제조업, 5년 연속 랜섬웨어의 최우선 표적이 되다

제조업을 겨냥한 랜섬웨어 공격이 빠르게 늘고 있다. 한 보안 위험 분석 기업(B사)의 2026년 제조·유통 랜섬웨어 보고서에 따르면, 제조업은 5년 연속 가장 많이 공격받은 산업이었다. 2026년 1월부터 7월까지 공개된 제조업 피해 기업만 1,183곳으로, 이미 2023년이나 2024년 한 해 전체보다 많다.

피해의 규모도 크다. 같은 보고서는 영국의 한 자동차 기업(A사)이 공격을 받아 3개 공장의 생산이 5주 넘게 멈춘 사례를 소개했다. 하루 약 1,000대의 차량을 만드는 시설이 한 달 넘게 서 있었던 셈이다.

국내도 안전지대가 아니다. 최근 보도에 따르면 2026년 상반기 국내 랜섬웨어 피해는 크게 늘었고, 산업별로는 제조업의 피해가 가장 컸다. 공장 한 곳이 멈추면 해당 기업의 전산만이 아니라 부품 조달, 생산, 물류, 납품까지 공급망 전체가 흔들리기 때문에, 공격자는 제조업을 협상력이 높은 표적으로 본다.

이 글은 랜섬웨어가 공장에 들어왔을 때 생산라인이 실제로 어떻게 멈추는지를 단계별로 살펴보고, 공장이 미리 갖춰야 할 대비책을 정리한다.

출처: Unite.AI, “Black Kite의 2026 제조 및 유통 랜섬웨어 보고서: 제조업이 여전히 랜섬웨어의 최우선 표적” (2026.09) – https://www.unite.ai/ko/black-kites-2026-manufacturing-distribution-ransomware-report-manufacturing-remains-ransomwares-top-target/
리뷰타임스, “[보안 트렌드] ‘한국도 안전지대 아니다’… 한국 2026년 랜섬웨어 피해 3.3배 급증” (2026.09) – https://www.reviewtimes.co.kr/news/articleView.html?idxno=12858

1. 랜섬웨어란 무엇이고, 왜 공장을 노리는가

랜섬웨어는 컴퓨터와 전산 설비(서버)의 파일을 암호화해 쓸 수 없게 만든 뒤, 풀어주는 대가로 몸값을 요구하는 악성 프로그램이다. 최근에는 파일을 암호화하기 전에 자료를 먼저 빼낸 뒤 “돈을 내지 않으면 공개하겠다”고 협박하는 이중 갈취 방식이 일반화되었다.

공격자가 제조업을 집중적으로 노리는 이유는 분명하다.

• 멈춤의 비용이 크다: 생산이 한 시간 멈출 때마다 손실이 쌓이고 납기가 밀린다. 기업이 빨리 복구하려 할수록 공격자의 협상력이 커진다.
• 오래된 설비가 많다: 공장 설비는 10년 이상 쓰는 경우가 많아, 보안 갱신(패치)이 끊긴 운영체제가 현장에 남아 있다.
• 연결이 늘었다: 스마트공장 구축으로 설비와 사무망, 외부 원격 접속의 연결이 늘면서 침투 경로도 함께 늘었다.
• 공급망이 길다: 협력사 한 곳이 멈추면 완성품 기업까지 영향을 받아, 피해가 공급망 전체로 번진다.

특히 주목할 점은 공격의 중심이 대기업에서 중소·중견 제조기업으로 내려오고 있다는 것이다. 보안 인력과 예산이 부족한 기업일수록 침투가 쉽고, 협력사를 통해 큰 기업으로 들어가는 발판이 되기도 한다.

2. 공장 정보망의 구조: 사무망과 설비망

랜섬웨어가 생산에 미치는 영향을 이해하려면 먼저 공장의 정보망 구조를 알아야 한다. 공장의 전산 환경은 크게 사무망(IT)과 설비망(OT)으로 나뉜다.

여기서 중요한 사실이 있다. 랜섬웨어는 대부분 범용 운영체제를 쓰는 컴퓨터와 전산 설비를 암호화한다. 프로그램형 제어기 자체가 암호화되는 경우는 드물다. 그런데도 생산이 멈추는 이유는, 설비를 감시하고 조작하는 운전 화면과 감시 체계, 작업 지시를 내리는 제조실행시스템이 대부분 범용 운영체제 위에서 돌아가기 때문이다.

