英 콜트 테크놀로지 서비스, 워록 랜섬웨어 사이버공격 사태

2025년 8월 12일 영국 런던에 본사를 둔 다국적 통신·네트워크 서비스 기업 콜트 테크놀로지 서비스에서 사이버공격이 발생해 고객 포털, 네트워크서비스(NaaS) 포털, 보이스·번호 API 플랫폼 등 다수의 지원 시스템이 다운됐다. 공격자는 심각도 9.8의 마이크로소프트 샤프포인트 원격코드실행 취약점(CVE-2025-53770)을 악용해 콜트의 내부 비즈니스 지원 시스템(BSS)에 침투한 것으로 분석됐다. 콜트 측은 공격이 고객 대상 네트워크 인프라와는 분리된 업무지원 시스템에 국한됐다고 강조했다. 회사는 즉시 전담 사고대응팀을 꾸리고 외부 포렌식 전문가와 함께 24시간 대응 체계에 들어갔으며 규제당국과 수사기관에도 신고했다.

8월 15일 랜섬웨어 조직 워록(WarLock)이 콜트 공격의 배후를 자처하며 다크웹 범죄 포럼에 약 100만 건에 달하는 탈취 문서를 20만 달러에 판매한다고 공지했다. 보안연구원 케빈 보몬트는 공격자가 앞서 발견된 샤프포인트 제로데이 취약점을 통해 침투해 고객 정보가 담긴 수백 기가바이트 규모의 파일을 훔쳤을 것으로 분석했다. 유출이 의심되는 자료에는 재무·직원·고객·임원 데이터, 내부 이메일, 소프트웨어 개발 관련 문서까지 포함된 것으로 알려졌다. 워록은 중국계 해킹조직과 연계됐다는 의혹을 받아온 단체로, 과거에도 45만 달러에서 수백만 달러에 이르는 몸값을 요구해온 전력이 있다.

콜트는 8월 21일 “범죄 조직이 당사 시스템에서 고객 관련 정보를 포함할 수 있는 특정 파일에 접근했다”고 공식 확인하며 초기의 ‘단순 기술적 문제’ 설명에서 한발 물러나 사이버공격에 따른 데이터 유출 사실을 인정했다. 같은 날 워록 조직은 탈취한 약 100만 건의 문서를 다크웹 경매 사이트 ‘램프(Ramp)’에서 20만 달러에 경매에 부쳤으며, 재무정보·네트워크 설계도·고객 계약서 등이 포함됐다고 주장했다. 콜트는 공격과 관련한 사고 안내 페이지에 검색엔진 색인을 막는 태그를 추가하는 등 정보 확산 최소화에 나섰다. 이 사건은 콜트를 이용하는 다국적 기업·통신사 고객들에게도 2차 피해 우려를 낳았다.

9월 17일 콜트는 8월 사이버공격에 따른 시스템 복구 작업이 11월 말까지 이어질 수도 있다고 밝혔다. 이는 공격 발생 이후 3개월 반이 넘는 기간 동안 정상화 작업이 계속됨을 의미한다. 회사는 복구 계획의 대부분을 8~10주 내 마치는 것을 목표로 하되, 고객 포털과 보이스 API 플랫폼 등 고객이 직접 이용하는 서비스를 우선적으로 복구하겠다고 설명했다. 다만 네트워크 자체 인프라는 공격 영향을 받지 않아 정상 가동 중이라고 강조하면서도, 고객 포털·NaaS 포털·일부 호스팅 API는 여전히 이용할 수 없는 상태라고 인정했다.

9월 18일 콜트는 “복구 프로그램의 기초 작업이 완료됐다”며 핵심 시스템에 대한 단계적 복구 절차가 진행 중이라고 밝혔다. IT팀은 업무지원시스템(BSS)·운영지원시스템(OSS) 서버의 1단계 복구를 마쳤고, 나머지 서버·시스템의 복구 속도를 높이기 위한 ‘복구 팩토리’ 체계를 구축·시험·가동했다고 설명했다. 다만 청구서 발행 기능 등 일부 업무는 여전히 영향을 받고 있어 신규 인보이스 발급이 지연되는 등 고객 불편이 이어졌다. 콜트는 공격 발생 8월 12일 이전 대비 완전한 정상화까지는 연말 가까이 걸릴 수 있다고 시사하며, 이번 사건은 유럽 통신 업계에서 손꼽히는 장기 랜섬웨어 피해 사례로 기록되고 있다.