랜섬웨어 위기로 맥주 공급 차질, 개인정보 노출
일본 최대 맥주 제조업체인 아사히그룹홀딩스가 일본 전역의 디지털 운영을 중단시키고 맥주 생산을 늦춘 랜섬웨어 공격에서 복구 중이다. 이 공격으로 매장 진열대에서 음료 부족 사태도 빚어졌다. 사건은 9월 29일 회사가 데이터센터 한 곳에서 장애를 감지하면서 시작됐다. 몇 시간 안에 시스템을 격리했지만, 침입자는 이미 네트워크 일부를 이동하며 데이터를 암호화하고 주문 접수와 제품 배송에 필요한 핵심 서비스를 비활성화한 뒤였다. 직원들은 배송을 이어가기 위해 며칠 동안 펜과 종이, 팩스를 다시 사용해야 했다. 배송이 지연되면서 일부 매장에서는 인기 맥주와 청량음료 재고가 줄었다고 보고했다.
목차
회사는 일본에서 관리되는 시스템에 보관된 개인정보가 노출됐거나 노출됐을 가능성이 있다고 확인했다. 11월 말 공개된 예비 조사 결과에 따르면 약 191만 4,000명의 정보가 위험에 처했으며, 이 가운데 고객은 약 152만 5,000명이다. 회사는 현직·전직 직원 약 10만 7,000명, 직원 가족 약 16만 8,000명, 외부 연락처 약 11만 4,000명도 영향을 받았을 가능성이 있다고 밝혔다. 노출됐을 수 있는 정보에는 이름, 성별, 생년월일, 우편 주소, 이메일 주소, 전화번호가 포함된다. 신용카드 정보는 침해된 데이터에 포함되지 않은 것으로 보인다. 직원 개인정보 가운데 유출이 확실히 확인된 항목은 18건이며, 회사는 해당자들에게 통지할 준비를 하고 있다.
랜섬웨어 조직 킬린(Qilin)은 이번 공격이 자신들의 소행이라고 주장하며 아사히를 유출 사이트에 게시하고 회사 파일 약 27기가바이트를 훔쳤다고 밝혔다. 아사히 조사에서 탈취 데이터가 공개된 사실은 확인되지 않았지만, 이번 사건은 일본 내 사업 전반에 걸친 광범위한 대응을 불러왔다. 시스템이 복구되면서 배송도 점차 재개되고 있으며, 회사는 복구와 보안 강화에 집중하기 위해 연간 실적 발표를 연기했다. 아사히는 장애가 일본 내 시스템에 국한됐으며, 페로니, 필스너 우르켈, 그롤쉬, 영국의 풀러스 브루어리 등 글로벌 브랜드에는 서비스 중단이 발생하지 않았다고 밝혔다.
공격의 전개 과정
아사히의 내부 검토에 따르면 상황은 빠르게 악화됐다. 일본 시간으로 9월 29일 오전 7시께 직원들이 네트워크에서 암호화된 파일을 발견하고 영향을 받은 데이터센터를 격리했다. 이후 포렌식 조사 결과, 초기 침해는 아사히의 다른 사업장에 있는 장비가 손상되면서 시작됐을 가능성이 큰 것으로 나타났다. 격리 조치가 이뤄지기 전에 공격자들이 네트워크 내부로 이동할 수 있었던 것이다. 공격자들은 이어 여러 서버와 연결된 기기에 랜섬웨어를 퍼뜨려 주문 접수, 유통, 고객 지원 시스템을 교란했다. 이 시스템들은 회사의 일상적인 운영에 필수적이다.
