단일 침해가 수백 조직으로 번지는 구조
2026년 11월, 사이버 보안 시장의 무게중심은 방화벽 안쪽에서 기업 밖으로 이동했다. Group-IB가 2026년 11월 9일 공개한 첨단 기술 범죄 동향 보고서(High-Tech Crime Trends Report 2026)는 공급망 공격(supply chain attack)이 발생 빈도와 피해 범위에서 동시에 커졌다고 진단했다. 핵심은 단순하다.
한 기업의 취약점이 아니라 한 공급업체의 업데이트, 원격 모니터링 및 관리(RMM) 서버, 인증 토큰 하나가 수백 곳 고객사의 손실로 전환되는 구조가 산업 표준처럼 굳어졌다는 점이다. 이 변화는 보안 담당자만의 문제가 아니다. 2027년 기업 정보기술(IT) 예산을 짜는 최고정보책임자(CIO), 최고재무책임자(CFO), 구매 부서가 함께 다뤄야 할 비용 구조의 문제다.
소프트웨어형 서비스(SaaS), 관리형 서비스 사업자(MSP), 클라우드 통합, 오픈소스 패키지에 의존하는 기업일수록 자체 보안 수준만으로 리스크를 통제하기 어렵다. 본지 분석 결과, 공급망 보안은 이제 보험료처럼 사후 비용을 줄이는 항목이 아니라 거래 상대방을 고르는 기준과 투자 우선순위를 바꾸는 경영 변수에 가깝다. Group-IB 보고서가 제시한 수치는 이 판단을 뒷받침한다.
오라클(Oracle) 레거시 환경에서 발생한 단일 침해는 600만 명 사용자에게 피해를 줬고, 샤이-훌루드(Shai-Hulud) 웜은 자체 전파 방식으로 800개 npm 패키지를 망가뜨렸다. 드리프트(Drift), 세일즈로프트(Salesloft), 세일즈포스(Salesforce)와 연결된 손상된 오픈 인증(OAuth) 토큰은 700개 이상 조직에 연쇄 영향을 미쳤다. 핀테크 기업 마르키스(Marquis)에 대한 랜섬웨어 공격은 70개 금융기관의 민감 데이터 노출로 이어졌고, 크롬 웹 스토어에 등록된 악성 크롬 확장 프로그램(트러스트 월렛·Trust Wallet) 한 버전은 2,520개 지갑에서 약 850만 달러 상당 자산 탈취를 낳았다.
광고
이 숫자들이 말하는 바는 공격 규모의 확대만이 아니다. 공격자가 한 번 침투해 여러 고객에게 동시에 접근할 수 있다면, 범죄의 경제성이 급격히 좋아진다.
Group-IB 보고서에 따르면, 국가 지원 행위자는 정찰과 스파이 활동의 범위를 넓히고, 금전 목적 범죄 집단은 랜섬웨어와 데이터 협박을 빠르게 수익화한다. 기업 입장에서는 보안 투자의 계산식이 달라진다. 과거에는 자사 내부망 침투 가능성을 낮추는 데 예산을 집중했다면, 이제는 외부 협력사의 권한과 업데이트 경로, 토큰 수명까지 손실 시나리오에 넣어야 한다.
공급망 공격의 산업적 파급력은 소프트웨어 조달 방식에서 나온다. 기업은 생산성 향상을 위해 SaaS 계정을 늘리고, 개발자는 npm 같은 오픈소스 저장소에서 부품을 가져오며, 운영팀은 RMM 도구로 여러 시스템을 원격 관리한다. 각각은 효율을 높이는 선택이다.
그러나 이 효율은 신뢰를 압축해 한곳에 쌓는 방식으로 작동한다. 한 공급자의 인증 체계가 흔들리면, 그 공급자를 믿고 연결한 고객사의 데이터 흐름과 업무 프로세스가 함께 흔들린다. Group-IB는 이를 '강력한 승수(force multiplier)' 효과라고 명명했다.
