CDK Global, 미국 대부분의 자동차 딜러십을 하나의 플랫폼으로 운영했는데 — 랜섬웨어가 그것을 전부 마비시켰다

CDK Global은 대부분의 북미 자동차 딜러십이 판매, 금융, 서비스 일정 관리, 부품 재고 관리를 위해 의존하는 딜러 관리 시스템을 운영한다 — Lithia Motors, Group 1 Automotive, Penske, Sonic 같은 주요 그룹과 BMW, Nissan, Honda 같은 제조사를 포함해 약 15,000개의 딜러 지점을 뒷받침하는 단일 공유 플랫폼이다. 2024년 6월 18일, BlackSuit 랜섬웨어 조직이 그 플랫폼을 공격했다. CDK는 침입을 억제하기 위해 다음 날 자사 IT 시스템을 중단했고, 복구가 진행 중이던 와중에 공격자들이 두 번째로 공격했다.

요구 금액은 1,000만 달러에서 시작해 중단이 길어지면서 5,000만 달러를 넘어섰다. CDK는 수천만 달러를 지불할 의사가 있음을 시사했고, 이후 보도에 따르면 실제 지불액은 약 2,500만 달러였다 — 6월 21일 BlackSuit 연계 계정으로 약 387 비트코인이 전송되었다. 지불에도 불구하고 모든 딜러십에 대한 서비스 복구는 첫 공격 이후 2주 이상 지난 7월 4일까지 걸렸다.

CDK의 소프트웨어가 한때 업계의 상당 부분에 대한 운영 백본이었기 때문에, 중단은 CDK 자체 인프라에 국한되지 않았다. 딜러십은 판매 처리, 금융 서류 작성, 서비스 예약 기록, 부품 추적 능력을 상실했고 — 많은 곳이 거래를 손으로 작성하고 외부 소프트웨어를 임시방편으로 사용하는 것으로 되돌아갔다. Anderson Economic Group은 6월 19일부터 7월 5일까지 3주 동안 프랜차이즈 딜러의 직접 손실을 10억 2,000만 달러로 추정했으며, 이 수치는 CDK 자체 비용이 아니라 판매 및 인건비 손실을 포함한다.

CDK를 딜러들에게 가치 있게 만든 집중화 — 금융, 판매, 서비스를 함께 운영하는 하나의 플랫폼이 분산된 시스템보다 더 효율적이어서 업계 전반에 채택된 것 — 가 바로 하나의 랜섬웨어 침입을 업계 전체의 중단으로 바꾼 원인이었다. 어떤 단일 딜러십도 대체 수단이 없었는데, 모든 것을 CDK를 통해 운영하는 쪽으로 비즈니스가 설계되면서 대체 수단이 제거되었기 때문이다.

판매, 금융, 서비스를 위한 하나의 플랫폼에는 대체 수단이 없었기에, 단 한 번의 침입으로 딜러들에게 10억 2,000만 달러의 비용이 발생했고 CDK는 약 2,500만 달러의 몸값을 지불했다.

북미 전역의 약 15,000개 딜러십이 핵심 운영을 하나의 공유 플랫폼을 통해 수행했기 때문에, 단일 침입이 국한된 사건이 아니라 업계 전체의 중단이 되었다.

CDK는 첫 공격에서 복구 중이던 와중에 두 번째 공격을 받았고, 이로 인해 결국 6월 18일부터 7월 4일까지 이어진 중단이 연장되었다.

딜러십에는 판매, 금융, 서비스 일정 관리를 위한 오프라인 대체 수단이 없었다 — 모든 것을 하나의 시스템을 통해 운영하는 효율성 때문에 그 시스템이 사라지면 수동 백업 경로가 남지 않았다.

중단이 길어지면서 몸값은 1,000만 달러에서 5,000만 달러 이상으로 올랐고, CDK는 독립적으로 재구축하는 대신 약 2,500만 달러를 지불했다.

한 산업의 일상 운영을 하나의 공유 플랫폼으로 통합하면 비효율성과 함께 중복성도 제거된다 — 하나의 랜섬웨어 공격이 모두의 중단이 되고, 수동 대체 수단은 남지 않는다.

CDK는 공격이 시작된 지 약 2주 후인 2024년 7월 4일까지 모든 딜러십의 서비스를 완전히 복구했다. 이 사건으로 딜러 그룹과 제조사들은 이전에 스트레스 테스트를 하지 않았던 단일 공급업체 의존에 대한 비상 계획을 검토하게 되었고, BlackSuit이 하나의 표적으로 미국의 주요 산업을 마비시킬 수 있는 랜섬웨어 조직이라는 점에 주목하게 되었다.