CDK 글로벌 랜섬웨어 공격, 美 자동차 딜러 1만5000곳 마비 사태

2024년 6월 18일 북미 최대 자동차 딜러 관리 소프트웨어(DMS) 업체 CDK 글로벌이 랜섬웨어 공격을 받아 자체적으로 핵심 시스템 가동을 중단시켰다. CDK는 자동차 판매, 재고 관리, 정비 예약, 금융 처리 등 딜러 운영 전반을 지원하는 소프트웨어를 미국과 캐나다의 약 1만5000개 자동차 딜러에 제공하고 있어 파급력이 즉각적이었다. 시스템이 다운되자 딜러들은 판매 계약서 작성부터 정비 접수까지 모든 업무를 수기와 전화로 처리해야 하는 상황에 내몰렸다. 공격 배후로는 이후 랜섬웨어 조직 블랙수트(BlackSuit)가 지목됐다. 이는 미국 자동차 유통 산업 역사상 손꼽히는 규모의 IT 인프라 마비 사태의 시작이었다.

복구 작업이 한창이던 2024년 6월 19일 밤 CDK 글로벌은 두 번째 사이버 공격을 당해 시스템을 재차 완전히 차단해야 했다. 딜러들은 CDK가 근본적인 보안 취약점을 해결하지 않은 채 서둘러 시스템을 복구하려다 오히려 추가 침해를 자초했다고 비판했으며, 이를 두고 상처 부위를 제거하지 않고 봉합만 한 격이라는 표현까지 나왔다. 두 차례의 연쇄 공격으로 인해 애초 며칠이면 끝날 것으로 예상됐던 장애가 기약 없이 길어질 조짐을 보이기 시작했다. 딜러들 사이에서는 CDK의 초기 대응이 미흡했다는 불만이 급속히 확산됐다. 이 사건은 이후 CDK를 상대로 한 여러 소송에서 핵심 쟁점으로 다뤄지게 된다.

2024년 6월 21일 랜섬웨어 조직 블랙수트와 연계된 것으로 추정되는 암호화폐 지갑에 약 387비트코인, 당시 시세로 약 2500만 달러 상당이 입금된 사실이 사이버보안 업체들에 의해 포착됐다. 이는 CDK 측이 사실상 거액의 몸값을 지불했음을 시사하는 정황으로 받아들여졌으나, CDK는 공식적으로 협상이나 지불 여부를 확인하지 않았다. 전문 매체들은 이 입금 내역을 근거로 CDK가 시스템 복구를 앞당기기 위해 랜섬웨어 조직과 모종의 합의에 이르렀을 가능성이 크다고 분석했다. 거액의 몸값 지불 정황에도 불구하고 시스템은 곧바로 정상화되지 않아 딜러들의 불만은 계속됐다. 이 사건은 랜섬웨어 대응 시 몸값 지불이 능사가 아니라는 논쟁을 다시 불러일으켰다.

2024년 6월 24일 CDK 글로벌은 딜러 고객사들에게 시스템 복구까지 예상보다 훨씬 더 긴 시간이 걸릴 것이라고 공식 통보했다. 회사는 구체적인 복구 일정을 제시하지 못한 채 안전한 복구를 위해 신중을 기하고 있다는 입장만 반복해 딜러들의 답답함을 키웠다. 딜러들은 이미 일주일 가까이 수작업으로 업무를 처리해온 상황에서 추가 지연 소식에 크게 반발했다. 일부 대형 딜러 그룹은 CDK에 손해배상을 요구하며 법률 자문을 구하기 시작했다. 이 시점부터 사태는 단순 IT 장애를 넘어 본격적인 법적 분쟁 국면으로 전환됐다.

2024년 6월 28일부터 CDK 글로벌은 상대적으로 규모가 작은 딜러 그룹을 시작으로 단계적인 시스템 복구 작업에 착수했다. 회사는 보안 점검을 마친 그룹부터 순차적으로 접속 권한을 복원하는 방식을 택해 전면 재개보다는 신중한 접근을 택했다고 밝혔다. 이 무렵까지 딜러 업계 전체의 누적 손실액은 이미 수억 달러 규모로 불어난 것으로 추산됐다. 앤더슨 이코노믹 그룹은 공격 발생 후 2주 동안의 손실만 약 6억500만 달러에 이른다고 분석했다. 딜러들은 단계적 복구 소식에 안도하면서도 완전한 정상화 시점에 대한 불확실성은 여전히 크다고 우려했다.

2024년 7월 2일 CDK 글로벌은 자사가 서비스하는 약 1만5000개 딜러 가운데 사실상 전부의 시스템이 복구됐다고 공식 발표하며 사태 수습을 선언했다. 이는 당초 목표했던 7월 4일 독립기념일 연휴보다 이틀 앞선 것으로, 회사는 예상보다 빠른 복구 속도를 자평했다. 주요 매체는 이를 6월 18일 첫 공격 발생 이후 2주 만에 이뤄진 정상화로 보도했다. 그러나 완전한 정상 가동까지는 이후로도 부분적 오류와 지연이 산발적으로 이어진 것으로 알려졌다. 이로써 3주 가까이 이어진 대규모 IT 마비 사태의 급한 불은 일단 꺼졌지만, 후속 법적·재정적 파장은 이제 막 시작 단계였다.

복구가 마무리된 이후 앤더슨 이코노믹 그룹 등 산업 분석기관들은 이번 사태로 인한 미국 자동차 딜러 업계의 총 손실이 10억 달러를 넘어선 것으로 추산했다. 판매 지연과 정비 예약 차질, 수작업 처리에 따른 인건비 증가 등이 복합적으로 손실을 키운 요인으로 꼽혔다. 특히 신차 등록과 금융 승인이 지연되면서 6월 말 분기 마감을 앞둔 딜러들의 매출 실적에도 직접적인 타격이 발생했다. 일부 대형 딜러 체인은 이번 사태로 인한 손실을 이유로 CDK와의 계약 조건 재협상을 요구하기도 했다. 이 추산치는 이후 CDK를 상대로 한 손해배상 소송에서 핵심 근거 자료로 활용됐다.

CDK 글로벌은 이번 사태와 관련해 최소 8건에 달하는 딜러들의 소송에 직면했다. 원고 측 딜러들은 CDK가 고객 데이터를 적절히 보호하지 못했으며, 수만 명에 달하는 고객의 개인정보가 유출됐을 가능성이 있다고 주장했다. 소송에는 CDK의 보안 투자 부족과 초기 대응 미흡, 복구 과정에서의 2차 피해 등이 광범위하게 문제 제기됐다. 이후 개인정보 유출을 이유로 한 별도의 집단소송도 추가로 제기되며 법적 분쟁은 계속 확대됐다. CDK는 소송에 대해 구체적인 입장을 밝히지 않은 채 법적 절차에 대응하겠다는 원론적 태도를 유지했다.