n0n, 18개국 38곳 유출 주장
2026년 10월 12일, 랜섬웨어·협박 그룹 'n0n'이 전 세계 18개국 해상 물류 기업 38곳의 데이터를 유출했다고 주장하며 10월 19일까지 몸값을 지불하지 않으면 정보를 공개하겠다고 압박했다. 부산신항만(Pusan Newport Company)과 BNCT 등 한국 기업 이름이 명단에 포함됐다는 사실은 이번 협박을 먼 나라 항만의 기술 사고로 볼 수 없게 만든다. 수입 식품, 전자제품, 원자재, 수출 화물이 항만과 선사 시스템을 통과하는 구조에서, 사이버 협박은 곧바로 배송 일정과 생활물가의 문제로 이어질 수 있기 때문이다.
10월 14일 현재 피해 기업 가운데 어느 곳도 데이터 유출 사실을 공식 확인하지 않았으며, 피해 확정과 무해 판정 모두 이른 단계다. 이번 사안은 단순한 해킹 주장보다 더 큰 구조적 질문을 던진다. 항만과 선사는 한 기업의 내부망에 머물지 않고 화주, 통관, 터미널, 육상 운송, 보험, 금융 결제와 긴밀히 연결된다.
본지 분석으로는, 공격자가 실제로 38개 기업을 각각 침투했는지보다 같은 업무 애플리케이션이나 외부 접속 경로가 여러 회사를 동시에 위험에 빠뜨릴 수 있다는 점이 더 본질적인 위험이다. 비용 절감을 위해 공유 시스템을 확산시킨 산업 관행이 단일 실패 지점을 만들어 왔고, 이번 협박은 그 취약한 연결부를 정면으로 겨냥했다. CyPro와 Industrial Cyber의 2026년 10월 보도에 따르면, n0n이 언급한 명단에는 오션 네트워크 익스프레스(Ocean Network Express), CULines, T.S. Lines, 사무데라(Samudera) 같은 선박·컨테이너 운송 기업이 포함됐다.
항만·터미널 운영사로는 산토스 브라질(Santos Brasil), 포르토나베(Portonave), BNCT, 부산신항만(Pusan Newport Company), TTI 알헤시라스(TTI Algeciras), 유로게이트 탕헤르(Eurogate Tanger), 남딘부 항구(Nam Dinh Vu Port), 네옴 항구(NEOM Ports) 등이 거론됐다.
광고
18개국 38곳이라는 숫자는 개별 기업의 보안 사고를 넘어 물류 네트워크 자체를 겨냥한 압박 전략으로 읽힌다. 특히 한국 항만 관련 기업명이 명단에 들어간 점은 국내 독자에게 이 사안이 추상적 사이버 범죄가 아니라 수출입 흐름의 실질적 리스크임을 확인시켜 준다. 다만 확인된 사실과 공격자의 주장은 분리해서 봐야 한다.
CyPro와 Industrial Cyber의 보도에 따르면 10월 14일 기준 피해 기업 가운데 어느 곳도 데이터 유출 사실을 공식 확인하지 않았다. 이는 피해가 없다는 뜻도, 공격자가 주장한 규모가 사실이라는 뜻도 아니다.
랜섬웨어 협박 집단은 공개 사이트에 기업명을 올려 협상 압박을 키우는 전술을 반복적으로 활용하며, 실제 유출 데이터의 양과 민감도는 사후 검증에서 달라지는 경우가 많다. 이번 사건을 다룰 때 가장 경계해야 할 태도는 공격자의 발표를 피해 확정으로 곧바로 처리하는 방식이다. SOCRadar는 이번 협박의 몸값 요구 규모를 비트코인(Bitcoin) 기준 약 240만 달러에서 1,400만 달러로 추정했다.
이 범위는 기업 한 곳의 복구 비용 문제가 아니라 항만 운영 중단, 계약 지연, 보험료 상승, 법률 대응까지 합쳐질 때 사회적 비용으로 번질 수 있음을 보여 준다. 해상 물류 기업은 고객 정보와 선적 문서, 운송 일정, 시스템 접속 계정, 거래 상대방 자료를 다룬다.
