세계 3대 의료기기 기업 보스턴 사이언티픽, 사이버공격에 공장까지 일주일 넘게 멈췄다

[핵심요약] 매출 20조원 규모의 세계적 의료기기 기업 보스턴 사이언티픽이 8월 25일 사이버공격을 받아 전 세계 제조·주문처리 시스템이 일주일 넘게 멈췄어요. 랜섬웨어 조직의 소행인지는 아직 공식 확인되지 않았어요.

세계 3대 의료기기 기업으로 꼽히는 미국 보스턴 사이언티픽이 지난 8월 25일 사이버공격을 받아 전 세계 제조와 주문처리, 배송 시스템이 마비됐어요. 회사는 다음 날인 26일 미국 증권거래위원회(SEC)에 이 사실을 공시하면서 "전사적 운영에 차질이 발생했다"고 밝혔고, 28일 추가 성명에서도 정확한 복구 일정은 내놓지 못했어요. 심장박동기와 스텐트, 카테터 같은 필수 의료기기를 만드는 이 회사는 연매출 20조원, 전 세계 직원 5만9,000명 규모의 대기업이에요. 그런데도 9월 1일 기준으로 완전한 정상화 소식은 나오지 않아, 벌써 일주일 넘게 사태가 이어지고 있어요.

무슨 일이 있었나

회사는 8월 25일 침입 정황을 인지하자마자 사고대응 절차에 들어가 크라우드스트라이크 등 외부 전문가를 투입했어요. 다음 날인 26일에는 네트워크 전반, 그중에서도 사내 서버에 직접 설치된 온프레미스 시스템이 전면 중단됐다고 공시했어요. 반면 클라우드 기반 시스템과 애플리케이션은 영향을 받지 않았다고 밝혔어요. 28일 추가 성명에서는 "이번 주 안에 일부 제품이라도 배송을 재개하는 것"을 목표로 한다고 했지만, 전체 복구 일정은 여전히 제시하지 못했어요. 8월 31일 기준으로는 25일 이후 추가적인 악성 행위의 흔적은 발견되지 않았다고 확인했지만, 정작 어떤 랜섬웨어 조직도 이번 공격의 배후를 자처하지 않고 있고 데이터가 실제로 빠져나갔는지도 아직 불확실해요. 다행히 이미 환자 몸에 이식된 심장박동기 자체의 동작에는 영향이 없다고 회사는 강조했어요. 영향을 받은 건 신규 기기의 원격 모니터링 활성화 절차예요. 공시 이후 회사 주가는 4%대 하락했어요.

왜 중요한가, 무엇이 위험한가

이번 사고가 특히 눈여겨볼 만한 이유는, 회사 규모나 보안 투자 수준과 무관하게 IT 시스템과 실제 생산라인·주문처리 시스템이 한 몸처럼 얽혀 있으면 침해 하나가 곧바로 사업 전체를 멈춰 세운다는 걸 다시 보여줬기 때문이에요. 랜섬웨어 조직이 아직 배후를 자처하지 않았다는 점도 특이해요. 최근에는 협상이 끝나기 전까지 다크웹에 이름을 올리지 않거나, 아예 금전 요구 없이 마비 자체를 노리는 공격도 늘고 있어서, 조직의 정체나 요구사항이 확인되기도 전에 사업이 먼저 멈추는 경우가 많아지고 있어요. 게다가 의료기기 제조사라는 특성상 이 마비가 길어지면 병원의 재고 부족, 수술 일정 차질로까지 번질 수 있어요. 앞서 자동차 제조사 재규어랜드로버도 비슷한 유형의 사이버공격으로 장기간 생산이 중단된 적이 있는데, 이번 사고 역시 제조업 전반에서 반복되고 있는 패턴 중 하나예요.

우리 회사도 대비하려면?

가장 먼저 확인할 부분은 온프레미스 시스템의 격리 수준이에요. 이번 사고에서도 클라우드 시스템은 무사했지만 사내에 직접 설치된 온프레미스 시스템이 집중적으로 타격을 받았어요. 관리가 상대적으로 느슨해지기 쉬운 사내 레거시 시스템이나 공장 제어망을, 클라우드 못지않은 수준으로 모니터링하고 사무용 네트워크와 분리해 둘 필요가 있어요.

