마크스앤스펜서(M&S) 랜섬웨어 사이버공격 사태

공격자들은 2025년 2월경 M&S의 IT 헬프데스크를 운영하는 외주업체 타타컨설턴시서비스(TCS) 직원을 사칭해 비밀번호 재설정을 요청하는 소셜엔지니어링 수법으로 회사 네트워크에 최초 침투했다. 이들은 윈도 도메인 컨트롤러의 계정정보 데이터베이스 파일(NTDS.dit)을 탈취해 오프라인에서 해시를 크랙, 다수 계정의 평문 비밀번호를 확보한 것으로 조사됐다. 이 과정은 몇 주간 외부에 드러나지 않은 채 은밀하게 진행됐다. 보안 전문가들은 외주 IT지원 체계의 취약점이 침투 경로로 악용된 전형적 공급망 공격 사례로 분석했다. 이 초기 침투는 두 달 뒤 벌어질 대규모 랜섬웨어 공격의 발판이 됐다.

2025년 부활절 연휴 기간인 4월 19일부터 21일 사이 영국 전역 M&S 매장에서 결제 시스템과 재고 관리 시스템 오류가 잇따라 보고되면서 고객 불편이 본격적으로 드러났다. 일부 매장에서는 접촉식 결제와 기프트카드 사용이 제대로 되지 않아 계산대에 긴 줄이 늘어섰다. 회사는 초기에는 일반적인 IT 문제로 설명했으나 실제로는 이미 내부 네트워크가 랜섬웨어 공격 위협에 노출된 상태였다. 소비자들 사이에서는 온라인 커뮤니티를 통해 매장 이상 현상에 대한 목격담이 빠르게 확산됐다. 이 시점은 이후 공식화될 대규모 침해 사고의 전조로 재조명됐다.

공격자들은 4월 24일 '드래곤포스(DragonForce)' 랜섬웨어 인코더를 배포해 M&S의 VMware ESXi 호스트와 다수 가상머신을 암호화했다. 이로 인해 물류·재고·주문 처리를 담당하는 핵심 서버들이 동시다발적으로 마비되며 회사 전산망 전체가 사실상 통제 불능 상태에 빠졌다. 공격자들은 시스템을 암호화하기 전 대량의 데이터를 먼저 빼돌리는 이중 갈취 수법을 사용한 것으로 확인됐다. 보안팀은 피해 확산을 막기 위해 일부 네트워크를 자체적으로 격리하는 긴급 조치를 취했다. 이 사건은 M&S 역사상 최대 규모의 IT 인프라 마비 사태로 기록됐다.

M&S는 4월 25일 랜섬웨어 피해를 공식 인정하며 온라인 의류 주문과 기프트카드 서비스를 전면 중단한다고 발표했다. 매장 내 접촉식 결제와 일부 재고 보충 시스템도 함께 영향을 받아 정상적인 영업이 어려워졌다. 회사는 사이버보안 전문가와 국가사이버보안센터(NCSC)의 지원을 받아 사고를 수습 중이라고 밝혔다. 같은 시기 영국의 다른 대형 유통업체 코업(Co-op)과 해러즈(Harrods)도 유사한 공격을 받은 것으로 드러나 업계 전반에 경계령이 내려졌다. 시장에서는 M&S 주가가 단기간에 급락하며 투자자들의 불안이 커졌다.

M&S는 5월 13일 공격자들이 고객 개인정보를 실제로 탈취해갔다고 공식 확인했다. 유출된 정보에는 고객 이름, 생년월일, 자택·이메일 주소, 전화번호, 가구 정보, 온라인 주문 이력 등이 포함됐다. 다만 결제카드 정보와 계정 비밀번호는 시스템에 저장되지 않아 유출되지 않았다고 회사는 설명했다. 이 발표로 단순 시스템 장애가 아니라 대규모 데이터 침해 사고였음이 명확해지며 고객들의 불안이 커졌다. 영국 개인정보보호청(ICO)도 이 사건에 대한 조사에 착수했다.

사고 발생 약 한 달 만인 5월 21일 저녁, M&S는 자사 웹사이트를 읽기전용 모드로 부분 복구했다. 고객들은 상품 정보 열람은 가능해졌지만 여전히 온라인 주문은 할 수 없는 상태가 이어졌다. 회사는 시스템 전체의 보안이 완전히 확인될 때까지 주문 기능 재개를 미루겠다고 밝혔다. 매장 영업은 정상화됐지만 온라인 매출 공백이 길어지며 실적 타격이 본격화됐다. 보안 전문가들은 이번 단계적 복구가 재감염을 막기 위한 신중한 선택이라고 평가했다.

M&S는 6월 10일 일부 의류 라인에 한해 온라인 주문을 46일 만에 재개했다고 발표했다. 회사는 이번 사고로 연간 이익이 약 3억 파운드 감소할 것으로 추정된다고 밝혔으며, 공격 발생 직후 시가총액도 7억 5000만 파운드 넘게 증발한 바 있다. 온라인 주문 중단 기간 하루 평균 380만 파운드의 매출 손실이 발생한 것으로 집계됐다. 회사는 전체 온라인 서비스가 완전히 정상화되기까지는 7월까지 시일이 더 걸릴 것이라고 예고했다. 이번 사고는 영국 유통업계에 사이버보안 투자 확대의 계기가 됐다.

M&S 아치 노먼 이사회 의장은 7월 8일 언론 인터뷰에서 회사가 공격자들에게 몸값을 지불했는지 여부에 대한 확답을 거부했다. 그는 사고 수습 과정에서 배운 보안 교훈을 공유하면서도 구체적인 협상 내용은 수사 중인 사안이라 밝힐 수 없다고 설명했다. 이 발언은 대기업들의 랜섬웨어 대응 방식에 대한 투명성 논란을 다시 불러일으켰다. 업계에서는 몸값 지불 여부와 관계없이 이미 회사가 입은 평판·재무적 피해가 막대하다고 평가했다. 노먼 의장은 재발 방지를 위한 IT 인프라 전면 재구축 계획도 함께 언급했다.

미국 법무부는 9월 18일 스캐터드 스파이더의 핵심 조직원으로 지목된 19세 영국 국적자 탈하 주바이르를 컴퓨터사기·전신사기·자금세탁 공모 혐의로 기소했다고 밝혔다. 그는 2022년 5월부터 2025년 9월까지 최소 120건의 침해 사고와 미국 내 47개 기업으로부터 총 1억 1500만 달러를 갈취한 혐의를 받는다. 같은 시기 영국에서도 M&S·코업·해러즈 공격과 관련해 10대 3명과 20대 여성 1명 등 4명이 국가범죄청(NCA)에 체포됐다. 이들 중 일부는 별도로 런던 교통공사(TfL) 해킹 사건과도 연루된 것으로 드러났다. 이번 기소와 체포로 M&S 사태의 배후 조직 전모가 상당 부분 드러났다는 평가가 나왔다.