아우디 최대 딜러 고진모터스 랜섬웨어 감염, 성명·주소·차량정보까지 유출 우려

[핵심요약] 아우디 국내 최대 딜러 고진모터스가 9월 6일 랜섬웨어 공격을 받아 성명·주소·차량계약정보 등 개인정보 유출 가능성을 조사 중이에요. KISA·개인정보보호위원회에 신고했고 아직 대량 탈취 정황은 낮다고 밝혔어요.

2026년 9월 9일, 아우디 국내 최대 딜러사인 고진모터스에서 9월 6일 사내 일부 서버가 랜섬웨어에 감염되고 외부의 불법 접근이 있었던 사실이 확인됐다는 소식이 전해졌어요. 유출 우려 정보는 성명, 생년월일, 주소, 휴대폰번호, 이메일주소, 차량 및 계약정보까지 서비스 이용 과정에서 쌓인 개인정보 전반이에요. 고진모터스는 사고를 인지한 즉시 해당 서버망을 차단하고 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했으며, 외부 보안업체와 함께 정밀 조사를 진행하고 있어요. 회사 측은 대량 트래픽이 발생하지 않아 개인정보가 실제로 탈취되거나 열람된 정황은 낮다고 밝혔지만, 구체적인 침투 경로나 공격 조직명은 아직 공개되지 않았어요.

사건 상세 전개, 무슨 일이 있었나?

9월 6일, 고진모터스 내부 시스템에서 랜섬웨어 감염 징후가 포착됐어요. 회사는 즉시 해당 서버망을 격리하고 보안 통제를 강화하는 한편, 고객들에게 문자와 홈페이지 공지로 사고 사실을 알렸어요. 사고 발생일과 언론 보도 사이에는 사흘의 시차가 있었는데, 이 기간 동안 회사는 피해 접수를 위한 전담 대응팀을 꾸리고 외부 사이버보안 전문업체의 지원을 받아 감염 경로와 영향 범위를 확인하는 작업을 진행했어요. 다만 어떤 랜섬웨어 조직이 공격했는지, 침투 경로가 무엇이었는지는 아직 밝혀지지 않았고, 최근 랜섬웨어 공격의 특징인 데이터를 먼저 빼낸 뒤 시스템을 암호화하는 이중 갈취 방식이었는지도 조사 결과를 더 지켜봐야 하는 상황이에요.

왜 위험한가? 무엇이 위험한가?

자동차 딜러사는 단순한 판매 대리점이 아니라, 제조사의 판매·AS 시스템과 고객 개인정보, 할부·계약 정보까지 한 곳에 모여 있는 접점이에요. 이 구조가 왜 위험한지는 해외 사례가 잘 보여줘요. 2024년 미국에서는 자동차 딜러 소프트웨어 업체 CDK Global이 랜섬웨어 공격을 받아 이 회사의 시스템을 쓰던 북미 전역 약 1만 5000개 딜러가 동시에 업무 마비를 겪었고, 피해액은 10억 달러를 넘었어요. 공격 조직 블랙수트(BlackSuit)는 5000만 달러의 몸값을 요구했죠. 딜러 하나, 혹은 딜러들이 공유하는 시스템 하나가 뚫리면 그 파장이 개별 매장을 넘어 네트워크 전체로 번지는 구조라는 게 핵심이에요. 고진모터스 사고는 아직 국내 한 곳에 국한된 것으로 보이지만, 국내에서도 다수의 대리점이 본사 전산망을 공유하는 경우가 많아 비슷한 위험 구조를 안고 있다는 점에서 시사하는 바가 커요.

우리 회사도 대비하려면?

본사와 대리점, 협력사가 시스템을 공유하는 조직이라면 가장 먼저 점검할 부분은 계정과 권한의 경계예요. 대리점 직원 계정이 본사 고객DB에 얼마나 넓은 범위로 접근할 수 있는지, 반대로 협력사 계정이 뚫렸을 때 본사 시스템까지 타고 들어올 수 있는지를 먼저 확인해야 해요. 다음으로는 감염 발견 후 격리 속도예요. 고진모터스는 사고 인지 직후 서버망을 차단했다고 밝혔는데, 이 즉시 차단 여부가 피해 규모를 가르는 경우가 많아요. 평소 어떤 서버를 얼마나 빨리 네트워크에서 분리할 수 있는지 훈련돼 있어야 실제 사고에서 빛을 발해요. 마지막으로 백업이에요. 고객 정보와 계약 데이터가 저장된 백업이 운영 서버와 같은 계정 체계로 접근 가능하다면, 랜섬웨어가 운영 서버를 넘어 백업까지 함께 암호화할 위험이 커요. 백업만큼은 별도의 접근 경로와 인증 체계로 분리해두는 게 기본이에요.

이런 신호가 보이면 지금 바로 점검해 보세요.

• 본사와 대리점·협력사 서버가 같은 계정 체계로 로그인되나요?
• 대리점 직원 계정이 본사 고객DB 전체에 접근 가능한가요?
• 침해 인지부터 서버 격리까지 걸리는 시간이 명확히 정해져 있나요?
• 백업 서버가 운영 서버와 분리된 별도 인증 체계를 쓰고 있나요?
• 협력사·대리점에서 침해가 발생하면 즉시 통보받을 계약 조항이 있나요?

대량 트래픽이 없었는데도 왜 유출 가능성을 조사하나요?

최근 랜섬웨어 공격은 시스템을 암호화하기 전에 데이터를 먼저 소량씩 빼가는 이중 갈취 방식을 많이 써요. 이 경우 대규모 트래픽 급증 없이도 개인정보가 외부로 넘어갈 수 있어서, 트래픽 이상이 없다고 해서 유출 가능성을 배제할 수는 없어요.

차량 및 계약정보가 유출되면 실제로 어떤 피해로 이어지나요?

성명·연락처에 차량 모델, 구매·할부 계약 내용까지 더해지면 피싱 문자나 보이스피싱의 정교함이 크게 올라가요. 차량 할부금이 연체됐다는 식의 문자가 실제 계약 정보와 맞아떨어지면 속을 확률이 훨씬 높아지죠.

고진모터스 사고는 아직 조사가 진행 중이라 최종 유출 규모나 공격 조직은 확인되지 않았어요. 하지만 대리점·협력사 구조를 가진 기업이라면 이번 사고를 남의 일로만 볼 수는 없어요. 본사 시스템 하나가 뚫리면 그 여파가 대리점 전체 고객에게 번질 수 있다는 걸, 국내외 사례가 이미 여러 번 보여줬거든요. 조사 결과가 나오기 전까지는 지금 우리 조직의 계정 경계와 백업 분리부터 다시 점검해보는 게 가장 확실한 대비예요.

이런 사고를 막으려면 본사 서버 권한이 뚫려도 백업 데이터까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 협력사 계정이 뚫려도 왜 백업만은 안전하게 지켜지는지 궁금하다면 여기서 확인해보세요.