에어 캐나다 랜섬웨어 피해 주장, 신흥 조직 더 젠틀맨은 어떻게 이렇게 빨리 커졌나

[핵심요약] 캐나다 국적항공사 에어 캐나다가 2026년 9월 9일 랜섬웨어 조직 '더 젠틀맨' 리크사이트에 올랐어요. 5만1,409개 파일 탈취 주장인데, 이 조직은 제휴 수익 90%를 나눠주며 1년도 안 돼 업계 최고 성장 속도를 보이고 있어요.

2026년 9월 9일, 랜섬웨어 조직 더 젠틀맨(The Gentlemen)이 자신들의 다크웹 리크사이트에 캐나다 국적항공사 에어 캐나다를 새 피해자로 올렸어요. 이들은 내부 시스템에서 핵심 파일 5만1,409개를 탈취했다고 주장했는데, 이 글을 쓰는 시점까지 에어 캐나다 측의 공식 확인이나 반박은 나오지 않았어요. 리크사이트 게시는 공격 조직의 일방적 주장이라 실제 유출 여부는 검증되지 않았지만, 더 젠틀맨이라는 이름 자체가 최근 몇 달 사이 보안 업계에서 가장 빠르게 몸집을 불린 랜섬웨어 조직으로 꼽히고 있어서 이번 주장에도 이목이 쏠리고 있어요.

더 젠틀맨, 무슨 일이 있었나?

더 젠틀맨은 원래 독자 조직이 아니라 킬린(Qilin) 랜섬웨어의 제휴 조직 'ArmCorp'으로 활동을 시작했어요. 2025년 7월경 독립했고, 같은 해 9월에는 자체 RaaS(서비스형 랜섬웨어) 체계로 전환했어요. 침투 방식은 포티넷 방화벽(CVE-2024-55591), 얼랭/OTP SSH(CVE-2025-32433), 윈도우 SMB 클라이언트(CVE-2025-33073) 같은 엣지 장비 취약점을 파고들거나, 무차별 대입 공격, 이미 유출된 크리덴셜 구매, 초기 접근 브로커(IAB)와의 협업까지 다양해요. 침투에 성공하면 자체 개발한 'GentleKiller'로 백신·EDR을 무력화하고, Advanced IP Scanner로 내부망을 정찰한 뒤, wevtutil 명령으로 윈도우 이벤트 로그를 지워 흔적을 없애는 순서를 밟는 것으로 파악됐어요.

이번 에어 캐나다 건은 우연히 튀어나온 사건이 아니에요. 2026년 9월 첫째 주에만 인도·미국·폴란드·브라질의 IT, 유통, 헬스케어, 항공 기업 5곳이 닷새 사이 연달아 리크사이트에 이름을 올렸어요. 에어 캐나다는 이 공격 러시에서 가장 인지도가 높은 피해 주장 사례인 셈이에요.

왜 위험한가?

가장 눈에 띄는 건 제휴 조직에 나눠주는 수익 배분율이에요. 업계 평균은 70~80%인데 더 젠틀맨은 90%를 제시해요. 이 정도 배분율은 2025년 와해되고 킬린에 흡수된 랜섬허브(RansomHub) 이후 처음이에요. 경쟁 조직의 숙련된 해커를 돈으로 빼오겠다는 전략이 실제로 통했어요. 2026년 1월 48건이던 공격이 2월엔 91건으로 한 달 만에 거의 두 배가 됐고, 1~3월 누적으로는 200건이 넘는 피해 주장이 나왔어요. 아키라(Akira)가 지금 규모까지 크는 데 12개월, 킬린이 18개월 걸린 것과 비교하면, 더 젠틀맨은 2025년 7월 등장 이후 훨씬 빠른 속도로 몸집을 불린 거예요. 보안 업계는 이 확장 속도를 록빗(LockBit) 3.0의 초기 상승세에 견줄 정도라고 평가해요.

주로 노리는 업종 순위는 IT서비스, 건설, 제조, 금융서비스, 헬스케어 순인데, 제조업이 3위예요. 중앙집중식 신원관리 체계를 쓰고 운영을 멈추면 손해가 큰 조직일수록 협상에서 유리한 지렛대가 된다고 보고 표적으로 삼는 것으로 알려졌어요. 국내로 눈을 돌리면, 2025년 하반기 킬린 계열 조직이 국내 MSP 한 곳(GJTec)을 뚫은 뒤 그 접근 권한으로 금융권 등 국내 기업 28곳을 동시에 공격한 '코리안 리크스' 사례가 이미 있었어요. 더 젠틀맨도 포티넷·윈도우 SMB처럼 국내 중견기업이 흔히 쓰는 엣지 장비 취약점을 그대로 노리고, 제조업이 표적 3순위라는 점에서 국내 조직도 남의 일이 아니에요.

