대기업 보안망, 협력사 취약점에 줄줄이 털렸다... ‘한국판 솔라윈즈’?

다수 기업 사용하는 구매 시스템 파고들어
협력사 취약점이 거대 고객사 네트워크 뚫는 열쇠로
SK이노베이션 사내 임직원 연락처, 롯데케미칼 사내 시스템 로그인 ID 등 유출

널리 쓰이는 국내 구매 시스템의 취약점을 파고든 해킹 공격으로 주요 대기업들이 연쇄적으로 정보 유출 피해를 입었다. 기업 자체 보안망이 아닌 협력사 소프트웨어를 노린 전형적 '공급망 공격'(Supply Chain Attack)이다.

IT 관리 소프트웨어를 공격해 이를 사용하는 미국 주요 정부 기관과 기업 시스템에 침투한 '솔라윈즈' 사고와 비슷한 구조다. 

[출처: 생성형 AI 이미지 활용]

최근 SK이노베이션과 롯데케미칼에서 시스템 침해로 개인정보가 유출되는 사고가 잇달아 일어났다.  

2일 보안 업계에 따르면, 이들 침해 사고의 진원지는 많은 대기업이 도입해 사용하는 E사 구매 시스템 취약점인 것으로 파악됐다. E사는 최근 이 취약점에 대한 보안 업데이트를 고객사들에게 공지하며 진화에 나선 것으로 알려졌다. 

SK이노베이션에선 사내 업무 시스템에 대한 외부의 비정상적 접근으로 임직원 △이름 △부서 △직위 △연락처 △사내 이메일 주소 등 정보가 유출된 것으로 파악된다. 주민등록번호나 금융 정보 등 민감 데이터나 외부 고객 및 공급사 정보는 포함되지 않은 것으로 알려졌다. 

SK이노베이션은 비정상 접근을 인지한 직후 시스템에 대한 외부 접근을 차단하고 과학기술정보통신부와 개인정보보호위원회 등 관계기관에 해당 사실을 신고해 합동 조사를 이어가고 있다.

롯데케미칼 역시 동일한 외부 공격에 당했다. 롯데케미칼은 지난달 27일 내부 시스템인 ECOMS에 대한 침해 사고가 발생해 △이름 △ID △휴대전화 번호 △이메일 주소 등 일부 개인정보가 유출된 사실을 확인했다. 회사는 사고 인지 즉시 ECOMS 및 관련 시스템을 전면 차단하고, 내·외부 전문기관과 함께 사고 원인 및 영향 범위에 대한 정밀 조사를 진행 중이다

두 기업 모두 사고 인지 후 신속하게 초기 대응과 관계기관 신고를 마쳤으나, 유출된 임직원 연락처 및 이메일을 악용한 스미싱이나 피싱 등 2차 공격의 불씨는 남아있다. 각 사는 전사 보안 점검 및 개선 대책 수립과 함께, 임직원 대상 비밀번호 변경 권고 및 악성 메일 주의보를 발령하는 등 사태 수습에 나섰다.

이번 사태를 두고 한 보안 전문가는 "미국 정부 및 주요 기관을 강타했던 솔라윈즈 사태처럼, 외부 협력사의 보안 수준 부족이 거대 기업의 연쇄 해킹으로 전파된 전형적 공급망 공격 사례"라고 말했다.

공급망 공격은 대기업의 방어벽을 정면으로 돌파하는 대신, 보안 투자가 상대적으로 열악하거나 관리가 느슨한 협력사 소프트웨어를 우회 침투 경로로 악용하는 수법이다. 

이번 E사 구매 시스템처럼 많은 대기업이 사용하는 B2B 솔루션에 취약점이 발생할 경우, 공격자는 한 번의 성공적 해킹만으로 연결된 거대 고객사 네트워크 전반에 침투할 열쇠를 쥐게 돼 파급이 커질 수 있다.