소프트웨어 공급망 공격 막는 점검법 (감염확인, 신고절차, 복구비용)

 

소프트웨어 공급망 공격은 회사가 직접 해커에게 공격받지 않았더라도 사용하는 그룹웨어, 원격지원 프로그램, 업데이트 서버 또는 협력업체가 먼저 침해되면서 내부 시스템까지 위험해지는 공격입니다. 최근 공개된 Kimsuky 공격 분석에서는 국내 그룹웨어 공급업체가 먼저 침해된 뒤 고객사의 서버 정보와 신뢰관계가 다음 공격에 이용됐습니다. 그렇다면 우리 회사가 해당되는지는 어떻게 확인해야 할까요? 수상한 흔적이 보이면 무엇부터 차단하고, 보안진단과 복구에는 어떤 비용이 들어갈까요?

2026년 7월 24일 기준으로 확인된 최신 분석에 따르면 공격자는 인터넷에 노출된 서버의 취약점을 악용하고, 공급업체 직원을 대상으로 스피어피싱을 진행해 내부망에 들어갔습니다. 이후 고객 서버 정보와 공급업체의 정상적인 지원관계를 이용해 공격범위를 넓혔습니다. 구체적인 기술 분석은 ENKI 위협분석 원문과 The Record 보도에서 확인할 수 있습니다.

소프트웨어 공급망 공격은 왜 일반 해킹보다 발견하기 어려울까?

일반적인 해킹은 공격자가 회사 서버나 직원 계정을 직접 노립니다. 반면 공급망 공격은 회사가 이미 신뢰하는 소프트웨어나 공급업체를 중간 경로로 이용합니다. 정상적인 업데이트, 유지보수 접속, 원격지원 계정과 이메일이 공격경로가 될 수 있기 때문에 보안장비가 처음부터 공격으로 판단하기 어렵습니다.

이번 Kimsuky 분석에서 공격자는 그룹웨어 공급업체의 외부 노출 메일 서버 취약점을 악용하거나 직원을 속여 원격접근 도구를 설치했습니다. 이후 내부에 Gomir 계열 악성코드를 배치하고 고객 서버 정보를 수집한 것으로 분석됐습니다. 단순히 공급업체의 파일만 훔치는 데 그치지 않고, 공급업체가 연결된 고객사로 이동할 준비를 했다는 점이 핵심입니다.

공급망 공격이 위험한 이유는 하나의 약한 지점이 여러 조직에 영향을 줄 수 있기 때문입니다. 한 공급업체가 수십 개 또는 수백 개 고객사의 관리자 정보, 서버 주소, 유지보수 계정이나 업데이트 경로를 관리한다면 공격자는 개별 기업을 한 곳씩 공격하는 것보다 훨씬 효율적으로 대상을 넓힐 수 있습니다.

정식 소프트웨어라는 사실도 안전을 보장하지 않습니다. 프로그램 자체가 변조되지 않았더라도 공급업체 직원의 계정이 탈취되거나 원격지원 서버가 장악되면 정상적인 접근처럼 보이는 공격이 이뤄질 수 있습니다. 따라서 “공식업체가 접속했으니 괜찮다”가 아니라 누가, 언제, 어떤 계정으로, 무엇을 변경했는지를 기록해야 합니다.

이번 분석이 특정 기업의 모든 고객사가 감염됐다는 의미는 아닙니다. 공개된 자료만으로 피해기업 전체 목록이나 개인별 피해를 확인할 수 없습니다. 확인되지 않은 회사명을 온라인에서 공유하거나 사용 중인 그룹웨어가 같다는 이유만으로 감염을 단정하면 안 됩니다.

확인된 사실: 공급업체 서버와 직원 계정이 공격의 초기 경로로 이용됐고 고객 서버 정보가 다음 공격에 활용됐습니다.

해석: 기업은 자사 내부 시스템뿐 아니라 소프트웨어 공급업체와 원격지원 계정도 내부 보안의 일부로 관리해야 합니다.

공격방식을 이해했다면 다음 질문은 우리 회사가 위험한지 확인하는 방법입니다. 가장 먼저 해야 할 일은 사용 중인 소프트웨어와 외부 접속권한을 목록으로 만드는 것입니다.

우리 회사가 해당되는지 어떤 소프트웨어와 계정을 확인해야 할까?

첫 번째 단계는 회사가 사용하는 소프트웨어 공급업체 목록을 만드는 것입니다. 그룹웨어, 메일, 전자결재, 인사관리, 회계, 원격지원, 백신, 백업, 파일전송, 클라우드와 VPN이 모두 포함됩니다. 무료 프로그램과 오래된 내부 도구도 제외하면 안 됩니다.

