킬린 랜섬웨어 '코리안 리크스' 캠페인, MSP 지제이텍 해킹發 국내 자산운용사 연쇄 유출 사태

국제 랜섬웨어 서비스형(RaaS) 조직 '킬린(Qilin)'이 한국 금융권을 겨냥한 공격을 8월 17일 처음 개시한 것으로 파악됐다. 킬린은 2022년 5월부터 활동해 온 조직으로, 이후 록빗 등과 함께 세계 최악의 랜섬웨어 그룹으로 꼽히게 된다. 보안업계는 이 초기 공격이 이후 국내 자산운용업계 전반을 뒤흔든 대규모 공급망 공격의 서막이었다고 분석했다. 당시에는 개별 사고로 여겨졌으나, 한 달 뒤 전산관리업체 침해가 확인되며 조직적 캠페인의 일부였음이 드러났다. 이 공격은 이후 '코리안 리크스'로 명명되는 캠페인의 출발점이 됐다.

국내 자산운용사·금융사에 전산설비 서비스를 제공하는 관리형서비스제공업체(MSP) 지제이텍의 클라우드 서버가 킬린에 의해 해킹된 사실이 9월 8일 확인됐다. 보안 전문가들은 킬린 제휴 해커가 다수 고객사에 원격 접근 권한을 가진 MSP를 침해해 한 번에 여러 금융사를 동시다발적으로 공격하는 공급망 공격 수법을 사용한 것으로 분석했다. 이는 개별 기업 보안이 아무리 견고해도 외주 IT업체 한 곳이 뚫리면 연쇄 피해가 불가피하다는 점을 보여준 사례로 꼽힌다. 지제이텍 고객사인 다수의 중소형 자산운용사가 이 침해로 직접적인 피해를 입었다. 이 사건은 이후 한 달여간 이어질 릴레이식 피해 발표의 진원지가 됐다.

지제이텍 침해 이후 9월 15일 10곳, 18일 3곳, 19일 5곳 등 자산운용사 총 19곳이 잇따라 킬린 랜섬웨어 피해를 입은 것으로 집계됐다. 유출된 자료에는 증권사명, 개인 계좌번호, HTS 접속 ID·비밀번호, 고객확인서식, 주민등록증 사본 등 민감한 개인정보가 다수 포함된 것으로 확인됐다. 서울경찰청 사이버수사대는 다크웹에 유통된 이 계좌 정보를 악용해 고액 자산가의 계좌에 무단 접속, 자금을 빼내려 한 별도 조직을 적발해 검거하기도 했다. 이는 랜섬웨어 유출 정보가 2차 금융범죄로 즉시 이어질 수 있다는 위험성을 여실히 보여준 사례였다. 피해 규모는 이후에도 계속 늘어나며 업계 전반의 불안감을 키웠다.

지제이텍 해킹으로 인한 피해 자산운용사가 20곳으로 늘어난 것으로 집계됐다. 킬린은 다크웹에 세무서류, 임직원 정보뿐 아니라 투자자 개인정보까지 확보했다고 주장했다. 어썸자산운용, 마제스티자산운용, 벤코어인베스트먼츠자산운용 등 피해 기관들이 잇달아 공식 입장을 내고 금융당국과 한국인터넷진흥원(KISA)에 침해 사실을 보고했다. 금융당국은 금융소비자 피해로 직결될 수 있는 개인 신용정보의 직접 유출은 확인되지 않았다고 판단했다. 그러나 업계에서는 중소형 운용사들이 보안 투자 여력 부족으로 MSP 의존도가 높아 반복 피해에 취약하다는 지적이 이어졌다.

