아날로그디바이스, SEC에 침해 공시…유출 규모 미확정

미국 반도체 기업 아날로그디바이스(Analog Devices, ADI)가 수요일(현지시각) 미국 증권거래위원회(SEC)에 제출한 공시를 통해 시스템 무단 접근과 데이터 유출 사실을 공개했다. 회사는 6월 23일(현지시각) 일부 시스템에 대한 승인되지 않은 접근을 확인하고 즉시 사고 대응 절차를 가동했다고 밝혔다. 조사 과정에서 특정 파일들이 외부로 빠져나간 사실이 확인됐지만 유출 규모는 아직 파악되지 않았다. 회사는 이번 사건이 사업이나 재무 상태에 중대한 영향을 미치지 않을 것으로 예상한다고 설명했다. 눈에 띄는 점은 공시에 6월 사건과는 무관하다고 주장하는 별도의 사이버보안 사안이 7월 26일(현지시각) 추가로 언급됐다는 사실이다.

6월 23일 발견된 침해, 대응은 어떻게 이뤄졌나

매사추세츠에 본사를 둔 아날로그디바이스는 산업용 자동화, 자동차 시스템, 통신 인프라, 의료기기, 항공우주, 데이터센터 등에 쓰이는 아날로그·혼성신호·전력관리·디지털신호처리(DSP) 칩을 설계하고 생산하는 나스닥 상장사(티커 ADI)다. 회사에 따르면 6월 23일(현지시각) 특정 시스템에 대한 무단 접근을 식별한 직후 사고 대응 프로토콜을 가동하고 외부 사이버보안 전문가를 투입해 봉쇄와 조사 작업을 진행했다. 법 집행기관에도 사건을 알렸다.

조사 결과 공격자가 일부 파일을 탈취한 것으로 확인됐지만 회사는 어떤 종류의 정보가 유출됐는지에 대해서는 구체적으로 밝히지 않았다. 다만 유출된 데이터가 공개되거나 사기 목적으로 쓰였다는 정황은 현재까지 파악된 것이 없다고 강조했다. 사업 운영은 이번 사건으로 중단되지 않았으며, 영향을 받은 당사자와 규제기관에는 관련 통지를 진행할 예정이라고 덧붙였다.

7월 26일 등장한 또 다른 사안, 익스필스쿼드 의혹

아날로그디바이스는 공시에서 “별도로, 그리고 무관하게 7월 26일(현지시각) 이질적인 사이버보안 사안에 관한 공개 보고를 인지했으며 그 유효성과 범위, 잠재적 영향을 평가하고 있다”고 밝혔다. 이는 데이터 갈취를 전문으로 하는 신생 그룹 익스필스쿼드(ExfilSquad)가 아날로그디바이스 고객과 관련된 기록 57만여 건을 훔쳤다고 주장한 사건을 가리키는 것으로 보인다.

익스필스쿼드는 파일을 암호화하는 전형적인 랜섬웨어 방식을 쓰지 않고 데이터 탈취 자체에 특화된 조직으로, 유출 사이트에는 마이크로소프트와 애틀랜타·휴스턴 시, 영국 교육부(UK Department of Education) 등이 피해 대상으로 게시돼 있다. 보안업체 소크레이더(SOCRadar)는 분석을 통해 이 그룹의 주장 중 일부가 과장됐거나 조작된 것으로 보인다고 지적했다. 흥미로운 점은 기사 작성 시점 아날로그디바이스가 더 이상 이 그룹의 유출 사이트 명단에 올라 있지 않다는 사실이다. 위협 행위자들이 몸값 협상이 시작되면 명단에서 대상을 삭제하는 경우가 흔하다고 블리핑컴퓨터(BleepingComputer)는 전했다. 다만 익스필스쿼드의 침해와 SEC 공시에 담긴 6월 사건이 실제로 연관돼 있는지는 아직 확인되지 않았고, 익스필스쿼드 외에 다른 랜섬웨어·데이터 갈취 조직이 아날로그디바이스를 공격했다고 주장한 사례는 없다.

반도체 업계 전반을 흔드는 사이버 공격

아날로그디바이스는 시가총액이 1,780억 달러를 넘는 대형 반도체 기업으로 데이터 변환과 신호처리용 칩·회로 분야의 주요 사업자로 꼽힌다. 매출 규모는 매체별로 다소 차이가 있는데, 블리핑컴퓨터는 2025년 매출을 110억 달러 이상으로, 시큐리티위크(securityweek.com)는 연매출을 120억 달러 규모로 각각 전했다. 직원 수 역시 시큐리티위크 기준 약 2만4000명, 블리핑컴퓨터 기준 약 2만4500명으로 집계돼 세계 최대 아날로그 반도체 공급업체 중 한 곳으로 꼽힌다.

더레코드(The Record)에 따르면 최근 몇 년간 전 세계 반도체 기업들이 랜섬웨어 공격과 사이버 스파이 활동의 표적이 되어왔다. 마이크로칩 테크놀로지(Microchip Technology)는 2024년 플레이(Play) 랜섬웨어 갱단의 공격을 받았고, 어플라이드 머티리얼즈(Applied Materials)는 2023년 공격을 당했다. 캘리포니아에 본사를 둔 반도체 테스트 기업 트리오테크 인터내셔널(Trio-Tech International)은 3월 싱가포르 자회사에 대한 랜섬웨어 공격을 보고했으며, 대만의 폭스콘(Foxconn)도 5월 사이버공격으로 여러 미국 공장의 생산에 차질을 겪었다.

소송 움직임과 남은 과제

피해 가능성이 제기되자 일부 로펌은 아날로그디바이스 데이터 유출 피해자를 찾아 집단소송(class action) 제기 여부를 검토하기 시작했다. 클래스액션.org(classaction.org)는 자신의 정보가 유출됐을 가능성이 있는 사람들에게 조사 참여를 요청하는 안내를 게재했으며, 참여에 비용은 들지 않는다고 밝혔다.

아날로그디바이스는 아직 6월 침해의 정확한 유출 범위를 공개하지 않았고, 7월 사안과의 연관성도 확정되지 않은 상태다. 회사가 조사를 이어가는 가운데 유출 정보의 실체와 익스필스쿼드 주장의 진위가 향후 공시나 추가 보도를 통해 드러날지가 관전 포인트로 남아 있다.