자동차 시트업체 광명산업 랜섬웨어 공격, 6TB 유출에 완성차 공급망까지 흔들렸다

[핵심요약] 자동차 시트·부품 제조사 광명산업이 블랙록스 랜섬웨어 공격을 받아 생산·설계 자료 등 6TB가 유출 위협에 놓였고, 완성차 업체 개발 정보까지 흘러들어갔을 가능성이 제기됐어요.

2026년 9월 5일, 랜섬웨어 조직 블랙록스(BlackLocks)가 다크웹 유출 사이트에 국내 자동차 시트·부품 제조업체 광명산업(주)을 피해자로 올렸어요. 이들은 생산성 관리 현황, 부품 검사·설계 문서, 해외공장 품질 자료, 신차 투자비 서류, 금융권 차입 계획 문서 등 약 6TB 분량의 데이터를 훔쳤다고 주장했어요. 광명산업은 1985년 설립된 자동차 시트·금형·지그 전문 제조사로, 천안 본사·중앙연구소를 비롯해 아산·광주·경주 공장, 멕시코 라모스·미국 앨라배마 해외 법인까지 두고 있어요. 공식 언론 대응 부서가 없다는 이유로 회사 측은 별다른 입장을 내지 않았고, 홈페이지도 한동안 정상적으로 접속되지 않았어요.

무슨 일이 있었나?

블랙록스는 유출 사이트에 샘플 파일을 공개하며 협상을 압박했어요. 공개된 자료에는 생산성 관리 현황뿐 아니라 차량 개발 일정과 생산계획, 특정 차종·부품과 관련된 것으로 추정되는 문서, 일부 완성차 프로젝트와 연관된 검사·설계 자료까지 섞여 있었던 것으로 보도됐어요. 이는 광명산업 한 곳의 내부 자료를 넘어, 이 회사에서 시트·부품을 납품받는 완성차 업체의 개발 정보까지 함께 노출됐을 가능성을 뜻해요. 보도 시점까지 생산설비가 암호화돼 공장이 멈췄다는 발표는 없었고, 데이터를 몰래 빼낸 뒤 공개를 무기로 협상을 강요하는 이른바 '유출형(이중협박)' 방식이 쓰인 것으로 파악돼요.

왜 중요한가? 무엇이 위험한가?

공교롭게도 이번 사고는 국내 자동차 부품업계 단독 사고가 아니에요. 같은 9월 안에 부산의 자동차 부품업체 아이윈이 블랙엑스(Black X)라는 또 다른 조직에게 9월 1일 1TB 유출 협박을 받았고, 8월 28일에는 역시 자동차 부품을 만드는 아이원(i-one)도 같은 조직에게 표적이 됐어요. 서로 다른 랜섬웨어 조직이 비슷한 시기에 비슷한 업종만 골라 잇따라 노렸다는 건, 이 산업 전반이 손쉬운 표적으로 찍혔다는 신호로 읽을 수 있어요. 완성차 업체보다 보안 투자 여력은 적으면서도 설계도면·품질데이터처럼 '팔리는' 기술정보를 쥐고 있다는 점이 이유로 꼽혀요. 게다가 한 협력사의 유출이 원청 완성차 업체의 미공개 신차 정보까지 흔들 수 있다는 점에서, 공급망 보안은 이제 부품업체 개별 문제가 아니라 업계 전체의 리스크가 됐어요.

우리 회사도 대비하려면?

자동차 부품·제조업처럼 여러 공장과 해외 법인을 함께 운영하는 조직이라면, 우선 국내외 법인 간 계정·접근권한이 서로 얼마나 공유되고 있는지부터 점검할 필요가 있어요. 해외 법인 한 곳의 계정이 뚫려도 국내 설계서버까지 곧장 접근할 수 있는 구조라면, 공격자 입장에선 진입로가 하나 더 늘어나는 셈이에요.

