에스에프에이(SFA) 1년 만에 또 랜섬웨어 피해, 이번엔 비밀번호 수천 개 유출

[핵심요약] 국내 반도체·디스플레이 장비기업 에스에프에이(SFA)가 2025년 대규모 유출 사고 1년 만에 또 랜섬웨어 공격을 받았어요. 이번엔 임직원 계정과 비밀번호 수천 건이 다크웹에 노출됐어요.

2026년 9월 15일, 랜섬웨어 조직 메타인크립터(Metaencryptor)가 다크웹 유출 사이트에 국내 반도체·디스플레이·2차전지 자동화 장비기업 에스에프에이(SFA)를 새 피해자로 올렸어요. 다크웹 위협 인텔리전스 업체들이 집계한 내용에 따르면 직원 계정 61건, 협력사 직원 자격증명 1건이 손상됐고, 비밀번호 1,708개(이 중 39개는 '심각' 등급)와 외부에서 접근 가능한 공격 표면 24개까지 함께 확인됐어요. 공교롭게도 에스에프에이는 1년 전인 2025년 8월에도 '언더그라운드(Underground)'라는 다른 랜섬웨어 조직에 뚫려 2.3테라바이트 규모의 설계도면과 소스코드가 유출된 전력이 있는 회사예요. 1년 사이 같은 회사가 서로 다른 두 조직에 연달아 뚫린 셈이라, 업계에서는 "그때 진짜 원인이 해결됐던 게 맞느냐"는 얘기가 나오고 있어요. 아직 에스에프에이 측의 공식 확인 발표는 나오지 않은 상태예요.

무슨 일이 있었나?

먼저 2025년 8월 사고부터 짚어볼게요. 당시 언더그라운드 조직은 에스에프에이의 나스(NAS) 저장장치를 노린 것으로 추정되는 방식으로 침투해, 미래 성장동력으로 꼽히던 'NEO' 플랫폼의 C# 소스코드와 버전 정보, 제품 설계도면(CAD 파일), 머신러닝 데이터셋까지 훑어갔어요. 보안 전문가들은 이 정도로 제어·설계 관련 자료가 통째로 새어나가면 실제 생산 설비를 제어하는 스카다(SCADA) 시스템 침투로 이어질 수도 있다고 경고했었어요.

그리고 1년이 지난 지금, 이번엔 메타인크립터라는 완전히 다른 조직이 새 피해자 명단에 에스에프에이를 올렸어요. 이번에 드러난 건 설계도면이 아니라 로그인에 바로 쓰일 수 있는 계정 정보예요. 직원 9명이 관여된 시스템에서 사용자 61명의 계정이 손상됐고, 협력업체 직원의 자격증명도 1건 포함돼 있었어요. 비밀번호 1,708개 중 39개는 이미 '심각' 등급으로 분류돼 있고, 외부에서 스캔만 해도 접근 가능한 공격 표면이 24개나 확인됐다는 점도 눈에 띄어요. 몸값 협상이 실제로 진행 중인지는 아직 공개되지 않았어요.

왜 중요한가? 무엇이 위험한가?

에스에프에이 같은 장비회사는 그 자체로도 큰 회사지만, 반도체·디스플레이·배터리 대기업의 생산라인에 자동화 설비를 공급하는 공급망의 핵심 고리이기도 해요. 설계도면이나 제어 소스코드가 유출되면 에스에프에이 자체 피해로 끝나지 않고, 그 장비를 도입한 고객사의 공정 구조가 함께 노출될 수 있어요. 나중에 그 고객사를 노리는 표적 공격의 정찰 자료로 악용될 위험도 있고요.

더 눈여겨봐야 할 부분은 이번 유출이 '비밀번호'라는 점이에요. 설계도면 유출은 한 번의 대형 침해로 끝날 수 있지만, 계정과 비밀번호가 대량으로 다시 노출됐다는 건 지난 사고 이후에도 계정 관리 체계 자체가 크게 달라지지 않았을 가능성을 보여줘요. 서로 다른 두 랜섬웨어 조직이 1년 사이 같은 회사를 각각 다른 경로로 뚫었다는 사실 자체가, 한 번의 침해 대응만으로는 근본적인 약점이 사라지지 않는다는 걸 보여주는 사례예요.