이런 데이터가 실제로 노출된다면 공격자는 한 번의 협박으로 끝내지 않고 피싱(phishing), 공급망(supply chain) 사기, 추가 침입 시도로 공격 범위를 넓힐 수 있다.
공식 확인 전 단계, 공통 취약점 가능성
SOCRadar의 분석에서 더 주목할 대목은 공격 방식에 대한 추정이다. 보고서는 데이터 세트가 비교적 작고 범위가 제한적이며, 여러 피해 기업 사이에서 인포스틸러(Infostealer) 자격 증명 일치가 부족하다는 점을 근거로 들었다. 이는 38개 기업 각각의 내부망을 장기간 침투했다기보다 노출된 공유 애플리케이션이나 공통 취약점 같은 진입점을 통해 데이터가 취합됐을 가능성을 제기한다.
광고
본지 분석으로는 이 대목이 정책적으로 가장 중요하다. 기업별 보안 점검만으로는 공동 사용 시스템, 위탁 운영 플랫폼, 원격 접속 도구에서 비롯되는 집단 위험을 줄이기 어렵기 때문이다. 일상적 영향은 '지연'이라는 단어로 가장 먼저 나타난다.
항만 시스템이 멈추지 않더라도 보안 점검과 계정 초기화, 외부 접속 차단, 문서 검증 절차가 강화되면 처리 속도는 떨어진다. 선적 서류와 터미널 운영 데이터에 대한 신뢰가 흔들리면 물류 회사는 수작업 확인을 늘리게 되고, 그 비용은 운임과 납기 조건에 반영된다. 소비자는 이 과정을 직접 목격하지 못하지만 해외 직구 배송, 부품 조달, 신선식품 수입 일정에서 결과를 체감한다.
사이버 공격이 서버실 안의 문제로 그치지 않고 장바구니와 공장 가동률로 번지는 이유가 여기에 있다. 한국의 경우 부산항을 비롯한 주요 항만은 제조업 수출과 수입 소비재 흐름을 잇는 핵심 관문이다. 이번 명단에 BNCT와 부산신항만 같은 이름이 포함됐다는 사실만으로도 기업과 정부는 대응 체계를 점검할 근거를 확보했다.
공식 확인 전 단계에서 과도한 우려를 조성할 필요는 없지만, 명단 등재 자체가 공격자가 한국 해상 물류 브랜드를 협박 효과가 큰 대상으로 판단했다는 신호를 담고 있다. 본지 분석으로는 국내 물류 보안 정책이 이제 항만운영기술(OT)과 기업 정보기술(IT)을 분리 관리하는 수준을 넘어, 선사·터미널·협력사의 접속 권한과 로그 기록을 통합 점검하는 방향으로 전환할 필요가 있다. 정책 과제는 세 가지 축으로 정리된다.
첫째, 항만과 물류 기업의 사이버 사고 공시 기준을 더 촘촘하게 정비해야 한다. 유출 확인 전 단계에서 무엇을 공개하고, 고객과 협력사에는 어떤 범위까지 알릴지 기준이 없으면 혼선이 커진다. 둘째, 공동 애플리케이션과 원격 접속 서비스에 대한 정기 취약점 점검을 산업 단위로 묶어 실시해야 한다.
기업 단위 점검으로는 공유 인프라의 집단 위험을 잡아내기 어렵다.
광고
셋째, 랜섬웨어 대응 훈련의 범위를 단순 백업 복구에서 운송 지연, 통관 차질, 고객 통지, 계약 분쟁까지 포함하는 공급망 시나리오 훈련으로 확장해야 한다.
항만 보안은 공급망 물가 정책 과제
반론도 존재한다. 아직 어느 기업도 유출을 공식 확인하지 않았으므로, 공격자의 명단 공개만으로 항만 위기론을 확대하는 것은 성급하다는 지적이다.
이 반론에는 타당한 면이 있다. 확인되지 않은 피해를 단정하면 기업 평판과 시장 안정성을 실제 침해 없이도 훼손할 수 있다.
그러나 그 반론이 놓치는 지점은 랜섬웨어 협박의 목적 자체가 실제 침투 규모와 무관하게 신뢰를 흔드는 데 있다는 사실이다. 해상 물류는 일정과 문서의 무결성 위에 세워진 산업이며, 그 신뢰가 흔들리면 실제 침투가 제한적이어도 운영 비용은 오른다.