이중 갈취로 위협이 커지는 이유
최근 랜섬웨어 공격은 암호화에 앞서 데이터를 훔치는 경우가 많으며, 이를 이중 갈취라고 한다. 공격자는 민감한 파일을 훔친 뒤 데이터나 시스템을 암호화해 운영을 마비시키고, 몸값을 지불하지 않으면 훔친 자료를 공개하겠다고 위협한다. 이번 사건에서 킬린은 파일 약 9,300개를 가져갔다고 주장한다. 아사히는 데이터가 공개된 사실을 확인할 수 있는 증거를 발견하지 못했다고 밝혔다. 그러나 공개 위협만으로도 피해 기업은 시스템을 복구하고 침해를 조사하는 동시에 사업 연속성, 개인정보 위험, 평판 훼손 가능성을 저울질해야 한다.
킬린은 어떤 조직이며 제조업체가 위험한 이유
킬린은 서비스형 랜섬웨어 운영 조직이다. 단일한 거대 집단이라기보다 제휴 조직에 악성코드와 인프라를 제공하는 플랫폼을 운영한다. 제휴 조직은 표적에 침입하고 수익을 나눈다. 보안 연구자들은 킬린이 2022년 등장한 뒤 수백 건의 공격을 주장해 온 것으로 파악했다. 올해 나온 보도에 따르면 킬린은 세계에서 가장 활발한 랜섬웨어 조직 중 하나이며, 제조업은 주요 공격 대상 업종으로 꼽힌다. 킬린의 도구는 기업 정보기술(IT) 환경뿐 아니라 접근이 가능할 경우 산업 시스템도 공격하도록 설계됐다. 킬린의 코드에는 러스트와 C로 작성된 구성 요소가 있으며, 윈도, 리눅스, VMware ESXi 시스템에 배포할 수 있다. 위협 정보에 따르면 킬린은 제휴 조직에 러시아와 벨라루스 등 일부 국가의 표적은 피하라고 지시한다.
랜섬웨어 조직은 서비스 중단을 쉽게 감출 수 없는 기업을 선호하며, 제조업체가 여기에 해당한다. 생산 라인, 배치 일정, 포장, 물류는 데이터센터와 클라우드에서 작동하는 업무 시스템과 긴밀하게 연결돼 있다. 이런 디지털 시스템이 멈추면 공장 현장의 프로그래머블 로직 컨트롤러(PLC)가 영향을 받지 않더라도 생산에 차질이 생긴다. 제조업체를 겨냥한 사이버 공격을 추적하는 분석가들은 가동 중단으로 대기업이 하루 최대 200만 달러에 가까운 손실을 볼 수 있다고 추산한다. 아시아태평양 지역에서는 2024년 이후 보고된 랜섬웨어 활동이 크게 늘었으며, 제조업체가 가장 큰 영향을 받은 조직군에 속한다.
위험에 놓였을 수 있는 정보
아사히는 현재까지 확실히 노출된 것으로 확인된 정보는 회사 노트북에 있던 직원 정보 18건뿐이라고 밝혔다. 그러나 조사 결과, 정황을 종합하면 서버에 저장된 훨씬 많은 개인정보에 공격자가 접근했을 가능성이 있는 것으로 판단됐다. 영향을 받았을 수 있는 대상에는 고객 지원센터에 문의한 고객, 현직·전직 직원과 그 가족, 의례적인 메시지를 받은 외부 사업 연락처가 포함된다. 회사는 결제 카드 정보는 침해된 데이터에 포함되지 않았다고 강조했다. 조사는 계속 진행 중이며, 피해를 입은 개인에게 직접 통지할 예정이다.
아사히의 안내에 따르면 노출됐을 가능성이 있는 개인정보 유형은 다음과 같다.
- 성명 및 연락처(주소, 이메일, 전화번호)
- 성별 및 생년월일
- 직원, 전 직원 및 가족의 회사 관련 정보
- 외부 파트너 및 연락처의 업무상 연락 정보
아사히 고객 서비스를 이용한 사람에게 당장 우려되는 위험은 표적형 피싱이다. 공격자는 실제 이름과 연락처를 이용해 그럴듯한 메시지를 작성할 수 있다. 이런 메시지는 답장을 유도하거나 링크를 클릭하게 만들기 위해 주문 확인, 환불, 배송 안내 등을 가장하는 경우가 많다. 수신자는 예상하지 못한 연락에 주의하고, 첨부파일을 열거나 이메일 링크를 통해 접속한 사이트에 로그인 정보를 입력하지 말아야 한다.