목록에는 제품명만 적지 말고 공급업체, 버전, 설치 서버, 관리자, 계약기간, 원격지원 여부, 마지막 업데이트일과 외부접속 주소를 함께 기록해야 합니다. 어떤 프로그램을 사용하는지는 알지만 누가 관리하는지 모르는 상태가 공급망 사고 대응을 늦춥니다.

두 번째는 외부에서 인터넷으로 접근 가능한 서버를 확인하는 것입니다. 메일 서버, VPN, 원격 데스크톱, 관리자 페이지와 파일전송 서버가 대표적입니다. 공격자는 내부망에 바로 들어가기보다 외부에 노출된 취약한 서비스를 먼저 찾습니다. 사용하지 않는 서비스는 끄고, 관리자 페이지는 접근 가능한 IP를 제한하는 편이 안전합니다.

세 번째는 공급업체와 유지보수 업체가 사용하는 계정입니다. 한 계정을 여러 직원이 공유하거나 퇴사자의 계정이 그대로 남아 있다면 누가 접속했는지 구분하기 어렵습니다. 업체별·담당자별 계정을 분리하고, 작업이 끝나면 권한을 회수하거나 비활성화해야 합니다.

네 번째는 다중인증입니다. 비밀번호가 유출돼도 추가 인증 없이는 접속하기 어렵게 만드는 방법입니다. 관리자, 원격지원, VPN, 클라우드와 이메일 계정에 우선 적용해야 합니다. 다만 다중인증도 사용자가 가짜 로그인 페이지나 악성 QR코드에 정보를 입력하면 우회될 수 있으므로 피싱교육이 함께 필요합니다.

FBI는 2026년 Kimsuky가 악성 QR코드를 이용해 미국의 비정부기구, 연구기관과 외교안보 전문가를 공격한다고 경고했습니다. QR코드로 로그인 페이지를 열게 하면 회사 PC의 보안필터를 피하고 개인 휴대전화에서 정보를 입력하도록 유도할 수 있습니다. FBI 보안경고는 수상한 QR코드와 로그인 요청을 별도 경로로 확인하라고 권고합니다.

• 그룹웨어·메일·전자결재 공급업체
• 원격지원과 유지보수 계정
• 인터넷에 노출된 서버와 관리자 페이지
• 최근 설치된 업데이트와 실행파일
• 공유 관리자 계정과 퇴사자 계정
• 다중인증이 적용되지 않은 중요 계정
• 공급업체가 보유한 회사 서버·계정 정보

목록을 만들었다면 다음 단계는 감염 가능성을 판단하는 것입니다. 모든 비정상 접속이 공격은 아니지만, 여러 신호가 동시에 나타나면 서버를 계속 운영하기보다 조사와 격리를 먼저 고려해야 합니다.

감염을 의심해야 하는 로그인·서버 신호는 무엇일까?

가장 먼저 확인할 것은 관리자 로그인 기록입니다. 평소 사용하지 않는 국가나 시간대의 접속, 짧은 시간 동안 반복된 로그인 실패, 새로운 관리자 계정 생성, 권한 변경과 다중인증 해제 기록이 있는지 봅니다. 공급업체 작업시간과 일치하지 않는 원격접속도 확인해야 합니다.

서버에서는 예상하지 못한 프로그램과 서비스가 실행되는지 확인합니다. 이름이 정상 프로그램처럼 보이더라도 최근 생성됐거나 임시폴더에서 실행된다면 검토가 필요합니다. 공격자는 악성파일의 이름과 위치를 정상 파일처럼 꾸며 사용자가 오인하도록 만들 수 있습니다.

네트워크 기록에서는 서버가 평소 접속하지 않던 외부 주소와 장시간 통신하는지 확인합니다. 특히 야간에 일정한 간격으로 통신하거나 대량의 데이터를 외부로 전송하면 추가 분석이 필요합니다. 다만 클라우드 백업과 소프트웨어 업데이트도 외부통신을 발생시키므로, 정상 업무와 비교해야 합니다.

사용자 신고도 중요한 신호입니다. 동일한 직원에게 반복해서 비밀번호 재설정 메일이 도착하거나, 발송하지 않은 이메일이 보낸편지함에 나타나거나, 동료가 수상한 첨부파일을 받았다면 계정탈취 가능성을 확인합니다.

공급업체에서 긴급 패치나 비밀번호 변경을 요청하는 공지가 도착했을 때는 이메일 속 링크를 바로 누르지 말고 공식 홈페이지나 기존 담당자 연락처로 사실을 확인해야 합니다. 공격자가 공급업체 공지를 흉내 내 추가 악성파일을 배포할 수도 있기 때문입니다.

