2025년 4월, 140년 역사의 영국 유통 명문 마크스 앤 스펜서(Marks & Spencer)가 스캐터드 스파이더(Scattered Spider) 갱단이 감행한 랜섬웨어 공격을 받았다. 공격자들은 부활절 주말에 걸쳐 접근 권한을 확보해 M&S 인프라의 일부를 암호화했다. 고객들은 결제 문제와 온라인 주문 지연을 겪었고, 회사는 핵심 시스템을 처음부터 다시 구축하는 동안 온라인 의류 스토어를 46일간 강제로 중단해야 했다.
재정적 영향은 심각했다. M&S는 투자자들에게 최대 3억 파운드의 이익 타격 가능성을 경고했으며, 직접 비용은 1억 3,600만 파운드로 추산되었다. 공격 이후 6개월 동안 기초 세전 이익은 55.4% 급감해 1억 8,410만 파운드에 그쳤다. 영국 사이버 모니터링 센터(Cyber Monitoring Centre)는 M&S와 Co-op에 대한 공격으로 인한 총 피해를 2억 7,000만 파운드에서 4억 4,000만 파운드 사이로 분류했다. 창고 시스템이 오프라인 상태가 되었고 일부 매장에서는 진열대가 비었으며, 회사 전환 전략의 핵심 축이었던 디지털 전환은 사실상 원점으로 돌아갔다.
이번 공격은 M&S의 사이버 보안 태세에 존재하던 허점을 파고들었다. 회사는 매장 리모델링과 제품 혁신에 막대한 투자를 했지만, 사이버 보안은 운영상의 위험이 아니라 후방 지원 비용으로 취급해 왔다. 46일간의 온라인 스토어 폐쇄는 단순한 매출 손실이 아니라 고객 신뢰 사건이었다. 혼란 기간에 온라인 주문으로 옮겨갔던 소비자들이 대안을 찾아야 했기 때문이다.
비용은 얼마였나
이번 공격으로 3억 파운드의 이익과 55.4%의 감소라는 비용이 발생했다. M&S가 사이버 보안을 위험이 아닌 비용 센터로 취급했고, 실행 가능한 재해 복구 계획도 없었기 때문이다.
왜 일어났나
M&S는 사이버 보안을 위험이 아닌 비용 센터로 취급했다 — 방화벽과 사고 대응에 대한 투자는 보호 대상 인프라의 복잡성을 따라가지 못했다
46일간의 오프라인 기간은 M&S가 전자상거래 플랫폼에 대한 실행 가능한 재해 복구 계획을 갖추지 못했음을 보여주었다 — 현대 유통업체에게 이는 단일 장애점이다
이번 공격은 '딱 충분한' 보안 태세를 파고들었다 — 최소 기준은 충족했지만, 결의된 랜섬웨어 갱단을 견딜 수 있도록 설계되지는 않았다
교훈
유통업체의 디지털 인프라는 곧 매장이다 — 그리고 46일 동안 그것을 폐쇄시키는 랜섬웨어 공격은 '딱 충분한' 보안이 전혀 충분하지 않다는 것을 드러낸다
근거 확인하기