SGI서울보증 랜섬웨어 전산망 마비 사태

2025년 7월 14일 새벽 SGI서울보증이 랜섬웨어 공격을 받아 핵심 전산 시스템이 마비됐다. 이 공격으로 보증서 발급을 비롯한 주요 업무가 전면 중단됐다. SGI서울보증은 주택도시보증공사(HUG), 한국주택금융공사(HF)와 함께 3대 전세대출 보증기관으로 꼽혀 파장이 컸다. 전산망 마비로 은행권의 주택담보대출·전세대출 등 대출 업무에도 차질이 빚어졌다. 금융 인프라를 담당하는 보증기관이 랜섬웨어에 뚫리면서 사회적 충격이 컸다.

사고 이후 SGI서울보증이 정보보호 관리체계(ISMS) 인증조차 받지 않았다는 사실이 드러나며 비판이 쏟아졌다. 금융권 핵심 인프라를 다루는 기관치고는 보안 대비가 허술했다는 지적이 이어졌다. 언론은 '터질 게 터졌다'며 예견된 사고였다고 평가했다. 전문가들은 랜섬웨어 조직이 방어 체계가 약한 기관을 우선 표적으로 삼는다고 분석했다. 이 사건은 금융 공공기관의 보안 투자와 인증 의무화 논의를 촉발했다.

SGI서울보증은 7월 17일 보도자료를 통해 핵심 전산시스템을 복구하고 오전 10시부터 보증서 발급을 재개한다고 밝혔다. 사고 발생 사흘 만에 주요 업무가 정상화되기 시작한 것이다. 다만 완전한 시스템 안정화까지는 추가 시일이 필요했다. 회사는 고객 피해에 대해 전액 보상을 약속했으나 늦장 대응 논란도 함께 제기됐다. 전세대출 실수요자들은 업무 중단 기간 동안 대출 일정에 차질을 겪어야 했다.

공격 배후로는 2025년 4월 처음 등장한 신흥 랜섬웨어 조직 '건라(Gunra)'가 지목됐다. 건라는 일본·브라질·이집트 등지의 부동산·의료·정부기관을 공격해 대규모 데이터를 유출한 전력이 있다. 이 조직은 파일 암호화와 데이터 유출 협박을 결합한 '이중 협박(double extortion)' 전략을 구사한다. 감염 후 백신과 데이터베이스 관련 프로세스를 먼저 종료해 방어 체계를 무력화한 것으로 분석됐다. 암호화에는 ChaCha8과 RSA를 결합한 하이브리드 방식이 사용돼 단순 복호화가 불가능했다.

아랍에미리트(UAE) 기반 보안기업 핵마낙(Hackmanac)은 건라 조직이 SGI서울보증 공격의 배후라고 밝혔다. 이들은 건라가 13.2TB 규모의 오라클 데이터베이스를 확보했다고 주장했다. 이 데이터에는 고객의 민감한 개인·금융 정보가 포함됐을 가능성이 제기됐다. 보안 전문가들은 탈취 정보가 다크웹에 공개되며 협박에 이용될 수 있다고 경고했다. 개인정보 유출 우려가 커지면서 고객 불안도 함께 확산됐다.

8월 들어 건라 조직은 다크웹에 SGI서울보증의 핵심 데이터베이스 분석을 시작했으며 곧 전량을 공개하겠다고 예고했다. 조직은 '민감 정보를 갖고 있다'며 데이터 전량 공개를 압박했다. 이는 몸값을 받아내기 위한 전형적인 이중 협박 수법으로 분석됐다. SGI서울보증과 당국은 실제 유출 여부와 규모를 확인하기 위해 조사를 이어갔다. 협박 공개가 현실화될 경우 대규모 2차 피해가 우려되는 상황이 지속됐다.

SGI서울보증은 랜섬웨어 공격으로 전산망 마비 사태를 겪은 뒤 전산 인프라 전면 교체에 나섰다. 회사는 감염된 시스템을 재구축하고 보안 체계를 대폭 강화하겠다고 밝혔다. 정보보호 인증 취득과 관제 체계 고도화 등 근본적인 대응책도 검토됐다. 금융당국은 유사 기관에 대한 보안 점검을 확대하며 재발 방지를 주문했다. 이번 사태는 국내 금융 공공기관의 사이버 회복력 전반을 재점검하는 계기가 됐다.

SGI서울보증의 부실한 내부통제 실태가 2025년 9월 국정감사와 언론 보도를 통해 도마에 올랐다. 대규모 랜섬웨어 피해를 입은 금융기관임에도 정보보안 전담 인력이 단 4명에 불과했고, 일부 시스템 비밀번호가 '0000'으로 설정돼 있었던 것으로 드러났다. 앞서 최초 침투 경로는 외부에 노출된 SSL-VPN 장비의 SSH 포트를 겨냥한 무차별 대입 공격으로, 로그인 횟수 제한 장치조차 없었던 것으로 분석됐다. 정보보호 관리체계(ISMS) 인증도 받지 않은 상태였다. 13.2TB 데이터 탈취 협박까지 겹치며 보증보험 전업사의 허술한 보안 관리가 강하게 비판받았다.