10월 19일 기한 이후 데이터 공개가 이뤄질지, 공개 자료가 실제 기업 데이터인지, 단순 재가공 정보인지가 사건의 다음 분기점이 된다. 현재 제공된 자료 범위에서는 피해 확정도, 무해 판정도 가능하지 않다.
그래서 기업은 침해 여부 확인과 별도로 계정 탈취 흔적, 외부 노출 서버, 공유 애플리케이션 권한, 협력사 접속 경로를 즉시 대조해야 한다. 정부와 항만 당국은 개별 기업의 자율 대응에만 기대기보다 물류 생태계 공통 경로를 직접 관리 대상으로 끌어올려야 한다.
이번 협박이 실질적으로 바꾸려는 것은 보안 예산의 우선순위가 아니라 물류를 바라보는 사회적 기준이다. 이번 사건을 한국 독자가 생활비와 공급망 안정성의 관점에서 읽어야 하는 이유는 분명하다.
해상 물류 사이버 보안은 더 이상 대기업 전산팀의 내부 과제가 아니다. 선적 데이터가 흔들리면 수입업체가 추가 확인 비용을 떠안고, 항만 처리가 늦어지면 제조 현장의 부품 재고 전략도 바뀐다. 내일의 쟁점은 n0n이 실제로 어떤 파일을 공개하는지에 그치지 않는다.
물류 보안을 비용으로 볼 것인지, 생활 인프라를 지키는 보험으로 볼 것인지가 한국 사회가 내려야 할 다음 판단이다. ※ 이 기사는 CyPro 및 Industrial Cyber의 2026년 10월 보도, SOCRadar의 분석 내용을 참조하여 작성하였다.
광고
기자명 및 개별 기사 제목은 원천 자료에서 확인되지 않아 매체명과 보도 시점으로 표기한다.
FAQ
Q. 일반 소비자는 이번 해상 물류 랜섬웨어 협박으로 무엇을 체감할 수 있나
A. 현재까지 제공된 자료 범위에서는 데이터 유출이 공식 확인되지 않았기 때문에 즉각적인 배송 차질을 단정할 수 없다. 다만 항만과 선사가 보안 점검을 강화하면 일부 업무 처리 속도가 느려질 가능성은 있다. 해외 직구, 수입 식품, 전자제품 부품처럼 선적 일정에 민감한 품목은 문서 확인 절차가 늘어날 때 영향을 받을 수 있다. 소비자는 특정 기업명만 보고 불안해하기보다 판매자 공지, 배송 추적 정보, 카드 결제 내역을 차분히 확인하는 편이 현실적이다.
Q. 기업은 공식 피해 확인 전에도 대응에 나설 필요가 있나
A. 공식 확인 전 단계에서도 기업은 자체 로그와 계정 접근 기록을 점검해야 한다. SOCRadar가 제기한 공통 진입점 가능성은 개별 침해보다 공유 애플리케이션, 원격 접속 도구, 협력사 계정 관리가 더 큰 위험일 수 있음을 뜻한다. 특히 물류 기업은 선적 문서, 고객사 정보, 터미널 운영 데이터가 서로 연결되어 있어 작은 노출도 업무 신뢰를 훼손할 수 있다. 단기적으로는 비밀번호 재설정과 다중인증(MFA) 확인, 외부 노출 서버 점검, 협력사 접속 권한 정리가 우선 과제다.
Q. 정부 정책은 어떤 방향으로 바뀌어야 하나
A. 해상 물류 사이버 보안은 개별 기업의 투자 여력에만 맡기기 어려운 영역이다. 항만은 여러 선사, 터미널, 통관·운송 협력사가 같은 데이터 흐름을 공유하기 때문에 한 곳의 취약점이 전체 지연으로 번질 수 있다. 정부는 사고 공시 기준, 공동 취약점 점검, 공급망 모의훈련을 묶어 산업 단위 대응 체계를 설계해야 한다. 이번 사건은 유출 확정 여부와 별개로 항만 보안을 국가 물류 정책의 핵심 항목으로 다뤄야 할 근거를 제공한다.
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