이머시브(Immersive)의 사이버 보안 부문 수석 매니저 케빈 매리엇은 고객 신뢰 회복과 운영 복구 일정이 서로 다른 속도로 진행되기 때문에 데이터 절도가 복구를 더 복잡하게 만들고, 시스템 복구를 담당하는 팀에 부담을 준다고 말했다. 그는 완전히 안정화되기까지 수개월이 걸릴 수 있다고 덧붙였다. 아사히는 최종 복구 시점을 밝히지 않았다.
고객 데이터 도난은 아사히 팀에 추가적인 부담을 안기고 있습니다. 운영이 완전히 복구되기까지 2월까지 걸릴 가능성도 있습니다.
디지털 장애가 맥주 공급을 멈춘 이유
양조장은 기업 시스템과 생산 현장을 연결하는 복잡한 시스템에 의존한다. 주문 관리, 원자재 계획, 배치별 제조법, 포장 일정, 창고 관리, 물류가 모두 소프트웨어로 조정된다. 기업 네트워크가 암호화되거나 오프라인 상태가 되면 이런 조정 기능이 멈춘다. 탱크와 병입 기계가 물리적으로 멀쩡하더라도 주문 현황을 파악하고 일정을 관리할 수 없으면 생산 라인이 멈출 수 있다. 아사히의 일본 내 사업 전반에서 실제로 이런 일이 벌어졌으며, 회사는 주문을 수작업으로 처리하고 비상 대책으로 전화와 팩스에 의존해야 했다고 밝혔다.
산업 현장 사고를 연구하는 보안팀은 공격자들이 기업 네트워크를 통해 침입한 뒤 파일 공유, 인증, 일정 관리, 원격 접속 등을 처리하는 서버처럼 공장을 지원하는 장비로 이동하는 경우가 많다고 강조한다. 네트워크 분리와 강력한 인증이 없으면 사업의 한 부분에서 발생한 침해가 여러 사업장으로 확산될 수 있다. 아사히 사건은 디지털 시스템의 중단으로 전국 유통망이 몇 시간 만에 멈출 수 있음을 보여준다. 일본의 많은 소매업체는 아사히 슈퍼드라이 재고가 줄었다고 보고했고, 편의점들은 고객들에게 배송 지연을 예상하라고 안내했다. 회사는 여러 공장에서 생산을 재개했으며, 시스템이 복구되면서 배송 물량을 늘리고 있다.
아사히그룹 사장 겸 최고경영자(CEO) 가쓰키 아쓰시는 공개 사과문에서 정상적인 서비스를 복구하기 위해 노력하는 가운데 고객과 파트너, 직원들에게 사과의 뜻을 전했다.
최근 시스템 장애로 이해관계자 여러분께 불편을 끼쳐 진심으로 사과드립니다. 고객에게 제품 공급을 이어가기 위한 대체 조치를 시행하는 한편, 시스템을 최대한 신속하게 복구하기 위해 모든 노력을 다하고 있습니다.
대응과 복구
아사히는 비상 대응 체계를 마련하고 외부 전문가를 투입했으며, 침해를 차단하고 시스템을 복구하며 방어 체계를 강화하기 위한 수개월간의 계획을 수립했다. 회사는 네트워크 통신 통제 강화, 모니터링 개선, 복구 시간을 줄이기 위한 새로운 백업 설계, 직원 교육 강화, 거버넌스 개선, 정기적인 외부 감사를 포함해 전반적인 보안 수준을 높이는 데 나섰다고 설명했다. 배송은 단계적으로 재개되고 있으며, 대응팀은 시스템 무결성을 계속 점검하고 차단 조치 중 오프라인으로 전환한 네트워크 일부를 재구축하고 있다. 회사는 대응과 복구 업무를 우선시하기 위해 연간 실적 발표도 연기했다.
