현대차·에어리퀴드코리아·한화 협력사까지, 랜섬웨어가 노리는 '공급망 우회로'

[핵심요약] 현대차 부품 협력사, SK하이닉스·롯데케미칼에 산업가스를 공급하는 에어리퀴드코리아, 한화에너지 미국 자회사까지 최근 잇달아 랜섬웨어 피해가 다크웹에 공개됐어요. 대기업 대신 협력사부터 노리는 공급망 공격 패턴이 뚜렷해지고 있어요.

2026년 9월 12일, 현대차의 주요 부품 협력사 한 곳이 랜섬웨어 공격을 받아 다크웹에 내부 자료가 유출됐다는 사실이 보안업계를 통해 알려졌어요. 비슷한 시기에 SK하이닉스·롯데케미칼 등에 반도체·석유화학용 산업가스를 공급하는 에어리퀴드코리아, 그리고 한화에너지의 미국 자회사인 한화재생에너지(Hanwha Renewables)까지 랜섬웨어 조직의 다크웹 유출 사이트에 잇따라 이름을 올렸어요. 세 사건 모두 이름이 알려진 대기업 본체가 아니라 그 협력사·자회사가 먼저 뚫렸다는 공통점이 있어요. 다행히 현대차 측은 생산 차질은 없다고 밝혔지만, 공격이 반복되는 방식 자체가 국내 제조업 공급망 전반에 시사하는 바가 커요.

무슨 일이 있었나?

현대차 협력사 건은 현대차가 외부 위협정보 모니터링 과정에서 이상 징후를 먼저 포착하면서 드러났어요. 협력사는 곧바로 KISA(한국인터넷진흥원)에 자진 신고했고, 공격에 쓰인 경로를 전부 차단했어요. 다크웹에는 제조·파트너·직원·고객 정보 등이 유출됐다는 주장이 게시됐지만, 회사 측은 "중요 정보는 다운로드가 안 되는 상태"라고 확인했고 현대차 생산 라인에도 차질은 없었어요.

에어리퀴드코리아 건은 지난 8월, 랜섬웨어 조직이 다크웹 유출 사이트에 이 회사를 피해 기업으로 게시하면서 알려졌어요. 에어리퀴드코리아는 SK하이닉스, 롯데케미칼 등 국내 반도체·석유화학·철강 기업에 산업용 가스를 공급하는 핵심 협력사예요. 공격 시점과 침투 경로, 시스템 암호화 여부는 아직 확인되지 않았고, 회사는 별도 입장을 밝히지 않고 있어요.

한화재생에너지 건은 지난달 말 한화에너지의 미국법인인 한화에너지USA홀딩스의 자회사가 랜섬웨어 사이트에 공격 성공 사례로 게시되면서 확인됐어요. 세 사건 모두 시점과 지역은 다르지만, "이름값 있는 대기업이 아니라 그 아래 단계 협력사·자회사가 먼저 뚫린다"는 동일한 패턴을 보여줘요.

왜 협력사부터 뚫릴까?

대기업 본사는 보안 투자와 위협 모니터링 체계가 상대적으로 탄탄해요. 반면 협력사나 해외 자회사는 인력과 예산이 적어 보안 수준이 떨어지는 경우가 많아요. 공격자 입장에서는 본체를 정면으로 뚫기보다, 연결된 협력사를 거쳐 우회 침투하는 쪽이 훨씬 효율적이에요. 이번 세 사례 모두 그 특성을 정확히 보여줘요 — 현대차·SK하이닉스·롯데케미칼·한화 같은 이름이 오르내리지만, 실제 침투 지점은 그 아래 단계 협력사·자회사였어요.

특히 에어리퀴드코리아 사례는 더 위험해요. 반도체·석유화학 공정에 필수적인 산업가스 공급이 흔들리면 국내 핵심 산업의 생산라인 전체가 영향을 받을 수 있어요. 아직 생산 차질로 이어졌다는 확정 보도는 없지만, 대체가 거의 불가능한 필수재를 공급하는 협력사가 공격 대상이 됐다는 것 자체가 구조적인 위험이에요.