생성형 AI와 OAuth가 넓힌 신뢰의 균열
특히 오픈 인증(OAuth) 토큰 사례는 기업 전략 측면에서 더 불편한 질문을 남긴다. 비밀번호를 바꾸는 방식만으로는 토큰 기반 접근권한을 충분히 끊지 못할 수 있기 때문이다. 영업 자동화, 고객관계관리(CRM), 마케팅 분석 도구가 서로 엮인 환경에서 토큰은 업무 편의의 핵심 수단으로 쓰인다.
하지만 토큰은 동시에 공격자가 합법적 사용자처럼 이동할 수 있는 통로가 된다. 700개 이상 조직에 영향을 준 사례는 신원(identity) 관리가 엔드포인트 보안보다 낮은 우선순위에 머물 수 없다는 점을 보여준다.
생성형 인공지능(GenAI)도 공급망 보안의 새로운 비용 항목으로 부상했다.
광고
Group-IB 보고서는 가트너(Gartner)가 공급망 전반의 생성형 AI 사용이 데이터 유출과 지적재산(IP) 유출 위험을 키울 수 있다고 경고했다고 전했다. 기업이 외부 협력사와 함께 문서 요약, 코드 작성, 고객 응대 자동화에 AI 도구를 쓰면 데이터가 어느 모델, 어느 플러그인, 어느 통합 계정으로 흘러가는지 파악하기 어려워진다. 확인된 사실은 가트너의 경고이며, 특정 기업의 손실 규모나 국내 피해액은 이 자료에서 공식 확인되지 않았다.
본지 분석 결과, AI 도구 구매 계약서와 보안 검토 문서가 2027년 조달 심사의 핵심 부속서로 편입될 가능성이 크다. 반론도 있다.
보안 예산은 이미 늘었고, 모든 협력사를 직접 감사하는 일은 비용 대비 효과가 낮다는 주장이다. 이 지적은 현실적이다. 중견기업이 글로벌 SaaS 사업자의 내부 통제를 세밀하게 들여다보기는 어렵고, 오픈소스 패키지 전체를 자체 검증하는 일도 대부분 조직에는 과도한 부담이다.
그러나 이 반론은 공급망 공격의 손실 전파 속도를 과소평가한다. 단일 침해가 600만 사용자, 800개 패키지, 700개 이상 조직으로 번진 사례가 나온 이상, 기업은 모든 것을 직접 통제하지 못한다는 이유로 핵심 의존 관계를 방치할 수 없다. 따라서 기업의 대응은 보안 솔루션 추가 구매보다 운영 규율 재설계에 가까워야 한다.
공급업체를 선정할 때 침해 통지 기한, 토큰 폐기 절차, 하위 협력사 관리 방식, 소프트웨어 업데이트 검증 체계를 계약 조건으로 끌어올려야 한다. 개발 조직은 오픈소스 패키지 변경 이력을 자동으로 점검하고, 운영 조직은 RMM 계정과 관리자 권한을 최소화해야 한다. 법무와 재무 부서는 랜섬웨어 사고가 고객 보상, 서비스 중단, 규제 보고 비용으로 이어지는 경로를 사전에 계산해야 한다.
이것이 2027년 보안 예산이 단일 제품 구매에서 리스크 관리 체계로 이동하는 이유다.
광고
2027년 보안 예산은 공급망 관리로 이동
본지 분석 결과, 엔드포인트 탐지와 대응(EDR) 중심 시장은 계속 필요하지만, 성장의 프리미엄은 신원 보안, 제3자 위험 관리, 클라우드 권한 관리, 소프트웨어 구성요소 추적 쪽으로 이동할 가능성이 높다. 공급망 공격은 제품 하나로 막기 어렵기 때문에, 기업은 여러 도구를 연결해 위험을 지속 측정하는 플랫폼을 선호한다.
이는 보안 기업의 영업 방식에도 영향을 준다. 단순 탐지 성능보다 이사회 보고에 쓸 수 있는 위험 점수, 감사 로그, 공급업체별 노출 현황을 제공하는 사업자가 예산 경쟁에서 유리한 위치를 차지한다.