우선순위가 높은 의심 신호

• 모르는 관리자 계정 또는 권한 상승
• 공급업체 작업시간과 맞지 않는 원격접속
• 외부 서버로 비정상적인 대량 전송
• 백신에서 반복 탐지되는 동일 파일
• 다중인증 설정이 사용자 모르게 변경됨
• 정상업무와 관련 없는 예약작업·서비스 생성
• 다수 직원에게 동일한 로그인·QR 피싱 도착

이러한 신호가 있다고 해서 즉시 전체 침해를 단정할 수는 없습니다. 그러나 확인 없이 로그를 삭제하거나 서버를 재부팅하면 조사에 필요한 증거가 사라질 수 있습니다. 다음 단계에서는 감염이 의심될 때 어떤 순서로 격리하고 신고해야 하는지 살펴보겠습니다.

공급망 공격이 의심되면 격리·신고를 어떤 순서로 해야 할까?

첫 번째 원칙은 공격자의 추가 접근을 막으면서 증거를 보존하는 것입니다. 감염 의심 서버를 네트워크에서 분리하되, 조사 경험이 없는 직원이 파일을 삭제하거나 운영체제를 다시 설치해서는 안 됩니다. 전원을 끄는 행동도 메모리에 남아 있는 정보를 잃게 할 수 있으므로 보안담당자나 사고대응 전문가의 지시에 따라야 합니다.

두 번째는 계정 보호입니다. 관리자·VPN·이메일·클라우드 계정의 세션을 종료하고 비밀번호를 변경합니다. 비밀번호 변경은 의심 서버가 아닌 안전한 장치에서 진행해야 합니다. 같은 비밀번호를 다른 서비스에서 사용했다면 함께 변경합니다.

세 번째는 로그 보관입니다. 방화벽, VPN, 서버, 이메일, 클라우드, 백신과 원격지원 로그를 원본 상태로 복사합니다. 가능하면 시간정보와 해시값을 함께 기록합니다. 로그 보관기간이 짧은 서비스는 자동 삭제되기 전에 내보내야 합니다.

네 번째는 공급업체 확인입니다. 해당 소프트웨어 공급업체에 제품 버전, 패치, 알려진 침해 여부와 권고조치를 문의합니다. 그러나 공급업체가 안전하다고 말하는 것만으로 조사를 끝내면 안 됩니다. 자사 로그와 서버상태를 독립적으로 확인해야 합니다.

다섯 번째는 법적·행정적 신고 여부입니다. 개인정보가 유출됐거나 정보통신망 침해가 확인되면 사고유형과 사업자의 법적 지위에 따라 관계기관 신고와 이용자 통지가 필요할 수 있습니다. 유출 여부와 범위를 추정해 발표하지 말고 법무·개인정보 담당자와 확인해야 합니다.

여섯 번째는 백업 확인입니다. 백업파일이 있다고 바로 복구하지 말고 감염 전 시점인지, 악성파일이 포함되지 않았는지, 실제 복원이 가능한지 시험해야 합니다. 운영망과 연결된 백업은 공격자가 함께 삭제하거나 암호화했을 가능성이 있습니다.

1. 사고대응 책임자와 경영진에게 즉시 보고
2. 의심 서버의 네트워크 연결 제한
3. 관리자·원격접속 세션 종료
4. 안전한 장치에서 중요 계정 비밀번호 변경
5. 로그·메모리·파일 증거 보존
6. 공급업체와 보안관제 업체에 사실 확인
7. 개인정보·침해사고 신고의무 검토
8. 깨끗한 백업으로 시험 복구
9. 재접속 전 취약점과 침입경로 제거

초기 대응이 끝나면 비용과 계약문제가 남습니다. 보안업체를 급하게 선정하면 조사범위와 추가비용이 불분명할 수 있으므로 견적서와 서비스 범위를 구체적으로 비교해야 합니다.

보안진단·관제·복구 비용은 무엇을 기준으로 비교할까?

침해사고 대응 비용은 회사 규모보다 조사 대상과 긴급성에 따라 크게 달라집니다. 서버 수, 사용자 수, 클라우드 계정, 로그 보관량, 개인정보 포함 여부, 야간·휴일 대응과 현장방문이 비용에 영향을 줍니다. 한국의 공식 평균 CPC나 보안서비스 표준가격은 확인되지 않으므로 특정 금액을 일반적인 시세로 단정해서는 안 됩니다.

견적을 받을 때는 ‘보안점검’이라는 한 문장만 확인하지 말고 실제 포함업무를 봐야 합니다. 악성코드 분석, 서버 포렌식, 네트워크 분석, 클라우드 로그 분석, 유출범위 확인, 보고서, 신고지원, 복구와 재발방지가 각각 포함되는지 확인하십시오.

보안관제 서비스는 사고가 난 뒤 조사하는 서비스와 다릅니다. 관제는 서버와 네트워크 이벤트를 지속적으로 수집하고 이상행동을 탐지하는 서비스입니다. 월정액이 낮아도 분석대상 로그가 제한되거나 야간에는 자동알림만 제공할 수 있습니다. 실제 대응시간과 담당자의 개입범위를 확인해야 합니다.