또한 설계도면·품질데이터·재무자료처럼 외부로 나가면 회수가 사실상 불가능한 자료는, 접근 권한을 실제 업무에 필요한 최소 범위로 좁히고 대량 다운로드가 발생하면 즉시 알림이 오도록 로그 감시 체계를 갖춰야 해요. 거래처(완성차 업체 등)와 자료를 주고받는 공유 폴더·협업 툴도 별도로 관리해서, 협력사 하나가 뚫려도 원청사 정보까지 한꺼번에 새지 않도록 경계를 나눠두는 게 중요해요.

마지막으로 다크웹 유출 사이트를 주기적으로 모니터링하는 체계가 없다면, 이번 광명산업처럼 사고 사실을 회사 스스로보다 언론 보도로 먼저 알게 되는 상황을 피하기 어려워요.

이런 증상이 보이면 이미 위험 신호예요:

• 해외 법인(멕시코·미국 등) 계정과 국내 설계·생산 시스템 계정이 그대로 공유되고 있지 않은지 확인해 보세요.
• 설계도면·품질 데이터가 있는 서버의 접근 로그에 평소보다 큰 규모의 다운로드 기록이 없는지 살펴보세요.
• 완성차 업체 등 거래처와 공유하는 폴더·협업 툴 권한이 필요 이상으로 넓게 열려 있지 않은지 점검해 보세요.
• 신차 투자비·차입 계획 같은 재무 문서에 최근 낯선 계정의 접근 흔적이 있는지 확인해 보세요.
• 백업 서버가 운영 서버와 같은 네트워크 대역에 있어 랜섬웨어가 퍼지면 함께 훼손될 위험은 없는지 점검해 보세요.
• 다크웹 유출 사이트를 정기적으로 모니터링하는 담당자나 도구가 있는지 확인해 보세요.

Q. 광명산업 시스템이 랜섬웨어에 암호화돼 공장이 멈춘 건가요?

보도된 내용까지는 생산설비가 암호화됐다는 발표는 없었고, 데이터를 훔친 뒤 공개하겠다고 협박하는 유출형 공격으로 파악돼요. 다만 데이터가 이미 빠져나갔다면 암호화 여부와 무관하게 피해는 그대로 남아요.

Q. 이 사고가 광명산업만의 문제로 끝나지 않는 이유는 뭔가요?

유출 샘플에 특정 차종·부품과 연관된 것으로 추정되는 완성차 개발 정보가 섞여 있었다는 보도가 나왔어요. 협력사 한 곳의 유출이 원청 완성차 업체의 미공개 정보까지 흔들 수 있다는 뜻이라, 공급망 전체의 문제로 번질 수 있어요.

Q. 왜 하필 자동차 부품업체가 계속 표적이 되나요?

이번 달에만 광명산업 외에 아이윈·아이원 두 곳이 또 다른 조직에게 잇따라 노려졌어요. 완성차 업체보다 보안 투자 여력은 적은데 설계도면·품질데이터처럼 돈이 되는 기술정보는 갖고 있어서, 공격자 입장에선 적은 노력으로 큰 협상력을 얻을 수 있는 표적이 되는 거예요.

광명산업 사고는 완성차 업체가 아니라 부품 협력사를 노린다는 점에서, 이제 공급망의 가장 약한 고리가 전체 산업의 보안 수준을 좌우한다는 걸 다시 보여줬어요. 같은 달에만 같은 업종에서 세 번째로 확인된 사고라, 이런 흐름은 우연이 아니라 패턴에 가까워요. 데이터가 이미 다크웹에 올라간 이상 되돌릴 방법은 없고, 남은 건 다음 표적이 되지 않기 위한 준비뿐이에요.

이런 사고를 막으려면 협력사 계정 하나가 뚫려도 설계서버와 백업까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 해커가 계정을 훔쳐도 왜 핵심 데이터와 백업만큼은 지켜지는지 궁금하다면 여기서 확인해보세요.