우리 회사도 대비하려면?

가장 먼저 할 일은 우리 회사와 데이터를 주고받는 협력사·외주업체 목록을 정확히 파악하는 거예요. 목록조차 정리돼 있지 않으면 어디가 약한 고리인지 알 수가 없어요. 그다음은 협력사에 부여한 시스템 접근 권한을 최소화하는 거예요 — 협력사가 원청 네트워크의 필요한 부분에만 접근하도록 제한하는 제로트러스트 원칙을 적용하면, 협력사가 뚫려도 피해 범위를 좁힐 수 있어요.

또 하나 중요한 건 현대차 사례처럼 원청이 협력사 쪽 이상 징후를 먼저 포착할 수 있는 위협정보 모니터링 체계를 갖추는 거예요. 협력사 스스로 탐지하지 못해도 원청이 한 발 먼저 알아채면 피해를 줄일 수 있어요. 계약 단계에서부터 협력사에 최소한의 보안 요건과 사고 발생 시 통보 의무를 명시해두는 것도 실무적으로 큰 도움이 돼요.

이럴 때 이미 위험 신호예요

• 우리 회사와 연결된 협력사·외주업체 목록을 최근 1년 안에 갱신한 적이 없다
• 특정 협력사에 부여한 시스템 접근 권한이 실제 업무 범위보다 훨씬 넓다
• 협력사 쪽에서 오는 파일 전송이나 로그인 접속에 평소와 다른 대량 다운로드, 낯선 IP가 보인다
• 협력사와의 계약서에 보안사고 발생 시 통보 의무 조항이 없다
• 협력사가 감염됐을 때 우리 시스템과의 연결을 즉시 끊을 수 있는 절차가 마련돼 있지 않다
• 산업가스·부품·물류처럼 대체가 어려운 핵심 협력사가 멈췄을 때의 비상 대응 계획이 없다

협력사가 뚫려도 우리 회사 시스템은 안전한 거 아닌가요?

이번 현대차 사례처럼 원청이 협력사 쪽 이상 징후를 먼저 포착해 차단한 경우도 있지만, 이건 운 좋게 조기에 발견한 경우예요. 협력사와 시스템이 연결돼 있다면 그 경로를 통해 랜섬웨어가 원청 네트워크까지 확산될 가능성은 항상 열려 있어요.

에어리퀴드코리아처럼 산업가스 공급사가 뚫리면 실제로 반도체 공장이 멈추나요?

아직 시스템 암호화 여부나 침투 경로가 확인되지 않아 단정할 수는 없어요. 다만 산업용 가스는 반도체·석유화학 공정에서 대체가 거의 불가능한 필수재라, 공급 시스템까지 영향을 받으면 고객사 생산라인에 실제 차질이 생길 수 있는 구조예요.

다크웹에 이름이 올라간 것만으로 실제 유출이 확정된 건가요?

아니에요. 랜섬웨어 조직이 협상력을 높이려고 실제 피해보다 부풀려 주장하는 경우도 많아서, 구체적인 유출 범위는 회사 측 조사 결과가 나와야 확정돼요. 다만 다크웹 게시 자체가 공격이 실제로 있었다는 강력한 정황 증거인 건 맞아요.

이번 세 사건은 서로 다른 회사에서 벌어졌지만 하나의 그림을 그려요. 랜섬웨어 조직이 이름값 있는 대기업을 정면으로 노리기보다, 그 옆에 붙어 있는 협력사·자회사의 약한 고리를 골라 뚫고 있다는 거예요. 우리 회사가 아무리 보안에 투자해도 거래하는 협력사 하나가 뚫리면 그 노력이 무력화될 수 있다는 뜻이기도 해요. 이제는 공급망 전체를 하나의 방어선으로 봐야 할 시점이에요.

이런 사고를 막으려면 협력사 쪽 계정이 뚫려서 원청 네트워크까지 넘어와도 백업 시스템만은 물리적으로 손댈 수 없는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 협력사발 침투가 백업까지 번지는 걸 어떻게 막는지 궁금하다면 여기서 확인해보세요.