신흥 랜섬웨어 조직 Black X, 국내 자동차부품 제조사 공격…공급망 보안 비상

[핵심요약] 2026년 9월 초, 신흥 랜섬웨어 조직 Black X가 국내 자동차 부품 제조업체를 공격 대상으로 새로 올렸어요. 완성차 업계의 공급망 보안 강화 움직임 속에서도 협력사 침투가 계속되는 이유를 짚어봐요.

보안업체 안랩 시큐리티대응센터(ASEC)가 2026년 9월 3일 공개한 주간 랜섬웨어·다크웹 동향 리포트에 따르면, 신흥 랜섬웨어 조직 Black X가 국내 자동차 부품 제조업체 한 곳을 새로운 공격 대상으로 올렸어요. 피해 기업명과 정확한 공격 시점은 아직 공개되지 않았지만, 업종은 자동차 부품 제조로 명확히 특정됐어요. 같은 리포트에는 국내 자산운용·투자관리업체 한 곳의 내부 자료가 다크웹에서 거래되고 있다는 정황도 함께 실렸어요. Black X는 2025년 하반기부터 활동을 시작한 것으로 추정되는 비교적 신생 조직으로, 국내 성형외과와 필리핀 교정기관, 독일 산업·에너지 업체까지 업종을 가리지 않고 공격 대상을 넓혀왔어요.

무슨 일이 있었나

Black X는 토르(Tor) 네트워크에 유출 사이트를 운영하면서 '유출 데이터', '소개', '문의' 같은 메뉴까지 갖춘, 전형적인 이중갈취(더블 익스토션) 방식을 쓰는 조직이에요. 시스템을 암호화하는 동시에 내부 자료를 먼저 빼돌린 뒤, 몸값을 내지 않으면 그 자료를 공개하겠다고 압박하는 수법이에요. 올해 6월에는 필리핀의 한 교정기관을 공격해 수감자 300명 이상의 여권 정보를 훔쳤다고 주장했고, 국내에서는 이미 한 성형외과의 내부 자료를 유출 사이트에 올린 이력도 있어요. 이번에 새로 이름을 올린 자동차 부품 제조업체는 그 공격 대상 목록에 추가된 최신 사례예요. 자동차 산업은 완성차 업체 아래 1차, 2차, 3차 협력사가 촘촘히 얽힌 다단계 공급망 구조라, 협력사 한 곳만 뚫려도 도면·생산 데이터·거래 정보가 함께 새어나갈 위험이 있고, 심하면 완성차 업체의 생산 라인 정보까지 노출될 수 있어요.

왜 중요한가, 무엇이 위험한가

보안업계에서는 제조업이 4년 연속 국내 랜섬웨어 공격에서 가장 많이 노려진 산업군으로 꼽힌다고 분석해요. 핵심 원인으로는 협력사·하청업체로 이어지는 다층적 공급망 구조가 꼽혀요. 완성차 업체는 대체로 자체 보안 투자 여력이 있지만, 그 아래 부품 협력사로 내려갈수록 전산 인력과 예산이 급격히 줄어드는 게 현실이에요. 공격자 입장에서는 잘 알려진 대기업을 직접 뚫는 것보다, 상대적으로 방어가 허술한 협력사를 거쳐 우회하는 편이 훨씬 효율적이에요. Black X처럼 업종을 가리지 않고 무차별적으로 공격 대상을 넓히는 신생 조직이 늘어난다는 것 자체가, '우리는 유명하지 않으니 안전하다'는 믿음이 더는 통하지 않는다는 신호예요.

우리 회사도 대비하려면?

완성차 업체들도 이런 위험을 인식하고 대응에 나서고 있어요. 예를 들어 현대오토에버는 153개 부품 협력사를 대상으로 공장 보안 점검을 강화하고 있고, KISA와 완성차 업체가 함께 자동차 산업 공급망 보안 체계를 마련하는 움직임도 있어요. 하지만 이런 원청 주도의 점검은 대개 특정 시점의 스냅샷일 뿐이라, 점검 이후 새로 열린 원격접속 포트나 뒤늦게 발견된 취약점까지 계속 잡아내지는 못해요. 결국 협력사 스스로 상시적인 보안 점검 체계를 갖추는 게 필요해요. 특히 외부에서 접속 가능한 원격 접속 경로(RDP, VPN 등)를 최소화하고, 협력사·거래처 계정이 우리 시스템 어디까지 접근할 수 있는지 주기적으로 점검하는 게 첫걸음이에요. 생산관리시스템(MES)이나 설비 제어망을 사무망과 분리해두면, 사무용 PC 한 대가 뚫려도 실제 생산 라인까지 피해가 번지는 걸 막을 수 있어요.

이런 증상이 보이면 이미 위험 신호예요

• 협력사·하청업체 계정으로 우리 시스템에 접속하는 경로가 몇 개나 되는지 파악이 안 된다
• 생산관리시스템(MES)이나 설비 제어망이 사무망과 완전히 분리돼 있는지 확인한 적이 없다
• 원청·완성차 업체가 요구하는 보안 점검을 특정 시점에 형식적으로만 통과했다
• 최근 6개월 내 RDP·VPN 등 외부 노출 접속 포트를 전수 점검한 적이 없다
• 우리 회사명이나 도메인이 다크웹 유출 사이트에 올라와 있는지 확인해본 적이 없다
• 백업 데이터가 운영 서버와 같은 계정 체계(AD 등)를 써서, 한 번 뚫리면 같이 뚫릴 위험이 있다

우리 회사는 자동차 업계도 아니고 잘 알려지지도 않았는데 공격 대상이 될 수 있나요?

Black X 같은 신생 조직은 오히려 유명한 대기업보다 상대적으로 방어가 허술한 중소 협력사를 먼저 노려요. 실제로 이 조직은 성형외과, 교정기관, 자동차 부품사처럼 업종을 가리지 않고 공격 대상을 넓혀왔어요.

원청 회사가 보안 점검을 하고 있다면 우리 협력사는 안심해도 되나요?

점검을 통과했다는 것과 실제로 뚫리지 않는다는 것은 다른 이야기예요. 점검은 보통 특정 시점의 스냅샷이라, 그 이후 새로 열린 포트나 취약점까지 잡아내지는 못해요. 지속적인 자체 점검이 꼭 필요해요.

전산 인력이 1~2명뿐인 중견 부품업체는 이런 공격을 막을 여력이 없는데 어떻게 하나요?

모든 걸 한 번에 막으려 하지 않아도 돼요. 외부 노출 계정·포트부터 줄이고, 백업만이라도 운영 시스템과 분리해두는 것만으로 피해 규모를 크게 줄일 수 있어요.

Black X 같은 신생 조직이 업종을 가리지 않고 국내 중소 제조업체를 공격 대상에 올리는 흐름은 당분간 이어질 가능성이 커요. 완성차 업체의 공급망 보안 강화 노력만으로는 한계가 있고, 결국 개별 협력사가 스스로 기본기를 채워야 해요. 오늘 다룬 사건의 피해 기업명은 아직 공개되지 않았지만, 다음 차례가 우리 회사가 아니라는 보장은 없어요.

이런 신생 조직들은 화려한 기술보다 협력사의 허술한 원격접속 경로 하나를 집요하게 파고들어요. 뚫히는 걸 완전히 막을 수 없다면, 뚫려도 백업만은 못 건드리게 만드는 구조가 마지막 보루가 돼요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 협력사 계정이 뚫려도 왜 백업 서버는 못 건드리는지 궁금하다면 여기서 확인해보세요.