보안 책임자들은 이번 사건이 기업 IT와 산업 시스템이 맞닿는 지점을 강화해야 할 필요성을 보여준다고 말한다. 아바네이드(Avanade)의 글로벌 보안 부문 기술 총괄 제이슨 레빌은 모든 접근을 지속적으로 검증하는 제로 트러스트 접근 방식을 도입하면 기업이 침해로 인한 피해 범위를 줄일 수 있다고 말했다.
아사히 사이버 공격은 운영기술과 정보기술 네트워크 전반에서 위험이 커지고 있음을 보여주며, 모든 조직에 제로 트러스트 원칙이 왜 중요한지도 드러냅니다.
일본, 확산하는 랜섬웨어 공격에 직면
랜섬웨어는 일본과 아시아태평양 지역 전반의 조직에 부담을 주고 있다. 일본 경찰청은 2024년 이후 랜섬웨어 사건이 역대 최고 수준을 기록했다고 보고했다. 일본 기업 대상 설문조사에서는 서비스 중단이 1주일 이상 이어지는 경우가 흔하고, 훨씬 더 오래 지속되며 복구 비용이 크게 늘어나는 사례도 있는 것으로 나타났다. 광학기기와 출판 분야를 포함한 일본 대기업의 최근 사건은 수주간의 업무 중단과 상당한 손실을 초래했다.
입법부와 관계 기관은 방어 체계를 강화하기 위해 움직였다. 중요 분야를 겨냥한 지속적인 공격의 피해를 줄이기 위한 능동적 사이버 방어의 새 틀이 2025년 일부 시행됐다. 하지만 예방과 대응의 직접적인 부담은 여전히 민간 기업이 지고 있다. 업계 전문가들은 공격자들이 네트워크를 이동하고 시스템을 암호화하는 속도가 빨라져 탐지와 차단에 쓸 수 있는 시간이 줄어들고 있다고 경고한다. 최초 침해부터 랜섬웨어 배포까지의 시간이 짧아지는 추세에서 이런 변화가 드러난다.
ISACA의 최고 글로벌 전략 책임자 크리스 디미트리아디스는 최근 공격의 속도와 정밀성으로 인해 정기적인 훈련과 투자가 없으면 조직이 대응할 여지가 거의 남지 않는다고 경고한다.
공격을 탐지하고 막을 수 있는 시간이 줄어들고 있으며, 범죄자들의 수법은 더 빨라지고 있습니다. 조직은 사이버 보안 예방과 교육을 핵심 사업 우선순위로 삼고, 정기적인 사고 대응 훈련과 공동의 디지털 책임 문화를 갖춰야 합니다.
기업이 지금 취할 수 있는 조치
복잡한 물류에 의존하는 양조업체와 식품 생산업체 등 제조업체는 랜섬웨어 조직이 노리는 취약점을 보완해 위험을 줄일 수 있다. 아사히 사건 이후 보안 상태를 점검하는 경영진이 주목할 만한 조치는 다음과 같다.
- 기업 IT와 공장 시스템 간 연결을 파악한 뒤 네트워크를 분리해 측면 이동을 제한한다. 원격 접속과 관리자 권한에는 다중 인증을 적용한다.
- 인증 시스템을 강화하고 사용하지 않는 계정을 삭제한다. 비정상적인 로그인 행위를 모니터링하고, 강력한 비밀번호와 피싱 방지 기능을 갖춘 추가 인증 수단을 요구한다.
- 인터넷에 연결된 장비, 원격 접속 게이트웨이, 디렉터리 서비스의 보안 패치를 우선 적용한다. IT와 운영 환경 모두에서 취약점을 지속적으로 모니터링한다.
- 일상적인 네트워크 접속과 분리해 보관하고 정기적으로 복구 시험을 하는 안정적인 백업 체계를 구축한다. 핵심 업무 시스템과 공장 지원 서비스를 신속하게 복구할 수 있는지 확인한다.
