코카콜라 페어라이프 해킹, 몸값 시한 끝나자 탈취 데이터 1TB 그대로 공개됐다

코카콜라가 유제품 자회사 페어라이프(Fairlife)를 겨냥한 랜섬웨어 공격으로 실제 데이터가 유출됐다고 공식 확인했다. 코카콜라는 지난 16일(현지시각) 사이버보안 사고로 페어라이프 미국 생산시설의 가동을 중단했다고 처음 밝힌 바 있다. 이후 랜섬웨어 조직 아누비스(Anubis)가 20일(현지시각) 자신들의 유출 사이트에 코카콜라와 페어라이프를 등록하며 1테라바이트(TB) 규모의 기밀 데이터를 탈취했다고 주장했다. 코카콜라는 뒤이어 낸 성명에서 “특정 데이터의 탈취”가 있었다고 확인했지만 구체적으로 어떤 정보가 새어나갔는지는 밝히지 않았다.

사건 타임라인, 생산 중단에서 데이터 유출 확인까지

코카콜라는 7월 16일(현지시각) 미국 증권거래위원회(SEC) 신고를 통해 페어라이프 시스템에 대한 제3자의 무단 접근 사실을 공개하며 랜섬웨어 공격이라고 규정했다. 이 사고로 미국 내 페어라이프 생산시설의 가동이 일시 중단됐다. 며칠 뒤인 20일(현지시각) 아누비스 랜섬웨어 조직이 자신들의 다크웹 유출 사이트에 코카콜라와 페어라이프를 등록했다. 이는 압축된 시스템 파일을 암호화하고 1TB에 달하는 기밀 데이터를 탈취했다는 주장이었다.

코카콜라는 이후 낸 성명에서 “특정 데이터의 탈취”가 있었다는 사실을 처음으로 인정했다. 다만 유출된 데이터의 종류나 규모에 대해서는 추가 정보를 공개하지 않았다. 시큐리티위크(SecurityWeek)는 보도 당시 아누비스 사이트에 설정된 타이머가 두 시간 후 몸값을 지불하지 않으면 탈취 데이터를 공개하겠다고 예고하고 있었다고 전했다. 실제로 블리핑컴퓨터(BleepingComputer)에 따르면 이 타이머는 이후 만료됐고 탈취 데이터는 현재 다운로드가 가능한 상태로 공개됐다. 시큐리티위크는 갈취 조직이 협상력을 높이기 위해 탈취 데이터의 중요성을 과장하는 경우가 드물지 않다고 덧붙이며, 실제 유출 데이터의 성격은 여전히 불분명하다고 지적했다.

아누비스 랜섬웨어의 정체, 이중 갈취에 와이퍼 모드까지

아누비스는 2024년 12월부터 활동해온 랜섬웨어 조직으로 자신들의 유출 사이트에 약 100곳의 피해 조직을 등록해왔다고 시큐리티위크가 전했다. 이 조직은 시스템 파일을 암호화하는 동시에 중요 데이터를 유출해 압박하는 이중 갈취(double extortion) 방식을 사용한다. 특히 피해자의 파일을 영구적으로 삭제해 복구 자체를 불가능하게 만드는 ‘와이퍼 모드(wiper mode)’ 기능이 보안업계의 주목을 받았다.

블리핑컴퓨터가 접촉한 공격 조직 관계자는 페어라이프의 뉴타닉스(Nutanix) 시스템을 암호화했으며 복구가 불가능한 상태라고 주장했다. 코카콜라는 침해 사실을 파악한 즉시 관계 당국에 신고했고 공격자가 요구한 협상 지시를 따르지 않았다고 블리핑컴퓨터는 전했다. 블리핑컴퓨터는 이번 공격 관련 사실 확인을 위해 코카콜라에 두 차례 연락했으나 회사 측 대변인은 논평을 거부했다.

美 공장 4곳 생산은 정상화, 하지만 재무 영향은 여전히 불확실

코카콜라는 성명에서 미국 내 페어라이프 생산시설 4곳의 생산 대부분을 정상화했다고 밝혔다. CBS 뉴스는 코카콜라가 “상당한 진전”을 이뤘다고 표현했다고 전했다. 코카콜라는 “기존 재고가 있어 페어라이프 제품의 소매 유통은 큰 영향을 받지 않았다”며 “제품 품질과 안전성에도 문제가 없었다”고 강조했다. 이어 “현재까지 확인된 정보를 기준으로 이번 사고가 회사의 재무 상태나 영업 실적에 중대한 영향을 미쳤거나 미칠 가능성은 낮다고 판단한다”고 밝혔다.

페어라이프는 초고압착 필터링 우유와 프로틴 셰이크 등을 생산하는 브랜드다. CBS 뉴스에 따르면 코카콜라는 2020년 셀렉트밀크프로듀서스(Select Milk Producers)로부터 페어라이프의 나머지 지분을 약 70억 달러에 인수했다. 코카콜라에 따르면 페어라이프의 연간 매출은 30억 달러를 넘어선다고 CBS 뉴스는 전했다. 블리핑컴퓨터는 별도로 페어라이프가 미국 내 4개 생산시설을 운영하며 연간 소매 매출이 10억 달러를 넘는다고 보도했다.

식음료 업계 전반에 커지는 사이버 위협

푸드내비게이터(FoodNavigator)는 이번 사고가 생산 운영기술(OT)과 디지털 네트워크의 연결이 갈수록 늘어나는 식음료 제조업체들에 사이버 위협이 커지고 있음을 보여준다고 지적했다. 짧은 기간의 시스템 다운타임만으로도 생산 일정과 공급망, 제품 유통이 연쇄적으로 흔들릴 수 있다는 것이다. 코카콜라 측은 탈취 데이터나 몸값 요구 여부에 대해 여전히 구체적인 내용을 공개하지 않고 있다. 사고 발생 이후에도 소비자·직원·공급업체 정보가 포함됐는지 여부는 확인되지 않은 상태다.

이번 사고는 대형 소비재 기업이라 하더라도 랜섬웨어 조직의 표적에서 자유롭지 않다는 점을 다시 확인시켰다. 아누비스 같은 조직이 암호화와 데이터 탈취, 여기에 영구 삭제 위협까지 결합한 다중 압박 전략을 구사하는 만큼 기업들의 대응 부담은 더 커질 전망이다. 코카콜라가 생산 정상화에는 성공했지만 유출 데이터의 실체와 파급 범위를 둘러싼 불확실성은 여전히 남아 있다.