미국 국립표준기술연구소(NIST)의 운영기술 보안 지침도 설비망은 사무망과 달리 가용성, 즉 멈추지 않는 것이 가장 중요한 환경이며, 이에 맞는 보안 대책이 필요하다고 강조한다³⁾.

3. 랜섬웨어는 어떤 경로로 공장에 들어오는가

랜섬웨어 공격은 보통 파일 암호화가 아니라 접근 권한 확보에서 시작한다. 공장에 들어오는 대표적인 경로는 다음과 같다.

• 속임 전자우편(피싱): 거래처나 택배 안내를 가장한 전자우편의 첨부 파일이나 연결 주소를 열면서 감염된다.
• 외부에 노출된 원격 접속: 재택근무나 원격 유지보수를 위해 열어둔 원격 접속 장비의 취약점이나 허술한 비밀번호가 악용된다.
• 설비 공급기업의 원격 접속: 유지보수 업체가 쓰는 원격 접속 경로가 공격자의 통로가 되기도 한다.
• 보안 갱신이 끊긴 장비: 오래된 운영체제를 쓰는 운전 화면이나 설비 프로그램 작성용 컴퓨터가 취약점을 그대로 안고 있다.
• 이동식 저장 장치(USB): 설비 프로그램이나 자료를 옮기는 과정에서 감염된 저장 장치가 설비망으로 들어온다.

공격자는 침투 후 곧바로 암호화하지 않는 경우가 많다. 내부에서 권한을 넓히고, 예비 복사본(백업)의 위치를 찾아 지우거나 암호화한 뒤, 자료를 빼내고 나서야 한꺼번에 암호화를 실행한다. 그래서 감염이 드러났을 때는 이미 피해가 넓게 퍼진 상태인 경우가 많다.

4. 생산라인은 이렇게 멈춘다: 감염에서 가동 중단까지

랜섬웨어가 사무망에서 시작되었다고 가정하고, 생산라인이 멈추는 과정을 단계별로 따라가 보자.

1. 사무망 암호화: 어느 날 아침 사무실 컴퓨터와 전산 설비의 파일이 열리지 않고 몸값 요구 문구가 뜬다. 전사적자원관리가 멈춰 주문 확인, 자재 발주, 출하 지시가 불가능해진다.
2. 생산 운영 마비: 제조실행시스템이 같은 망에 있거나 함께 감염되면 작업 지시를 내릴 수 없고, 생산 실적과 이력을 기록할 수 없게 된다.
3. 선제 격리 결정: 감염이 설비망으로 번지는 것을 막기 위해 사무망과 설비망의 연결을 강제로 끊는다.
4. 감시·운전 기능 상실: 운전 화면이나 감시 체계 전산 설비가 감염되었거나, 이들이 사무망의 기능에 의존하고 있었다면 설비 상태를 확인하고 조작할 수 없다.
5. 가동 중단: 설비 자체는 움직일 수 있어도, 무엇을 만들지 모르고, 품질 기록을 남길 수 없고, 출하할 수 없다면 생산을 계속할 수 없다.

여기서 3단계의 선제 격리는 양날의 칼이다. 보안 업계에서는 사무망의 랜섬웨어 확산을 막기 위해 설비망과의 연결을 끊는 조치가 오히려 생산라인 전체를 멈추는 물리적 마비로 이어지는 문제가 꾸준히 지적되고 있다. 설비망이 감염되지 않았더라도, 사무망에 의존하는 구조라면 연결을 끊는 순간 생산이 멈춘다.

즉 생산 중단의 원인은 두 가지다. 하나는 설비망이 직접 감염되는 경우이고, 다른 하나는 감염되지 않았는데도 사무망에 의존하는 구조 때문에 함께 멈추는 경우다. 현장에서는 두 번째 경우가 적지 않다. 따라서 대비의 핵심은 감염을 막는 것과 함께, 사무망이 멈춰도 설비망이 버틸 수 있는 구조를 만드는 것이다.

5. 피해는 생산 손실에서 끝나지 않는다

랜섬웨어 피해는 공장이 멈춘 시간만큼의 생산 손실로 끝나지 않는다. 실제 피해는 다음과 같이 여러 방향으로 번진다.