클라우드 백업도 저장비용만 비교하면 안 됩니다. 복구 요청 때 추가비용이 있는지, 대량 데이터를 내려받을 때 전송비가 붙는지, 백업이 변경 불가능한 형태로 보관되는지, 다른 계정과 지역에 복제되는지 확인해야 합니다.

사이버보험은 사고대응비, 법률비용, 개인정보 통지비용과 영업중단 손실 등을 보장할 수 있지만 상품별 보장범위와 자기부담금이 다릅니다. 보안조치를 제대로 하지 않았거나 알려진 취약점을 장기간 방치한 경우 보상과 관련해 분쟁이 생길 수 있으므로 가입 전 조건을 읽어야 합니다.

공급업체 계약에는 보안조항이 필요합니다. 사고통지 시한, 로그 제공, 원격접속 통제, 취약점 패치, 하도급업체 관리, 데이터 반환·삭제, 사고조사 협조와 손해배상 한도를 확인하십시오. 계약서에 ‘보안을 준수한다’는 표현만 있으면 실제 사고 때 필요한 자료를 받기 어려울 수 있습니다.

• 조사 대상 서버·PC·클라우드 계정 수
• 현장·원격 대응 여부와 시작시간
• 포렌식·악성코드·유출범위 분석 포함 여부
• 관계기관 신고와 법률지원 포함 여부
• 복구와 재감염 점검 포함 여부
• 보고서와 증거보존 방식
• 추가비용이 발생하는 조건
• 사고 후 일정기간 모니터링 포함 여부

서비스 범위를 비교했다면 마지막 단계는 재발방지입니다. 패치 한 번으로 끝내지 말고 공급업체 접근과 소프트웨어 업데이트를 계속 확인할 수 있는 구조를 만들어야 합니다.

소프트웨어 공급망 공격 FAQ와 다시 확인할 시점

우리 회사가 같은 그룹웨어를 쓰면 감염된 것인가요?

아닙니다. 같은 종류의 그룹웨어를 사용한다는 사실만으로 감염을 단정할 수 없습니다. 제품 버전, 공급업체 공지, 로그인·서버·네트워크 기록을 확인해야 합니다.

백신이 아무것도 탐지하지 않으면 안전한가요?

반드시 그렇지는 않습니다. 새로운 악성코드나 정상도구를 악용한 공격은 탐지되지 않을 수 있습니다. 계정과 네트워크 로그, 신규 서비스와 예약작업을 함께 확인해야 합니다.

공급업체가 원격으로 점검하면 충분한가요?

공급업체 확인은 필요하지만 독립적인 내부 로그와 서버점검도 필요합니다. 공급업체 자체가 공격경로였을 가능성을 배제할 수 없기 때문입니다.

의심 파일을 바로 삭제해도 되나요?

조사 전에 삭제하면 침입경로와 피해범위를 확인하기 어려워질 수 있습니다. 네트워크를 격리하고 전문가의 지시에 따라 증거를 보관해야 합니다.

비밀번호만 변경하면 공격이 끝나나요?

아닙니다. 악성코드, 백도어, 새 관리자 계정이나 취약점이 남아 있으면 다시 침입할 수 있습니다. 계정 변경과 함께 서버·네트워크 점검이 필요합니다.

어떤 계정에 다중인증을 먼저 적용해야 하나요?

관리자, 이메일, VPN, 원격지원, 클라우드 관리와 공급업체 유지보수 계정이 우선입니다. 공유계정보다 담당자별 개별계정을 사용해야 합니다.

다시 확인할 시점은 언제인가요?

• 즉시: 외부 노출 서버와 관리자 계정 확인
• 24시간 이내: 공급업체 공지와 최근 접속로그 확인
• 7일 이내: 취약점 점검·비밀번호·다중인증 정비
• 30일 이내: 백업 복구시험과 공급업체 권한 재검토
• 계약 갱신 전: 보안·사고통지·로그제공 조항 확인
• 새 업데이트 적용 전: 배포경로와 전자서명 확인

지금 할 일은 세 가지입니다. 첫째, 회사가 사용하는 그룹웨어·메일·원격지원·백업 공급업체와 관리자 계정을 목록으로 만듭니다. 둘째, 외부 노출 서버, 최근 원격접속과 신규 관리자 계정을 확인합니다. 셋째, 공급업체에 최신 보안공지와 패치 여부를 문의하되 자사 로그도 독립적으로 점검합니다.

다음 확인일은 공급업체가 추가 침해지표와 패치를 발표하는 시점입니다. 이후에도 월 1회 이상 외부접속 계정과 관리자 권한을 확인하고, 분기마다 백업 복구시험을 실시하는 것이 좋습니다.