쉘, 클롭 랜섬웨어 89GB 데이터 탈취 주장에 조사 착수…PTC 제로데이가 발단

에너지 대기업 쉘(Shell)이 랜섬웨어 조직 클롭(Cl0p)의 데이터 탈취 주장에 대한 조사에 착수했다. 클롭은 다크웹 유출 사이트에 쉘을 포함한 업체 명단을 올리고 약 89기가바이트(GB) 규모의 쉘 내부 데이터를 훔쳤다고 주장했다. 유출됐다고 주장하는 자료에는 엔지니어링 도면, 시설 사진, 프로젝트 계획서, 시험 보고서 등이 포함돼 있다. 같은 명단에는 필립스(Philips), 제너럴일렉트릭(GE), 피서브(Fiserv) 등 산업계 대기업이 함께 올라 있으며, 전체 피해 기업 수는 최대 50곳에 이른다는 보도가 나온다. 이번 사태는 산업용 소프트웨어 기업 PTC의 제품관리 소프트웨어 윈드칠(Windchill)과 플렉스PLM(FlexPLM)에서 발견된 제로데이 취약점이 발단이 됐다.

클롭의 다크웹 공개와 쉘의 대응

쉘은 8월 14일(현지시각) 블리핑컴퓨터(BleepingComputer)에 “잠재적 사고를 인지하고 있다. 보안팀과 관련 전문가들과 협력해 조사하고 있다”고 밝혔다. 이후 로이터를 인용한 보도에서도 쉘은 최근 “가능성 있는 사고”를 인지하고 있다며 “우리는 보안팀과 관련 전문가들과 함께 상황을 조사하고 있다”는 동일한 취지의 입장을 반복했다.

쉘은 세계 3대 석유·가스 기업 중 하나로, 직원 8만5000명이 70개국 이상에서 근무하는 것으로 알려졌다. 클롭은 다크웹 게시글에서 엔지니어링 도면과 시설 사진, 스캔된 시험 보고서, 프로젝트 계획서 등 약 89GB의 자료를 탈취했다고 주장했지만, 쉘은 해당 정보가 실제로 유출됐는지는 확인하지 않았다. 정유·시추 설비나 핵심 IT 인프라의 운영 차질은 아직 확인되지 않았다.

필립스·GE·피서브까지…최대 50곳으로 번진 피해 주장

클롭은 자체 운영하는 사이트에 세계 각국의 기업 약 50곳에서 대량의 데이터를 훔쳤다고 주장했다. 다만 테크타임스(techtimes.com)는 이번 캠페인의 피해 기업을 43곳으로 집계해, 매체에 따라 피해 규모 집계가 엇갈리고 있다. 클롭의 주장 자체도 독립적으로 검증되지 않은 상태다.

필립스는 클롭의 공격 대상이 됐다는 사실을 인정했다. 다만 “내부 정보와 관련된 특정 엔터프라이즈 서버”에 대한 공격 시도였으며, 이를 식별해 조치했고 고객 환경은 영향을 받지 않았다고 밝혔다. 클롭은 필립스에서 약 13.5GB의 데이터를 훔쳤다고 주장했으며, 여기에는 PDF 도면과 다이어그램, 청사진 등이 포함됐다고 주장했다. 필립스는 이 같은 유출 내용의 진위를 확인하지 않았다.

GE는 클롭의 주장을 인지하고 있다며 “사이버 대응 절차를 개시해 잠재적 문제를 평가하고 있다”고 밝혔다. 금융기술 기업 피서브는 클롭의 주장을 인지하고 있지만 “현재까지의 포괄적 검토 결과” 고객·금융·거래·개인 데이터가 유출됐거나 운영 환경이 영향을 받았다는 증거를 발견하지 못했다고 밝혔다.

랜섬-ISAC(Ransom-ISAC)의 보안권고문 작성자인 애센트솔루션스(Ascent Solutions)의 브랜던 파슨스(Brandon Parsons) 위협정보 매니저는 로이터에 일부 기업이 7월 19일 또는 20일(현지시각)부터 클롭의 통보를 받기 시작했다고 밝혔다. 그는 클롭을 “전문적인 데이터 갈취 조직”이라고 표현하며 “이들은 특정 기업을 노리는 게 아니라 특정 제로데이 취약점을 노리고 이를 파고든다”고 설명했다.

어떻게 뚫렸나…PTC 윈드칠 제로데이 공격 체인

이번 캠페인의 핵심은 PTC 윈드칠 PDMLink와 플렉스PLM에 존재하는 역직렬화(deserialization) 취약점 CVE-2026-12569다. 미국 국가취약점데이터베이스(NVD)는 이 취약점에 CVSS v3.1 기준 10점 만점에 9.8점을 부여했다. 인증 절차 없이, 사용자의 클릭 유도 없이도 네트워크 접근 권한만 있으면 공격이 가능한 수준의 위험도다.

