NetRunner 랜섬웨어와 해외 제조 법인 보안 리스크

인도 제조 법인 침해가 드러낸 공급망 리스크

2026년 4월 3일, 랜섬웨어 그룹 NetRunner는 한국 자동차 부품 기업 서연이화의 인도 법인인 서연이화 서밋(Seoyon E-Hwa Summit)을 공격했다고 다크웹 리크 사이트에 게시했다. 같은 시기 Everest의 일본 자동차 기업 공격과 ShinyHunters의 미국 네트워크 인프라 기업 소스코드 유출도 발생했다. 제조업과 그 공급망이 여러 공격 그룹의 표적이 된 흐름이다.

NetRunner는 제조업과 산업 분야를 주요 표적으로 삼는 랜섬웨어 그룹으로 활동이 확인됐다. 이 사례에서 핵심은 이중 갈취다. 시스템을 암호화하는 데 그치지 않고, 탈취한 데이터의 공개를 위협해 몸값 요구의 압박을 높이는 방식이다.

공개된 공격 흐름과 영향 범위

서연이화 서밋은 자동차 내장재와 시트 부품 등을 생산하는 인도 제조 자회사다. NetRunner의 공격은 해당 법인의 제조 인프라를 겨냥했으며, 인도 자동차 부품 공급망에 직접 영향을 줄 수 있다. 본사와 연결된 네트워크 역시 노출 범위가 될 수 있다.

⤢✕

ASEC의 2026년 4월 1주차 보고서에는 같은 기간의 다른 공격도 담겼다.

공격 그룹	표적	산업 분야	공격 유형
NetRunner	서연이화 서밋 (인도)	자동차 부품 제조	랜섬웨어 이중 갈취
Everest	일본 주요 자동차 기업	자동차 제조	랜섬웨어 공격
ShinyHunters	미국 네트워크 인프라 기업	IT 인프라	소스코드 및 내부 데이터 유출

Everest는 일본의 주요 자동차 제조 기업을 공격했고, ShinyHunters는 미국 네트워크 인프라 기업의 소스코드와 내부 데이터를 탈취해 공개를 위협했다. 한 주 동안 아시아와 북미의 제조업 및 인프라 기업에 공격이 집중된 셈이다.

제조 현장이 공격자에게 매력적인 배경

제조 라인은 멈추는 순간 비용이 발생한다. 생산 중단은 시간당 수억 원의 손실을 유발할 수 있어, 피해 조직에 신속한 몸값 지불 유인을 만든다. 자동차 산업의 JIT(Just-In-Time) 생산 체계에서는 부품 공급 중단이 완성차 제조 전반으로 이어질 수도 있다.

산업 제어 시스템(ICS/SCADA)과 OT(Operational Technology) 환경은 구형 OS와 미패치 장비를 다수 포함할 수 있다. 스마트 팩토리 전환으로 IT와 OT 네트워크의 연결이 늘어난 점도 공격 경로를 넓힌다. 생산성 투자와 비교해 보안 예산이 부족한 환경은 이 위험을 더 키운다.

⤢✕

본사 보안만으로는 막기 어려운 이유

해외 법인을 둔 제조 기업은 본사와 법인 사이의 보안 수준 차이 자체를 위험 요인으로 다뤄야 한다. 본사 정책이 해외 법인에 같은 수준으로 적용되지 않으면 거버넌스 공백이 생긴다. 특히 개발도상국 소재 법인은 전담 보안 인력과 예산이 부족할 수 있다.

VPN과 전용선으로 본사 네트워크에 연결된 법인은 침해가 본사로 확산되는 통로가 될 수 있다. 국가별 데이터 보호 법규, 침해 사고 보고 의무, 개인정보 처리 기준도 다르다. 클라우드 접근성, 보안 솔루션 가용성, 기술 지원 수준의 차이도 운영 환경에 영향을 준다.

M&A로 편입된 해외 법인은 IT 인프라가 본사 보안 체계에 완전히 통합되기까지 수년이 걸릴 수 있다. 통합 이전의 자산과 계정, 네트워크 연결은 별도의 관리 대상이다.

랜섬웨어 위협이 확대되는 흐름

2026년 랜섬웨어 공격은 전년 대비 30% 증가했고, 제조업은 가장 많이 공격받는 산업 분야로 유지됐다. 데이터 암호화와 유출 위협에 더해 고객과 파트너를 직접 협박하는 이중·삼중 갈취도 확대되고 있다.

RaaS(Ransomware-as-a-Service) 생태계가 성장하면서 기술 수준이 낮은 공격자도 정교한 랜섬웨어를 구매해 공격을 수행할 수 있게 됐다. 한국, 일본, 인도, 동남아의 제조업 기업을 겨냥한 공격도 특히 증가했다. 부품 공급업체 침해가 완성 제품 제조사에까지 영향을 미치는 공급망 연쇄 공격 역시 이어지고 있다.

법인과 OT 환경을 함께 보호하는 대응 체계

방어의 출발점은 본사가 주도하는 글로벌 보안 거버넌스다. 해외 법인에도 동일한 기준을 적용하고, 법인별 인력·예산·인프라 차이를 점검해야 한다.

IT와 OT 네트워크는 물리적·논리적으로 분리하고, 법인 간 네트워크 접근 제어를 강화할 필요가 있다. 오프라인 백업(Air-Gapped Backup)과 정기적인 복구 훈련은 랜섬웨어 피해 뒤의 복구 속도를 좌우한다.

ASEC, KISA, 글로벌 ISAC 등의 위협 정보를 실시간으로 모니터링하고, 해외 법인을 포함한 통합 인시던트 대응 계획과 모의 훈련을 운영해야 한다. 산업 제어 시스템은 자산 가시성을 확보하고 이상 행위 탐지 솔루션 도입을 검토할 대상이다. 랜섬웨어 피해에 대비한 사이버 보험 가입과 보장 범위 검토도 대응 체계의 일부가 될 수 있다.

서연이화 서밋 사례는 해외 법인이 단순한 지역 거점이 아니라 본사와 공급망을 잇는 보안 경계라는 점을 보여준다. 네트워크 분리와 복구 체계, 법인 간 보안 격차 해소를 함께 다뤄야 제조 환경의 복원력을 확보할 수 있다.