이랜드그룹 클롭 랜섬웨어 공격 및 카드정보 유출 사태

2020년 11월 22일 새벽 이랜드그룹의 서버와 시스템이 클롭(Clop) 랜섬웨어에 감염됐다. 클롭은 주로 워드·엑셀 등 문서 파일에 첨부돼 이메일로 유포되며, 사용자가 악성 문서를 열면 PC 내 데이터가 암호화되는 방식이다. 이랜드는 감염 확산을 막기 위해 사내 네트워크를 긴급 차단했다. 이 조치로 그룹 전반의 전산 시스템이 일시에 멈춰 섰다. 국내 대형 유통기업이 랜섬웨어로 마비된 대표적 사례로 기록됐다.

네트워크 차단으로 강남 NC백화점 등 일부 매장의 판매관리시스템(POS) 단말기가 작동을 멈췄다. 결제와 판매가 불가능해지면서 일부 점포는 긴급 휴점에 들어갔다. 오프라인 유통 매장은 POS가 마비되면 사실상 영업을 할 수 없는 구조여서 피해가 즉각적이었다. 주말 대목을 앞두고 매장 운영에 상당한 차질이 빚어졌다. 랜섬웨어가 기업 전산뿐 아니라 실물 영업까지 직접 타격한 사례로 주목받았다.

이랜드는 랜섬웨어 감염 사실을 밝히면서 고객 개인정보와 카드정보 유출은 없었다는 입장을 내놨다. 회사는 백업 데이터를 통해 시스템을 복구하고 있으며 몸값을 지불하지 않겠다는 방침을 세웠다. 관계 당국과 보안업체의 지원을 받아 감염 경로 조사와 복구 작업을 병행했다. 그러나 해커 조직의 주장과 회사 발표가 엇갈리면서 실제 유출 여부를 둘러싼 논란이 이어졌다. 감염 규모와 피해 범위를 놓고 초기부터 진실 공방이 벌어졌다.

클롭 랜섬웨어 갱단은 이랜드 네트워크를 약 1년 전부터 침해해왔다고 주장했다. 이들은 매장 POS 기기에 악성코드를 심어 1년간 신용카드 정보를 수집했다고 밝혔다. 탈취했다고 주장한 카드정보는 한국인 신용카드 트랙2 데이터 200만 건 규모였다. 조직은 정보를 공개하지 않는 대가로 4000만 달러, 한화 약 434억 원을 요구했다. 단순 시스템 암호화를 넘어 정보 탈취와 공개 협박을 병행하는 이중 갈취 수법이 드러났다.

이랜드가 몸값 지불을 거부하자 클롭 조직은 협상 결렬을 선언했다. 이들은 탈취했다고 주장한 신용카드 정보를 다크웹에 공개하기 시작했다. 1차로 10만 건의 카드정보가 공개되며 실제 유출 우려가 현실화됐다. 공개된 정보에는 카드번호 등 결제에 쓰일 수 있는 데이터가 포함된 것으로 알려졌다. 금융권과 이용자들은 부정사용 등 2차 피해 가능성에 긴장했다.

클롭 조직은 이후에도 10만 건씩 나눠 카드정보를 단계적으로 공개했다. 공개 횟수가 10차에 이르면서 유포된 카드정보는 총 100만 건에 달했다. 카드사와 금융당국은 부정사용 방지를 위한 모니터링을 강화하고 해당 카드의 재발급 등 대응에 나섰다. 이상거래탐지시스템(FDS)을 통해 의심 거래를 차단하는 조치가 이뤄졌다. 이 사건은 POS 악성코드를 통한 대규모 카드정보 탈취 위험을 국내에 각인시켰다.