몸값을 내면 빨리 복구할 수 있을 것처럼 보이지만, 지불해도 복구가 보장되지 않는다. 받은 해독 도구가 제대로 작동하지 않거나, 빼낸 자료를 결국 공개하거나, 같은 기업을 다시 공격하는 경우도 있다. 결국 가장 확실한 대비는 몸값 없이도 복구할 수 있는 체계를 미리 갖추는 것이다.

6. 예방: 들어오기 어렵게, 들어와도 번지지 않게

랜섬웨어 예방은 침투를 완벽히 막는 것이 아니라, 들어오기 어렵게 하고 들어와도 번지지 않게 만드는 데 목표를 둔다.

• 망 분리와 구역 나누기: 사무망과 설비망 사이에 완충 구역(DMZ)을 두고 필요한 통신만 허용한다. 설비망 안에서도 공정별로 구역을 나눠 한 곳의 감염이 전체로 번지지 않게 한다. 모든 장치가 하나로 연결된 평평한 망은 확산에 취약하다¹⁾.
• 원격 접속 통제: 외부에 노출된 원격 접속을 최소화하고, 반드시 필요한 접속에는 다중 인증을 적용하며, 유지보수 업체의 접속은 승인된 시간과 경로로만 허용한다.
• 자산 목록 관리: 공장 안의 모든 컴퓨터, 운전 화면, 제어기, 통신 장비의 목록과 운영체제, 연결 경로를 파악한다. 모르는 장비는 지킬 수 없다.
• 보안 갱신과 대체 통제: 갱신이 가능한 장비는 정기적으로 갱신하고, 오래되어 갱신이 불가능한 장비는 망에서 격리하거나 접근을 엄격히 제한한다.
• 이동식 저장 장치 통제: 설비망에 쓰는 저장 장치를 지정하고, 사용 전 검사 절차를 정한다.
• 임직원 교육: 속임 전자우편을 알아보는 훈련을 정기적으로 실시한다.

무엇보다 중요한 것은 예비 복사본이다. 미국 사이버보안·기반시설보안청(CISA)은 공격자가 접근 가능한 예비 복사본을 찾아 지우려 하므로, 주요 자료를 망에서 분리된 암호화 예비 복사본으로 보관하고 정기적으로 복구 시험을 하라고 권고한다¹⁾. 또 전산 자산 문서를 안전하게 보관하고, 분리 보관한 예비 복사본과 출력한 문서를 현장에 두라고 안내한다¹⁾.

공장에서는 사무 자료만이 아니라 설비 운영에 필요한 자료도 예비 복사본 대상에 넣어야 한다. 프로그램형 제어기의 프로그램과 설정값, 운전 화면 설치 파일, 공정 조건표, 망 구성도와 설비 목록이 대표적이다. 이 자료가 없으면 전산 설비를 새로 깔아도 설비를 다시 돌릴 수 없다.

7. 대응: 사고가 났을 때 무엇부터 할 것인가

랜섬웨어 사고에서 피해 규모를 가르는 것은 처음 몇 시간의 판단이다. 그런데 이 판단을 사고 당일에 처음 고민하면 늦다. 사고 대응 절차는 미리 문서로 정하고 훈련해야 한다.

미국 사이버보안·기반시설보안청은 여러 체계나 망 구역이 감염된 것으로 보이면 망 교환기(스위치) 단위에서 망을 분리하라고 권고한다²⁾. 공장의 대응 절차에는 다음 항목이 포함되어야 한다.

1. 격리 결정권자: 누가 망 분리를 결정하는지, 생산 책임자와 보안 담당자의 역할을 미리 정한다.
2. 격리 범위: 사무망만 끊을지, 설비망 일부까지 끊을지 상황별 기준을 정한다. 선제 격리로 생산이 멈추는 영향도 미리 계산해 둔다.
3. 수동 운전 가능 여부: 사무망과 감시 체계 없이 현장에서 안전하게 운전할 수 있는 설비와 그 절차를 정리해 둔다.
4. 보고와 연락: 내부 보고 체계, 수사기관·보안 기관 신고, 거래처 안내 절차와 연락처를 출력본으로 보관한다.
5. 증거 보존: 감염 경로 조사를 위해 감염된 장비를 무작정 초기화하지 않고 기록을 보존한다.

