데이터 유출하겠다 협박, 국내 항공 계열사도 당했다 

TA505, 전 세계 기업들 무차별적으로 공격

러시아 기반으로 추정되는 사이버 범죄 그룹 TA505가 다시 활동 범위를 넓히고 있습니다. 이들이 사용하는 Clop(CL0P) 랜섬웨어는 기업 환경에서 운영되는 서비스의 취약점을 악용해 데이터를 탈취한 뒤, 이를 공개하겠다고 협박하는 방식을 최근 주요한 전술로 사용하고 있습니다.

최근 Clop은 미국·자메이카·브라질의 11개 기업을 피해자로 게시했으며, 2025년 말, 국내 항공 관련 서비스 기업과 IT 솔루션 기업이 이들의 공격 대상이 되어 피해 사실이 공개되기도 했습니다. 현재 일부 사례에서는 유출 데이터가 공개되지 않았지만, 피해자 페이지가 생성된 것만으로도 기업은 이미 협상 압박을 받는 상황입니다.

TA505는 누구인가

TA505는 2014년부터 활동을 시작한 러시아 기반의 사이버 범죄 그룹입니다. 이 명칭은 미국 보안 기업 Proofpoint가 해당 위협 행위자를 Threat Actor 505로 분류하며 붙인 이름입니다. 이들은 Cl0p(CL0P) 랜섬웨어를 주요 공격 도구로 활용해 왔으며, 보안 업계에서는 상황에 따라 TA505와 Cl0p 명칭을 함께 사용하기도 합니다. TA505는 단순히 시스템을 파괴하는 데 그치지 않고, 철저히 수익을 목적으로 움직이는 기업형 범죄 조직의 면모를 보여줍니다. 초기에는 금융 정보를 탈취하는 악성코드를 주로 배포했으나, 점차 활동 영역을 넓혀 현재는 전 세계 다양한 산업군을 대상으로 랜섬웨어 공격을 주도하고 있습니다. 최근에는 기업 환경에서 널리 사용되는 엔터프라이즈 서비스의 취약점을 공략하는 전략을 중심으로 전술을 전환하였습니다.

뚫릴 때까지, 그리고 끝까지

TA505의 공격 방식은 매우 치밀하고 위협적입니다. 이들이 최근 활용하는 주요 전술은 다음과 같습니다.

■ 엔터프라이즈 서비스 취약점 악용

TA505는 기업 환경에서 널리 사용되는 서비스의 취약점을 집중적으로 공략합니다. 2024년 Cleo MFT 공격 이후 MOVEit, Oracle E-Business Suite 등의 취약점을 이용해 전 세계 기업의 데이터를 탈취한 사례가 보고되었습니다.

■ 데이터 탈취 후 공개 협박

최근 TA505는 데이터를 먼저 탈취한 뒤 이를 공개하겠다고 협박하는 방식을 주로 사용합니다. 탈취한 데이터는 DLS(Dedicated Leak Site), 즉 데이터 유출 전용 사이트에 공개될 수 있다는 위협을 통해 기업에 협상 압박을 가합니다.

국내 기업도 안전지대 아냐

최근 게시된 피해 기업을 보면, 부동산 개발, 건설, 제조, 법률 서비스, 호텔 운영, 심지어 사이버 보안 기업까지 포함되어 있습니다. 대한민국에서도 대한항공 C&D 서비스, IT 솔루션 기업 Newline이 피해자로 게시되었습니다. 이는 글로벌 캠페인이 특정 국가나 산업을 가리지 않고 확산되고 있음을 뜻합니다. 특히 보안 전문 기업마저 공격 대상에 포함시킨 점은 이들이 대상 선정에 거침이 없고, 대상 범위 또한 광범위함을 보여줍니다.

TA505 공격이 남기는 현실적인 위험

TA505의 공격은 단순 데이터 유출 피해로 끝나지 않습니다.

1. 업무 중단 

    침해 대응 과정에서 서비스 중단이나 업무 차질이 발생할 수 있습니다.

2. 데이터 공개 압박 

    협상에 응하지 않을 경우 탈취 데이터를 DLS에 공개합니다.

3. 평판 리스크

    유출 여부와 무관하게 ‘피해 기업’으로 공개되는 것 자체가 압박이 됩니다.

기업이 점검해야 할 보안 항목

기술이 발전할수록 범죄 조직의 공격 기법 또한 진화하고 있습니다. 우리 기업의 자산을 지키기 위해서는 '설마 우리까지?'라는 안일함보다는 '언제든 타겟이 될 수 있다'는 경각심이 필요한 때입니다.

1. 신속한 보안 패치

TA505는 기업 환경에서 널리 사용되는 엔터프라이즈 서비스의 취약점을 집중적으로 공략합니다. 운영체제(OS)와 엔드포인트에 국한하지 않고, 파일 전송 솔루션(MFT), ERP, 협업 도구 등 기업에서 도입하여 운영 중인 모든 소프트웨어와 서비스에 대한 취약점 점검 및 신속한 보안 패치 적용이 핵심 대응 방안입니다.

2. 이메일 보안 강화

피싱 메일을 통한 공격은 과거에 확인된 전술로, 최근에는 유의미한 사례가 확인되지 않고 있습니다. 다만 일반적인 보안 수칙으로서 출처가 불분명한 메일의 첨부파일이나 URL 클릭을 지양하고, 임직원 대상 보안 교육을 지속적으로 실시하는 것은 여전히 유효합니다.

3. 데이터 유출 모니터링

TA505는 파일을 암호화하지 않고 탈취한 데이터를 DLS(Dedicated Leak Site)에 공개하겠다고 협박하는 방식을 사용합니다. 백업만으로는 이 위협에 대응할 수 없으므로, 중요 데이터에 대한 접근 권한 최소화, 이상 징후 모니터링, 그리고 유출 데이터가 외부에 공개되더라도 내용을 확인할 수 없도록 암호화 처리를 병행해야 합니다.

취약점이 방치된 순간, 공격 경로로 이어져

TA505는 기술적으로 새로운 방식을 창조하기보다, 공개된 취약점과 관리되지 않는 시스템을 빠르게 악용하는 조직에 가깝습니다. 이들의 전략은 단순합니다. 패치가 늦은 기업을 찾고, 데이터를 확보한 뒤, 공개 협박을 통해 압박을 가합니다. 보안의 핵심은 완벽한 차단이 아닙니다. 취약점이 공개된 이후, 얼마나 빠르게 대응하느냐가 피해 규모를 좌우합니다. 랜섬웨어는 예고 없이 시작되고, 유입 경로를 차단하는 것이 최선의 방어입니다.