우리 회사도 대비하려면?

가장 먼저 방화벽·VPN 같은 엣지 장비의 패치 상태를 점검해야 해요. 더 젠틀맨이 실제로 악용한 CVE들이 이미 공개돼 있으니, 제조사 보안 권고문을 확인하고 해당 패치가 적용됐는지부터 확인하세요. 그다음은 EDR·백신이 임의로 꺼지거나 이벤트 로그가 대량 삭제되는 이상 징후를 탐지할 수 있는 체계예요. GentleKiller 같은 EDR 킬러는 방어 솔루션을 끄는 순간 알림이 남는 경우가 많은데, 이걸 놓치면 공격자가 내부망을 정찰하고 확산할 시간을 벌어주는 셈이에요.

크리덴셜 관리도 중요해요. 더 젠틀맨은 초기 접근 브로커에게서 이미 유출된 계정 정보를 사들여 침투하는 경우가 많아서, 관리자 계정 정보가 다크웹에 떠돌고 있지는 않은지 주기적으로 확인하고 다중 인증(MFA)을 반드시 적용해야 해요. 마지막으로 운영 네트워크와 물리적으로 분리된 백업이 있어야 공격자가 내부망을 완전히 장악하더라도 복구할 방법이 남아요.

• 방화벽·VPN 장비, 특히 포티넷(Fortinet) 제품이라면 CVE-2024-55591 관련 패치를 적용했는지 확인해 보세요.
• 최근 EDR·백신 프로그램이 알 수 없는 이유로 꺼지거나 알림이 끊긴 적이 있는지 로그를 살펴보세요.
• 윈도우 이벤트 로그가 wevtutil 같은 명령으로 갑자기 대량 삭제된 흔적이 있는지 확인해 보세요.
• 내부망에서 Advanced IP Scanner 같은 정찰 도구가 낯선 계정으로 실행된 기록이 있는지 점검해 보세요.
• 관리자 계정 크리덴셜이 다크웹 유출 데이터에 이미 포함돼 있지는 않은지 확인해 보세요.
• 백업 서버가 운영 네트워크와 물리적으로 분리돼 있어 랜섬웨어가 확산돼도 안전한 구조인지 점검해 보세요.

리크사이트에 이름이 올라갔다고 실제 유출이 확정된 건가요?

아니요. 공격 조직이 협상 압박을 위해 일방적으로 게시하는 주장이라 과장되거나 사실과 다른 경우도 있어요. 다만 더 젠틀맨은 지난 1년간 검증된 피해 사례가 여러 건 쌓인 조직이라, 조사 중에도 협상 압박과 평판 손상이 이미 시작되는 셈이에요.

항공사처럼 큰 회사가 왜 자꾸 랜섬웨어 표적이 되나요?

항공 운항처럼 잠시도 멈추면 안 되는 서비스일수록 다운타임에 대한 허용치가 낮아요. 운영이 멈췄을 때 손실이 클수록 몸값을 지불할 가능성이 높다고 보고, 중앙집중식 시스템을 쓰는 조직을 우선순위로 고르는 경향이 있어요.

우리 회사도 포티넷이나 윈도우 SMB를 쓰는데, 지금 뭘 확인해야 하나요?

방화벽·VPN 제조사 홈페이지에서 최신 보안 권고문을 확인하고 이번에 언급된 CVE 패치가 적용됐는지부터 점검해 보세요. 패치 이력이 불분명하다면 담당자에게 바로 확인을 요청하는 게 가장 빠른 대응이에요.

이번 에어 캐나다 건은 아직 확인되지 않은 주장 단계지만, 더 젠틀맨이라는 조직 자체는 이미 실체가 뚜렷한 위협으로 자리 잡았어요. 90%라는 파격적인 수익 배분으로 숙련된 공격자를 끌어모으고, 록빗 3.0급 속도로 세를 불리고 있다는 점에서 앞으로도 비슷한 소식이 이어질 가능성이 높아요. 제조업이 표적 3순위에 올라 있는 만큼, 국내 중견 제조업체도 엣지 장비 패치와 크리덴셜 관리부터 다시 점검해 볼 시점이에요.

이런 사고를 막으려면 관리자 권한이 뚫려도 백업까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 해커가 관리자 권한을 뺏어도 왜 백업은 못 건드리는지 궁금하다면 여기서 확인해보세요.