IT 유지보수업체 바이텍시스템 랜섬웨어(킬린) 공급망 해킹 사건

글로벌 랜섬웨어 조직 '킬린(Qilin)'이 자체 운영하는 다크웹 유출 사이트에 국내 IT 솔루션·유지보수 전문기업 바이텍시스템에서 탈취한 자료와 시스템 화면 스크린샷을 공개했다. 바이텍시스템은 국내 대기업과 금융권을 주요 고객사로 둔 솔루션 유지보수 업체로, 고객사의 핵심 시스템에 접근 권한을 가진 특성상 이번 침해가 확인되며 업계에 긴장감이 확산됐다. 보안 전문가들은 유지보수 업체가 뚫릴 경우 대기업을 직접 노리는 것보다 우회 침투가 쉬워 해커들이 선호하는 공격 경로로 꼽힌다고 설명했다. 킬린은 몸값 협상이 결렬된 피해 기업의 자료를 다크웹에 공개하는 이중공갈(다중 협박) 수법을 사용하는 것으로 알려진 조직이다. 이번 공개로 국내 IT 공급망 보안에 대한 경각심이 다시 높아졌다.

유출된 데이터를 분석한 결과 삼성전자를 포함한 국내 굴지의 대기업과 주요 증권사, 금융기업 등의 프로젝트 내역, 업무 정보, 담당자 연락처가 대거 포함된 것으로 확인됐다. 이는 단순한 개인정보 유출을 넘어 고객사의 사업 기밀과 실무 담당자 신상이 함께 노출됐다는 점에서 파급력이 크다는 평가를 받았다. 보안 전문가는 해커가 탈취한 담당자 정보를 활용해 실제 거래처나 파트너사를 사칭한 스피어피싱 공격을 감행할 수 있다고 경고했다. 국가 핵심 사업을 이끄는 주요 고객사들이 다수 포함된 만큼 2차 피해로 확산될 경우 파장이 상당할 것이라는 우려가 제기됐다. 바이텍시스템 측의 공식 대응이나 피해 통지 여부는 이 시점까지 구체적으로 확인되지 않았다.

보안업계 집계 결과 킬린의 누적 피해자 수가 2017건을 기록하며 그동안 가장 많은 피해자를 남겼던 록빗(LockBit 3.0, 2016건)을 넘어서 세계에서 가장 활발한 랜섬웨어 조직으로 부상한 것으로 나타났다. 킬린은 바이텍시스템 외에도 국내 자산운용사 30여 곳, 웰컴금융그룹 계열사, 토목업체 유신, KT알티미디어 등을 잇달아 공격한 것으로 파악돼 국내 공급망을 겨냥한 공격 흐름의 중심에 있는 조직으로 지목됐다. 전문가들은 킬린이 초기 침투 후 관리자 권한을 탈취해 네트워크 내부로 신속히 이동하고, 데이터 암호화와 동시에 탈취 정보를 공개하는 다중 협박 전술을 구사한다고 설명했다. 바이텍시스템 사건은 이러한 킬린發 국내 공급망 공격 사례들 가운데 비교적 이른 시기에 드러난 사례로 재조명됐다. 이에 따라 IT 유지보수 업체 전반에 대한 보안 점검 필요성이 다시 제기됐다.

보안업계가 킬린이 팔로알토네트웍스 VPN 솔루션 PAN-OS의 인증우회 취약점(CVE-2026-0257)을 악용해 글로벌프로텍트 인증을 우회하고 무단으로 VPN 연결을 생성한 뒤 초고속으로 공격을 감행하는 패턴에 대한 주의보를 발령했다. 이 취약점이 공개된 직후 자동화된 공격 스크립트를 활용해 정찰부터 데이터 암호화까지 매우 짧은 시간 안에 마치는 것이 킬린 공격의 특징으로 지목됐다. 전문가들은 바이텍시스템처럼 다수의 대기업·금융사와 연결된 IT 유지보수 업체가 이런 초고속 취약점 공격의 표적이 될 경우 탐지와 대응이 더욱 어려워진다고 지적했다. 킬린은 VPN 취약점을 이용해 글로벌 자동차 제조사와 해외 의료검사 기업도 공격한 것으로 확인됐다. 국내 보안 당국과 기업들에는 VPN·SaaS 등 공통 인프라에 대한 취약점 점검과 접근 통제 강화가 권고됐다.

2026년 상반기 국내 사이버 침해사고 신고 건수가 전년 동기 대비 19.5% 증가한 것으로 집계되며 해킹의 지능화와 디도스·랜섬웨어 공격 확산이 주요 원인으로 지목됐다. 바이텍시스템 사건을 비롯한 IT 유지보수·솔루션 업체를 노린 공급망 공격이 대기업과 금융권까지 피해를 확산시킨 대표 사례로 거론됐다. 보안업계는 공격자들이 개별 기업을 직접 노리기보다 다수 고객사와 연결된 협력업체·유지보수업체를 우선 공략하는 경향이 뚜렷해졌다고 분석했다. 이에 따라 정부와 업계에서는 공급망 보안 관리 체계와 협력업체에 대한 보안 감사 강화를 요구하는 목소리가 커졌다. 바이텍시스템發 피해 확산 여부와 2차 공격 발생 여부는 이 시점까지도 계속 주시되고 있는 사안으로 남아 있다.