또 하나 중요한 건, 랜섬웨어 조직이 배후를 자처하지 않아도 사업 마비는 이미 시작된다는 점이에요. 침해 여부나 공격 조직이 공식 확인되기를 기다리다 보면 대응이 늦어질 수밖에 없어요. 의심 정황만으로도 곧바로 발동할 수 있는 사전 대응 매뉴얼과 오프라인 복구 체계를 갖춰두는 게 실질적인 방어예요.

국내 조직에도 시사점이 커요. 국내에도 의료기기·정밀부품을 만드는 제조업체가 적지 않고, 최근에는 자동차 부품이나 이차전지 협력사를 노린 랜섬웨어 공격도 이어지고 있어요(관련해서 저희가 다뤘던 에어리퀴드코리아 사례도 참고할 만해요). 연매출 20조원, 전담 보안 인력을 갖춘 대기업도 일주일 넘게 복구를 못 하고 있는 만큼, 전산 인력이 소수인 국내 중견 제조업체는 사고가 터지면 훨씬 더 길고 큰 마비를 각오해야 해요. 그래서 사고가 난 뒤 복구 속도를 높이는 것 못지않게, 애초에 핵심 데이터와 백업을 물리적으로 떼어놓는 사전 예방이 더 중요해져요.

마지막으로, 원격 모니터링이나 원격 접속 기능처럼 외부와 연결되는 접점은 편의성과 보안 사이에서 항상 최신 상태로 재점검해야 해요. 접근 권한을 최소화하는 제로트러스트 원칙을 적용하면, 공격자가 계정 하나를 뚫더라도 핵심 시스템까지 곧바로 번지는 걸 늦출 수 있어요.

이런 증상이 보이면 이미 위험 신호예요

• 공장 제어망(OT)과 사무용 IT망이 실제로 분리돼 있는지, 아니면 같은 인증 서버를 공유하는지 확인해 보세요.
• 주문처리·배송 시스템이 며칠간 멈출 경우 버틸 수 있는 수동 대체 프로세스가 마련돼 있는지 점검해 보세요.
• 포렌식·사고대응 전문업체와 사전 계약이 돼 있는지, 아니면 사고가 터진 뒤에야 업체를 찾기 시작하는 구조인지 확인해 보세요.
• 최근 며칠 새 원격 모니터링·원격 접속 기능에서 평소와 다른 인증 요청이나 접속 이력이 없는지 로그를 확인해 보세요.
• 백업 데이터가 운영 시스템과 같은 네트워크·계정 체계 안에 있는지, 물리적으로 분리돼 있는지 점검해 보세요.

Q. 랜섬웨어 조직이 아직 배후를 자처하지 않았는데 왜 랜섬웨어로 의심하나요?

네트워크 전면 중단, 온프레미스 시스템 집중 피해, 외부 사고대응 전문업체 투입 같은 정황이 전형적인 랜섬웨어 침해 패턴과 일치해서 보안 업계는 랜섬웨어 가능성을 유력하게 보고 있어요. 다만 공식 확인 전까지는 단정할 수 없어요.

Q. 이미 심장박동기를 이식받은 환자도 위험한가요?

회사는 이미 이식된 기기 자체의 동작에는 영향이 없다고 밝혔어요. 영향을 받은 건 신규 기기 판매·배송과 새로운 원격 모니터링 활성화 절차예요.

Q. 우리 회사는 이 정도 규모가 아닌데도 해당되는 이야기인가요?

오히려 반대예요. 자금과 전담 보안 인력이 풍부한 대기업도 일주일 넘게 복구를 못 하고 있다는 건, 전산 인력이 적은 중견기업은 더 오래, 더 크게 흔들릴 수 있다는 뜻이에요.

보스턴 사이언티픽 사태는 아직 끝나지 않았어요. 누가, 왜 뚫었는지조차 공식적으로 밝혀지지 않은 상태에서 이미 일주일 넘게 전 세계 공장과 주문 시스템이 멈춰 있다는 사실 자체가 이 사고의 심각성을 보여줘요. 회사 규모가 크든 작든, 온프레미스 시스템과 백업 체계를 다시 들여다봐야 할 이유가 여기 있어요.

이런 사고를 막으려면 공장 시스템이 뚫려도 백업과 복구 경로만큼은 손대지 못하게 물리적으로 떼어놓는 구조가 필요해요. 이중 데이터 다이오드 방식으로 망을 물리적으로 분리하는 디포트리스가 바로 그 역할을 해줘요. 온프레미스가 뚫려도 왜 백업만은 살아남는지 궁금하다면 여기서 확인해보세요.