물류망 노린 랜섬웨어…중견 화주 40곳 출고 이틀 멈췄다

물류관리 소프트웨어를 공급하는 누리소프트의 클라우드 서버가 랜섬웨어에 감염돼 이 회사 솔루션을 쓰던 화주 40여 곳의 출고 업무가 이틀간 중단됐다. 한국인터넷진흥원(KISA)은 16일 침해사고 조사에 착수했다고 밝혔다.

공격은 지난 14일 새벽 원격 관리 계정이 탈취되면서 시작됐다. 공격자는 소프트웨어 자동 업데이트 경로를 통해 악성코드를 배포했고, 이 과정에서 고객사 서버 210여 대가 암호화된 것으로 파악됐다. 피해 기업 대부분은 자체 보안 인력이 없는 중견·중소 제조사로, 하루 평균 출고 물량 1만2000건이 수작업으로 대체 처리됐다.

이번 사고는 개별 기업이 아니라 공급업체 한 곳을 뚫어 다수 고객사로 번지는 '공급망 공격' 형태다. KISA 집계를 보면 올해 상반기 접수된 랜섬웨어 신고는 312건으로 지난해 같은 기간보다 38% 늘었고, 이 중 공급망 경로를 통한 사례가 27%를 차지했다.

KISA 관계자는 "업데이트 서버는 고객사가 무조건 신뢰하는 통로여서 한 번 뚫리면 피해가 기하급수적으로 번진다"며 "소프트웨어 공급업체의 코드 서명 검증과 관리자 계정 다중인증을 의무 수준으로 끌어올릴 필요가 있다"고 말했다.

누리소프트 측은 감염된 서버를 격리하고 16일 오후 대부분의 서비스를 복구했다고 밝혔다. 회사는 몸값 요구에는 응하지 않았으며 백업 데이터로 복원했다고 설명했다.

과학기술정보통신부는 다음 달 주요 소프트웨어 공급업체를 대상으로 보안 점검을 실시하고, 연내 '소프트웨어 공급망 보안 가이드라인' 개정안을 마련할 방침이다.