우리 회사도 대비하려면?

이번 사례에서 가장 배울 점은 '한 번 유출됐던 회사가 왜 또 뚫렸는가'예요. 큰 침해사고를 겪은 뒤에는 보통 눈에 보이는 시스템부터 점검하기 마련인데, 정작 계정 정보처럼 눈에 잘 안 띄는 영역은 후순위로 밀리는 경우가 많아요. 특히 협력업체나 외주 인력 계정은 프로젝트가 끝나도 삭제되지 않고 방치되는 일이 흔한데, 이런 계정 하나가 전체 시스템의 약한 고리가 될 수 있어요.

비밀번호 재사용 문제도 마찬가지예요. 사내 시스템 비밀번호를 다른 서비스와 똑같이 쓰는 직원이 한 명이라도 있으면, 그 직원이 이용하는 외부 서비스가 뚫리는 순간 사내 계정까지 함께 위험해져요. 여기에 NAS나 원격접속 장비처럼 외부에 그대로 노출된 자산이 있다면 공격자 입장에서는 굳이 정교한 기법을 쓸 필요도 없이 바로 침투 경로를 확보하게 되는 셈이에요.

그래서 침해사고 이후의 후속조치는 '눈에 보이는 유출 자료 삭제 요청'에서 끝나면 안 돼요. 계정 전수조사, 비밀번호 일괄 재설정, 다크웹 모니터링을 통한 재유출 여부 상시 확인까지 이어져야 진짜 재발 방지가 돼요.

지금 바로 확인해보세요

• 퇴사자·외주인력 계정이 아직 살아있지 않은지 확인해 보세요
• 사내 시스템 비밀번호를 다른 사이트와 똑같이 쓰고 있지 않은지 점검해 보세요
• NAS나 원격접속 장비가 인터넷에 그대로 노출돼 있지 않은지 확인해 보세요
• 다크웹에 자사 도메인 계정정보가 이미 떠돌고 있는지 검색해 보세요
• 설계도면·소스코드 저장소 접근 권한이 필요 이상으로 넓게 열려있지 않은지 확인해 보세요
• 지난 침해사고 이후 후속조치가 실제로 끝까지 완료됐는지 다시 점검해 보세요

이번에 유출된 비밀번호 1,708개는 실제 로그인에 쓸 수 있는 상태인가요?

다크웹 위협 인텔리전스 업체가 공개 게시물을 색인해 집계한 수치라 해시화·암호화 여부까지는 확인되지 않아요. 다만 그중 39개는 이미 '심각' 등급으로 분류돼 있어서, 관련 계정은 유출 확인 여부와 무관하게 지금 바로 바꾸는 게 안전해요.

1년 전 유출과 이번 유출은 같은 해커 조직이 한 건가요?

아니요. 2025년 8월은 '언더그라운드', 이번 2026년 9월은 '메타인크립터'로 서로 다른 조직이에요. 같은 조직이 재침투한 것보다, 서로 다른 조직이 짧은 기간에 각자 다른 약점을 찾아 들어왔다는 점이 오히려 더 우려스러운 대목이에요.

장비회사가 뚫리면 그 장비를 쓰는 고객사 생산라인도 위험한가요?

직접적인 침투로 이어지는 건 아니지만, 설계도면이나 제어 관련 소스코드가 유출되면 그 장비를 도입한 고객사의 공정 구조가 외부에 드러나는 셈이에요. 이런 정보는 훗날 그 고객사를 노리는 공격의 사전 정찰 자료로 활용될 수 있어서 간접적인 위험이 분명히 있어요.

1년 사이 두 번, 서로 다른 조직에게 뚫린 에스에프에이의 사례는 랜섬웨어 대응이 '한 번의 침해 대응'으로 끝나는 일이 아니라는 걸 다시 한번 보여줘요. 설계도면이든 비밀번호든, 한 번 새어나간 조직은 다음 공격자에게도 매력적인 표적으로 남는다는 뜻이니까요. 후속조치를 얼마나 끝까지 챙기느냐가 다음 침해를 막는 진짜 갈림길이 될 거예요.

이런 사고를 막으려면 관리자 권한이 뚫려도 백업까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 계정이 뚫려도 백업 데이터는 왜 안전할 수 있는지 궁금하다면 여기서 확인해보세요.