Foxconn Nitrogen 랜섬웨어 침해와 제조 OT·IT 공급망 방어

Foxconn 북미 공장 침해가 드러낸 공급망 위험

2026년 5월, Foxconn의 북미 공장이 Nitrogen 랜섬웨어 그룹의 공격을 받아 8TB와 1100만 파일을 탈취당했다. Apple, Nvidia, Google, Dell, Intel 관련 기밀 프로젝트 파일이 포함된 것으로 알려지면서, 제조사의 침해가 개별 공장 문제를 넘어 고객사 전체의 지식재산 위험으로 이어질 수 있다는 점이 부각됐다.

Nitrogen은 데이터를 빼낸 뒤 암호화와 공개 협박을 병행하는 이중 갈취 방식을 사용한다. 더욱이 해당 그룹의 복호화기에는 몸값을 지급해도 파일을 되살리지 못할 수 있는 프로그래밍 오류가 있다는 경고도 나왔다. 협상 자체를 복구 전략으로 볼 수 없는 이유다.

항목	상세
공격 그룹	Nitrogen 랜섬웨어
발생 일시	2026-05-12 (확인 공개)
피해 시설	미국 위스콘신 Mount Pleasant, 텍사스 Houston 공장
탈취 데이터	8TB, 1100만 파일
포함 고객	Apple, Nvidia, Google, Dell, Intel
데이터 유형	기밀 설계 지시, 프로젝트 문서, 기술 도면
그룹 특성	이중 갈취, Conti 2 빌더 파생

초기 침투에서 OT 피벗까지의 공격 경로

Nitrogen은 2023년부터 활동한 이중 갈취 랜섬웨어 그룹으로, 유출된 Conti 2 빌더 코드베이스를 재활용했다. 제조사 환경에서는 IT 관리자 계정과 원격 접속 경로, 공급업체 연결이 모두 초기 접근점이 될 수 있다.

제조 환경 IT 관리자를 겨냥한 스피어 피싱으로 자격증명을 탈취
패치되지 않은 VPN/RDP 원격 접근 솔루션의 취약점을 악용
공급망 파트너의 침해된 자격증명을 통해 우회 접근
다크웹에서 구매한 기존 접근권을 IAB(Initial Access Broker) 방식으로 활용

⤢✕

Coveware 연구팀은 Nitrogen 복호화기에 프로그래밍 오류가 있어, 몸값을 지불해도 파일 복구가 불가능할 수 있다고 경고했다. 피해 조직은 데이터 유출과 운영 중단에 더해, 복호화 비용까지 회수하지 못하는 이중 손실을 입을 수 있다.

제조망의 경계를 실제 복구 가능성으로 설계하기

Foxconn 사례는 IT 네트워크에서 OT(운영 기술) 네트워크로 이동하기 쉬운 환경의 위험을 시사한다. 제조 환경에서는 생산 장비와 기업 시스템을 단순히 연결하는 대신, 각 계층의 통신 목적과 방향을 분명히 제한해야 한다.

퍼듀 모델(Purdue Model)을 기준으로 보면 현장 장치와 PLC가 위치한 Level 0-1에는 에어갭 또는 단방향 데이터 다이오드를 적용한다. 제어 시스템이 있는 Level 2는 전용 OT 방화벽과 화이트리스트 기반 통신 허용으로 보호한다. 제조 운영 시스템이 있는 Level 3은 DMZ를 통해 IT와 연동하고, 기업 IT 네트워크인 Level 4-5에는 제로 트러스트 접근 통제를 둔다.

핵심 경계에는 OT에서 IT로 향하는 데이터 전송만 허용하는 단방향 보안 게이트웨이를 배치할 수 있다. 이 구성은 IT에서 OT로 전달되는 명령을 물리적으로 차단한다.

암호화 피해를 줄이는 복구 설계는 백업의 변경 가능성까지 고려해야 한다.

백업 전략	구현 방법	보호 수준
불변 백업 (Immutable Backup)	S3 Object Lock, Azure Blob WORM	최고
오프사이트 에어갭 백업	테이프·오프라인 스토리지	높음
3-2-1-1-0 규칙	3벌, 2매체, 1오프사이트, 1에어갭, 0오류 검증	높음
스냅샷 기반 백업	NetApp ONTAP SnapLock, Veeam Hardened Repository	중간

PLC와 SCADA를 포함한 ICS 환경은 패치 주기가 길고 에이전트를 설치하기 어려운 경우가 많다. 따라서 Dragos, Claroty, Nozomi Networks를 활용한 수동적 네트워크 모니터링으로 비에이전트 방식의 이상 징후를 찾고, Modbus·DNP3·EtherNet/IP 통신 패턴의 기준선과 편차를 감시할 수 있다. 원격 접근 세션은 전체 녹화와 실시간 감시 대상으로 둔다.

제조 파트너 접근을 공급망 통제로 다루기

수백 개 브랜드의 위탁 제조사인 Foxconn이 침해되면 제조사 내부의 데이터만 위험해지는 것이 아니다. Apple, Nvidia 등 고객사 파일이 포함됐다는 사실은 고객 데이터가 제조 파트너 환경 안에서 충분히 격리되지 않았을 가능성을 보여준다.

공급업체 접근은 TPAM(Third-Party Access Management) 솔루션으로 세션 단위에서 제어하고, JIT(Just-In-Time) 방식으로 작업 기간에만 권한을 부여한 뒤 완료 즉시 만료하도록 구성한다. 고객 데이터와 내부 운영 데이터는 물리적으로 분리해 저장한다.

사고가 발생했을 때 제조 현장은 생산 연속성과 보안 복구를 동시에 다뤄야 한다. 감염 시스템을 즉시 네트워크에서 분리하고 OT 시스템을 수동 운영으로 전환한다. 이어 암호화 범위, 탈취 데이터 유형, 복구 가능성을 평가한다. 고객사인 Apple·Nvidia 등에 침해 사실을 통보하고 규제 기관 신고를 진행하며, 불변 백업에서 우선순위 시스템을 복구한 뒤 보안을 강화해 재가동한다. 마지막으로 공격 경로를 확인해 통제를 보완한다.

Foxconn 침해는 제조 공급망이 사이버 위협의 주요 표적이라는 사실을 보여준다. 복호화 불가 결함 때문에 몸값 지급조차 복구 수단이 되지 않을 수 있는 환경에서, 불변 백업·OT-IT 분리·서드파티 접근 제어는 기본 요건이 된다. 글로벌 공급망에 참여하는 제조사는 자사 보안뿐 아니라 고객 지식재산 보호 책임까지 함께 다뤄야 한다.

Foxconn 북미 공장 침해가 드러낸 공급망 위험

초기 침투에서 OT 피벗까지의 공격 경로

제조망의 경계를 실제 복구 가능성으로 설계하기

제조 파트너 접근을 공급망 통제로 다루기

Sources

함께 읽기