한국 기업에도 같은 압력이 가해진다. 국내 제조, 금융, 게임, 커머스 기업은 글로벌 SaaS와 오픈소스, 클라우드 서비스를 일상적으로 쓴다. 원본 자료만으로 국내 특정 기업의 피해 여부는 확인되지 않았다.
그러나 해외 협력사 계정 하나가 국내 고객 데이터 처리 흐름과 맞물리는 구조는 이미 보편화했다. 한국 기업이 2027년 보안 계획을 세울 때 해외 공급자의 인증 체계와 데이터 처리 경로를 별도 점검 항목으로 두지 않으면, 침해 사실을 뒤늦게 통보받고도 어떤 고객과 시스템이 영향을 받았는지 즉시 설명하지 못하는 상황에 놓일 수 있다. 공급망 보안은 비용을 늘리는 항목처럼 보이지만, 실제로는 기업 간 거래 신뢰를 유지하는 인프라다.
2026년 11월 Group-IB가 제시한 사례들은 공격자가 취약한 서버보다 기업들이 서로 믿고 연결한 지점을 더 값비싼 표적으로 삼는다는 사실을 드러냈다. 2027년의 경쟁력은 보안 부서가 얼마나 많은 경고를 처리하느냐가 아니라, 경영진이 어떤 공급자를 받아들이고 어떤 권한을 허용하며 어떤 연결을 끊을 수 있는지에 달려 있다.
공급망을 비용 절감 수단으로만 보는 기업은 더 큰 비용을 나중에 치를 가능성이 크다. ※ 이 기사는 Group-IB Blog의 2026년 11월 9일 보도와 Group-IB의 High-Tech Crime Trends Report 2026을 참조하여 작성하였다.
광고
FAQ
Q. 공급망 공격은 일반 랜섬웨어와 무엇이 다른가?
A. 일반 랜섬웨어가 특정 기업 내부 시스템을 직접 겨냥하는 방식이라면, 공급망 공격은 그 기업이 신뢰하는 외부 소프트웨어, 서비스 사업자, 인증 체계를 통해 침투하는 경우가 많다. Group-IB 보고서의 사례처럼 한 공급업체 침해가 700개 이상 조직이나 70개 금융기관으로 번질 수 있다는 점이 핵심 차이다. 배경에는 SaaS, MSP, 클라우드 통합, 오픈소스 사용 확대가 있다. 기업은 내부 백업과 탐지 체계에 더해 협력사 접근권한과 침해 통지 절차를 함께 점검해야 한다.
Q. 생성형 AI 사용은 왜 공급망 보안 위험을 키우는가?
A. 가트너는 공급망 전반의 생성형 AI 사용이 데이터 유출과 지적재산 유출 위험을 높일 수 있다고 경고했다. AI 도구가 문서, 코드, 고객 데이터와 연결될수록 정보가 어느 외부 서비스와 계정으로 이동하는지 추적하기 어려워진다. 원본 자료에서 특정 국내 피해 사례는 공식 확인되지 않았다. 기업은 AI 도구를 도입할 때 입력 데이터 범위, 저장 정책, 외부 플러그인 권한, 협력사 사용 여부를 계약과 감사 항목에 포함해야 한다.
Q. 기업은 2027년 보안 예산을 어디에 우선 배분해야 하나?
A. 공급망 공격이 커진 환경에서는 단일 보안 제품 구매보다 신원 관리와 제3자 위험 관리 체계를 먼저 점검해야 한다. OAuth 토큰, RMM 계정, 관리자 권한, 오픈소스 패키지 변경 이력은 사고 전파를 키우는 대표적 경로다. 예산은 탐지 도구와 함께 공급업체 평가, 계약상 침해 통지 조건, 권한 폐기 절차, 로그 보존 체계를 묶어 편성해야 한다. 경영진은 보안을 기술 부서의 비용이 아니라 거래 지속성을 지키는 투자 판단의 기준으로 삼아야 한다.
▶ 법률 고민이 있다면 → 변호사 오경석 법률사무소 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