랜섬-ISAC은 이크라임(eCrime.ch), 디퓨즈드(DEFUSED)와 함께 7월 22일(현지시각) 공동 위협 권고문을 발표하며, 클롭 계열 공격자들이 이 취약점을 플렉스PLM의 WSDL(웹서비스 기술 언어) 엔드포인트에 존재하는 인증 전 정보노출 취약점(CVSS 7.5)과 결합해 사용했다고 밝혔다. 공격자들은 /Windchill/rfa/jsp/login/*.jsp?wsdl 경로에 GET 요청을 보내 약 4,045바이트 크기의 응답을 받는 방식으로 정찰을 수행한 뒤 역직렬화 취약점을 실행했다. 이후 /Windchill/login/ 경로 아래에 [0-9a-f]{16}.jsp나 dpr_<8자리 16진수>.jsp 형태의 이름을 가진 JSP 웹셸을 심었고, flst.txt라는 파일로 대상 시스템의 파일 목록을 수집했다. 악성 HTTP 헤더 X-windchill-req: ?x8Fmgow는 침해 여부를 확인할 수 있는 흔적으로 지목됐다.

보안업체 릴라이퀘스트(ReliaQuest)는 이번 캠페인을 독자적으로 확인했으며, 공격 후 행동 양상이 클롭이 2025년 오라클 E-비즈니스 스위트를 노렸던 캠페인과 동일한 패턴이라고 밝혔다. 널리 쓰이는 기업용 플랫폼을 골라 최대한 많은 노출 인스턴스를 공격하고, 데이터를 준비해 빼낸 뒤 금품을 요구하는 방식이다.

랜섬-ISAC은 클롭 계열이 6월 초(현지시각)부터 이미 CVE-2026-12569를 제로데이로 악용하고 있었다고 높은 확신 수준으로 평가했다. PTC가 보안 패치 배포를 시작한 것은 6월 17일(현지시각)로, 취약점이 공개적으로 알려진 날이기도 하다. 8일 뒤인 6월 25일(현지시각) 미국 사이버보안·인프라보안국(CISA)은 이 취약점을 알려진 악용 취약점(KEV) 카탈로그에 등재하고, 연방기관에 3일 안에 윈드칠·플렉스PLM 인스턴스를 보호하도록 명령했다. 독일 연방정보보안청(BSI)도 PTC 고객들에게 심야 시간에 전화와 이메일로 즉각적인 패치를 촉구할 만큼 사안을 심각하게 받아들였다.

클롭은 7월 20일(현지시각) 무렵부터 “윈드칠 PDMLink 모듈 심각한 데이터 유출”이라는 제목의 협박 이메일을 무작위로 탈취한 외부 계정을 통해 표적 기업 내부 수백 명 직원에게 발송하기 시작했다. 이 시점 이미 침해는 6주 이상 진행된 상태였다는 뜻이다. 8월 14일(현지시각) 기준 랜섬-ISAC은 진행 중인 사고 대응 과정에서 명령·제어(C2) IP 주소 79.141.160.78을 관측했다고 밝혔다. 최소 한 피해 기업의 환경이 여전히 공격자 통제 아래 있다는 의미다.

클롭의 전략과 산업계에 던지는 경고

클롭은 2019년부터 활동해온 조직으로, 지금까지 피해자들로부터 약 5억 달러(1달러 1,415원 기준 약 7,075억 원)를 갈취한 것으로 추정된다. 이 조직은 매니지드 파일 전송 플랫폼인 무브잇 트랜스퍼(MOVEit Transfer)와 아셀리언 FTA(Accellion FTA)를 겨냥한 제로데이 공급망 공격으로 전 세계 수백 개 조직을 침해한 전력이 있다. 파일을 암호화해 몸값을 요구하는 전통적 방식보다는, 맞춤형 웹셸로 구조화된 데이터베이스와 파일을 빼낸 뒤 공개하지 않는 조건으로 수백만 달러 단위의 몸값을 요구하는 순수 갈취 방식을 주로 쓴다. 시스템은 정상적으로 작동하는데 데이터는 이미 빠져나간 상태이기 때문에 기업이 초기 대응 단계에서 혼란을 겪기 쉽다.

PTC 윈드칠과 플렉스PLM은 전 세계 3만여 곳에서 사용되는 것으로 알려졌으며, 항공우주·국방·자동차·에너지·의료기기 산업 기업들이 제품 개발의 단일 진실 공급원(single source of truth)으로 쓰는 소프트웨어다. 이 시스템에는 엔지니어링 청사진, 자재명세서(BOM), 제조 공정 문서, 협력사 규격, 부품 허용오차, 시설 시험 보고서, 규제 제출 자료 등 수년에서 수십 년치 데이터가 쌓여 있다. 개인정보 유출과 달리 신용조회 서비스나 통지로 피해를 완화할 수 없는 성격의 자산인 셈이다.

업계에서는 2024년 미국 최대 헬스케어 데이터 유출로 꼽히는 체인지 헬스케어(Change Healthcare) 사건을 유사 사례로 거론한다. 당시 개인 1억9200만 명 이상의 정보가 유출됐고, 모기업 유나이티드헬스그룹은 2,200만 달러(약 311억 원)의 몸값을 지불했지만 시스템 장애는 지불 이후에도 계속됐다. 보안 전문가들은 PTC 윈드칠·플렉스PLM을 쓰는 기업이라면 패치 여부와 별개로 6월 초 이후 침해 흔적이 있는지 즉시 점검해야 한다고 권고하고 있다.