일임규모 약 1조6000억원 규모의 토러스자산운용이 킬린의 다크웹 게시물에 언급되며 피해 기관 명단에 이름을 올렸다. 토러스자산운용은 개인정보 피해 사례가 없어 개인정보보호위원회에는 별도로 신고하지 않았지만, 해킹 침해 우려에 따라 KISA에는 관련 신고를 접수했다고 밝혔다. 개인정보보호위원회는 이 시점까지 토러스를 포함해 10여 곳의 자산운용사로부터 침해 신고를 접수하고 조사에 착수한 상태였다. 각 피해사는 저마다 실제 개인정보 유출 여부를 놓고 엇갈린 해명을 내놓으며 혼란이 가중됐다. 이는 하나의 MSP 침해가 얼마나 광범위하고 복잡한 파급효과를 낳는지 보여준 사례로 꼽힌다.

킬린은 다크웹 사이트에 AIP자산운용의 내부 데이터를 탈취했다고 새롭게 주장하며 피해 기관을 추가했다. 이들은 AIP자산운용의 포트폴리오에 세계 각지의 고가 부동산이 포함돼 있다며 회사 내부 문서와 부동산 임대·매매 가격 보고서, 투자자 개인정보를 공개했다고 밝혔다. 킬린은 구체적 유출 규모는 공개하지 않았지만 샘플 사진 8장을 게시하며 위협 수위를 유지했다. 이로써 킬린이 주장하는 국내 자산운용사 피해 대상은 누적 29곳으로 늘어났다. 피해 기업이 한 달 넘게 지속적으로 늘어나면서 업계는 이번 사태가 장기화할 조짐을 보인다고 우려했다.

전자신문 보도에 따르면 2025년 한 해 동안 킬린이 공격한 한국 기업은 34곳에 달하는 것으로 파악됐다. 자산운용사 30곳의 내부자료 탈취를 주장했고, 이후 발전설비 제조사 등으로도 공격 대상을 넓혀가고 있는 것으로 확인됐다. 보안 전문가들은 킬린이 록빗, 드래곤포스와 기술·인프라·전술을 공유하는 전략적 동맹을 맺으며 공격을 카르텔화·고도화하고 있다고 분석했다. 한국인터넷진흥원(KISA)은 외부 접속 관리 강화, 계정·백업 관리 강화, 이메일 보안, 중요 데이터의 3-2-1 백업 원칙 준수 등을 예방 수칙으로 권고했다. 이는 단일 조직이 아닌 랜섬웨어 생태계 전체가 한국 금융권을 표적으로 삼고 있음을 보여주는 경고로 받아들여졌다.

디지털데일리는 킬린이 여전히 한국 금융사를 겨냥한 협박을 멈추지 않고 있다고 보도했다. 자산운용사들은 이미 확산된 피해에 더해 언제 추가 공개가 이뤄질지 모른다는 불안 속에 대응책 마련에 부심했다. 보안업계는 한국 금융권이 상대적으로 소규모 MSP에 IT 인프라를 위탁하는 구조가 많아 반복 공격에 취약한 환경이라고 지적했다. 일부 피해사는 다크웹 게시물 삭제나 협상을 시도했지만 뚜렷한 해결책을 찾지 못한 것으로 알려졌다. 이 시점까지도 사건은 완전히 종결되지 않은 채 장기 표류하는 양상을 보였다.

보안뉴스는 킬린이 이번 한국 금융권 공격 캠페인을 자체적으로 '코리안 리크스(Korean Leaks)'로 명명했다고 보도했다. 킬린은 세 차례에 걸쳐 한국을 공략했으며, 피해 33곳 가운데 28곳의 데이터를 다크웹 포럼에 실제로 공개해 100만 건 이상의 파일과 2테라바이트 이상의 정보가 유출된 것으로 집계됐다. 보안업계는 이 캠페인이 대형 랜섬웨어 서비스형 플랫폼 킬린과 북한 국가연계 해킹조직으로 알려진 '문스톤슬리트'의 개입 가능성이 결합된 하이브리드 작전일 수 있다고 분석했다. 문스톤슬리트가 2024년 초에도 킬린 랜섬웨어를 배포한 사례가 관측된 바 있어 이 같은 의혹에 무게가 실렸다. 이로써 사건은 단순 금전 목적의 사이버범죄를 넘어 국가 배후 위협까지 거론되는 안보 사안으로 확대됐다.