래 악용될 수 있어요.

해외 법인이 있는 회사는 이런 사고에서 뭐가 더 위험한가요?

본사와 해외 법인이 같은 인증체계나 VPN을 공유하는 경우가 많아서, 한 지점에서 뚫린 계정 정보가 다른 나라 법인까지 그대로 통하는 일이 종종 있어요. 아이윈처럼 베트남·중국·슬로바키아·미국에 법인을 둔 회사는 계정 하나가 유출되면 공격 범위가 국경을 넘어 커질 수 있어요.

블랙엑스는 아직 이름이 낯선 신생 조직이지만 짧은 기간에 국내 자동차부품·공공IT 기업을 잇달아 표적으로 올리고 있어요. 암호화 없이 데이터만 훔쳐 협상을 압박하는 방식은 피해 사실이 늦게 드러나기 쉬운 만큼, 공식 확인 전이라도 협력사 전체가 접근 로그와 계정 관리를 다시 점검해볼 필요가 있어요. 아이윈이 입장을 내놓을 때까지는 이 사고가 실제 어디까지 번졌는지 계속 지켜봐야 할 것 같아요.

이런 사고를 막으려면 설계도면 서버가 뚫려도 백업 데이터까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 해커가 관리자 권한을 훔쳐도 왜 백업은 그대로 지켜지는지 궁금하다면 여기서 확인해보세요.