- 서버와 워크스테이션 전반에 엔드포인트 탐지·대응(EDR)을 구축하고, 경보를 24시간 대응할 수 있는 팀에 전달한다.
- 경영진, 법무, 운영, 홍보 부서가 참여하는 사고 대응 계획을 수립하고 리허설한다. 토론식 모의 훈련과 실전 훈련은 실제 사고의 혼란을 줄인다.
- 공급업체 위험 관리를 개선한다. 관리형 서비스 제공업체와 핵심 공급업체의 보안 요건을 검토하고 침해 사실을 신속히 알리도록 요구한다.
- 운영기술과 관련 지원 시스템을 목록화한다. 불필요한 연결을 제거하고 원격 접속 경로를 줄이며, 변경 관리 절차를 통해 변경 사항을 검증한다.
영향을 받은 개인이 취할 조치
조사가 계속되는 동안 아사히와 거래하거나 연락한 사람은 몇 가지 실질적인 조치를 통해 사기와 신원 도용 위험을 낮출 수 있다.
- 개인정보를 요구하는 예상치 못한 전화, 문자, 이메일에 주의한다. 모르는 발신자가 보낸 링크를 클릭하거나 첨부파일을 열지 않는다.
- 최근 주문이나 배송을 언급하는 메시지는 신중하게 확인한다. 신뢰할 수 있는 전화번호를 이용해 회사 웹사이트나 고객 서비스에 직접 문의한다.
- 아사히에 연락할 때 사용한 이메일 주소로 가입한 계정의 비밀번호를 변경한다. 특히 비밀번호를 재사용했다면 반드시 변경하고, 가능한 경우 다중 인증을 활성화한다.
- 은행 및 카드 명세서에서 비정상적인 결제 내역이 있는지 확인한다. 아사히는 결제 카드 정보가 노출되지 않았다고 밝혔지만, 범죄자들이 관련 사기를 시도할 수 있다.
- 앞으로 몇 달 동안 우편함과 이메일에서 표적형 피싱의 징후가 있는지 살핀다. 공격자들은 유출된 연락처 목록을 재활용하는 경우가 많다.
- 개인정보가 노출됐다고 생각되면 신원 보호 또는 신용 모니터링 서비스 가입을 고려한다.
핵심 요점
- 아사히는 9월 29일 랜섬웨어 공격을 감지했다. 이 공격으로 일본 전역에서 주문, 배송, 고객 지원이 차질을 빚었다.
- 약 191만 4,000명의 개인정보가 노출됐을 가능성이 있으며, 이 가운데 고객은 약 152만 5,000명이다. 신용카드 정보는 관련이 없는 것으로 보인다.
- 킬린은 공격이 자신들의 소행이라고 주장하며 아사히에서 데이터 약 27기가바이트를 훔쳤다고 밝혔다. 회사는 탈취 정보가 공개됐는지 확인하지 못했다.
- 직원들이 수작업으로 업무를 처리하면서 생산과 배송에 차질이 생겼고, 일본 매장에서는 품귀 현상이 보고됐다. 현재 배송은 재개되고 있다.
- 아사히는 장애가 일본 내 시스템에 국한됐다고 밝혔다. 그룹이 보유한 해외 브랜드에는 서비스 중단이 발생하지 않았다.
- 회사는 네트워크 통제 강화, 새로운 백업 체계, 모니터링 개선, 교육, 외부 감사를 통해 방어 체계를 강화하고 있다.
- 전문가들은 가동 중단 비용이 크고 이를 감추기 어려워 랜섬웨어 조직이 제조업체를 노린다고 경고한다. 신속한 탐지와 네트워크 분리가 필수적이다.
- 일본에서는 랜섬웨어 공격이 전반적으로 증가하고 있다. 당국은 국가 차원의 방어를 강화하기 위한 조치를 취했으며, 기업에는 예방과 사고 대응 준비를 개선할 것을 촉구하고 있다.