복구는 중요도 순서로 진행한다. 미국 사이버보안·기반시설보안청은 핵심 서비스의 우선순위에 따라 체계를 다시 연결하고 분리 보관한 예비 복사본으로 자료를 복구하되, 깨끗한 체계가 다시 감염되지 않도록 주의하라고 권고한다²⁾. 공장에서는 대체로 안전 관련 감시 기능, 설비 운전 화면, 생산 운영 체계, 사무 체계 순으로 우선순위를 정한다. 사고가 마무리되면 대응 과정에서 얻은 교훈을 기록해 절차와 훈련에 반영해야 한다²⁾.

8. 막는 보안에서 버티는 보안으로: 사이버 회복력

최근 제조 보안의 방향은 사이버 회복력(Resilience)으로 옮겨가고 있다. 모든 공격을 막을 수는 없다는 전제 아래, 공격을 받아도 핵심 기능을 유지하고 빠르게 복구하는 능력을 키우는 것이다.

공장의 사이버 회복력을 높이는 실무 방향은 다음과 같다.

• 의존 관계 끊기: 설비망이 사무망 없이도 일정 기간 생산을 이어갈 수 있도록, 작업 지시와 공정 조건을 설비망 안에 임시로 보관하는 구조를 설계한다.
• 복구 시간 목표 정하기: 설비별로 몇 시간 안에 복구해야 하는지 목표를 정하고, 예비 복사본과 예비 장비를 그에 맞게 준비한다.
• 정기 모의 훈련: 실제 감염 상황을 가정해 격리 결정, 수동 운전, 복구 과정을 훈련한다.
• 협력사 보안 관리: 원격 접속을 쓰는 설비 공급기업과 협력사의 보안 수준을 계약 조건에 포함한다.
• 보안을 처음부터 설계에: 스마트공장 구축이나 설비 연결을 추진할 때, 망 구조와 접근 통제를 함께 설계한다.

디지털 전환(DX)이 진행될수록 공장은 더 많이 연결되고, 그만큼 공격 경로도 늘어난다. 보안을 나중에 덧붙이는 것이 아니라 연결을 설계하는 순간부터 함께 설계해야 하는 이유다.

결론: 랜섬웨어 대비는 생산 연속성 계획이다

랜섬웨어가 공장에 침투하면 생산라인은 설비망의 직접 감염으로, 또는 사무망에 의존하는 구조 때문에 함께 멈춘다. 그리고 그 피해는 생산 손실을 넘어 납기, 공급망, 자료 유출, 안전 문제로 번진다. 따라서 랜섬웨어 대비는 정보 보안 부서만의 일이 아니라 생산을 멈추지 않기 위한 경영 과제다.

본문의 핵심을 정리하면 다음과 같다.

• 위험: 제조업은 멈춤의 비용이 커서 공격자가 가장 선호하는 표적이며, 공격은 중소 제조기업으로 내려오고 있다.
• 구조: 제어기보다 운전 화면, 감시 체계, 제조실행시스템 같은 범용 운영체제 기반 체계가 주로 감염되어 생산을 멈춘다.
• 예방: 망 분리와 구역 나누기, 원격 접속 통제, 자산 목록, 망에서 분리된 예비 복사본을 갖춘다.
• 대응: 격리 결정권자와 범위, 수동 운전 절차, 복구 우선순위를 미리 문서로 정하고 훈련한다.
• 회복력: 사무망이 멈춰도 설비망이 버틸 수 있는 구조를 만들고, 연결을 설계할 때 보안을 함께 설계한다.

제조기업은 먼저 공장의 자산 목록과 망 구성도를 정리하고, 설비 프로그램과 설정값의 분리 보관 예비 복사본부터 확보할 것을 권한다. 체계 통합 기업(SI)과 설비 공급기업은 설비 납품과 원격 유지보수에 보안 설계와 접근 통제를 기본 사양으로 포함해야 한다. 멈추지 않는 공장은 결국 멈췄을 때를 미리 준비한 공장이다.

본 게시물은 AI 어시스턴트를 활용하여 초안을 작성하고 편집자의 검수를 거쳤습니다. 타 기업명 및 영업 기밀 보호를 위해 본문 중 일부 고유명사는 익명화(A/B) 처리되었습니다.