의존성과 쿠다쿨람 파일들이 다크 웹에 유출: 인도의 중요 인프라 침해 사건이 공급망 단계로 진입

2019년 쿠다쿨람 침입은 계약자를 통해 이루어졌습니다. 7년 후에도 진입 지점이 여전히 같을 수 있습니다.

간단히 말해

Reliance와 인도의 쿠다쿨람 원자력 발전소와 연관된 파일들이 다크 웹 마켓플레이스에서 발견되었다고 미디어나마(medianama)의 조사가 보도했다. 두 기관 모두 공개적으로 침해 사실을 확인하지 않았으며, 데이터의 규모, 출처, 신선도는 아직 확인되지 않았다.

배경

쿠다쿨람은 러시아 VVER-1000 원자로를 기반으로 건설된 인도의argest 원자력 발전소로, 2019년 Dtrack 악성코드 Incident(인도 및 제3자 분석가들에 의해 Lazarus 그룹으로 추정됨)가 확인된 바 있다. 한편 Reliance는 인도의argest 민간 대기업으로, 통신 및 유통 부문이 대규모 고객 데이터를 보유하고 있다. 두 기관 모두 2023년 디지털 개인 데이터 보호법(DPDP Act) 시행 체제 하에서 운영되고 있다.

데이터

미디어나마(2026년 7월 16일 보도)에 따르면, Reliance와 쿠다쿨람 로고가 포함된 파일 샘플이 다크 웹 포럼에 등장했다고 한다. 해당 매체는 명확한 기록 수보다는 문서와 메타데이터를 설명했으며, 작성 시점 기준으로 신선도에 대한 암호학적 증거는 공개되지 않았다. 인도의 CERT-In은 해당 기사가 게재될 당시 두 데이터세트와 관련된 공개 경고를 발행하지 않았다.

분석

두 가지 패턴이 주목된다. 첫째, 계약자 및 공급업체 파일이 increasingly 진입점이 되고 있다. 2019년 쿠다쿨람 침해 Incident는 원자로 제어 네트워크가 아닌 관리용 워크스테이션을 경유했으며, 올해 유출된 자료도 동일한 경로를 따랐을 가능성이 있다. 둘째, "유출" ≠ "운영적 침해": 제어 시스템이 공기 gaps되어 있는 반면 기업 문서 저장소는 그렇지 않으며, 대부분의 경우 이 차이가 기사에서 생략된다.

시나리오

가장 유력한 시나리오: 계약자 측에서의 데이터 유출 확인, 발전소 운영에는 영향 없음, DPDP 위원회가 Reliance 측 조사를 개시. 확대 시나리오: Reliance 고객 데이터와 쿠다쿨람 관련 인원 간 연관성이 확인되어 표적 감시 위험 발생. 최악의 시나리오: 국가 연계Actor의 소행으로 확인되어 인-러 외교적 문제가 원자력 보안 차원에서 발생.

결론

인도 핵심 인프라 공급업체라면, 표면이 "대형 벤더는 타겟이라는 사실을 알고 있다"에서 "당신의 계약자가 문의 역할을 한다"로 이동하고 있다. 공급망 보안 조항이 단순한 서류 작업이 아니다. 또한 DPDP Act의 첫 주요 시행 테스트는 소비자 앱이 아닌 핵심 인프라 지문을 지닌 기업 문서 유출 Incident에서 나올 가능성이 크다.