OT/ICS 랜섬웨어 — 제조업이 표적의 65%, 그런데 입구는 IT망이다
Dragos가 집계한 2026년 2분기 산업 랜섬웨어는 1,140건, 그중 제조업이 747건입니다. 하지만 공격자는 ICS 전용 악성코드를 쓰지 않았습니다. 거의 항상 회사 IT망으로 들어왔습니다.
규모 — 2026년 2분기
· 2026년 2분기 1,140건 (1분기 1,020건 대비 12% 증가)
· 제조업 747건 (65%)
· 건설 176 · 장비제조 114 · 식음료 70
· ICS 지원 기업(통합업체 · 엔지니어링) 117 · 운송/물류 95
2025년 한 해 동안 랜섬웨어 피해를 입은 산업 조직은 3,300곳.
GuidePoint의 GRIT 2026 보고서는 랜섬웨어 피해자가 전년 대비 58% 증가했고 제조업이 14%로 가장 큰 비중을 차지했다고 기록했다. OT 랜섬웨어 피해자의 3분의 2 이상이 제조업체였다. 전 세계 랜섬웨어 피해 비용은 2026년 740억 달러로 전망되며, 2025년 570억 달러 대비 30% 증가한 수치다.
핵심 — 공격 경로는 ICS가 아니라 IT다
Dragos 연구진의 관찰이 이 글의 요점이다. 위험은 "새로운 ICS 전용 악성코드"보다 OT를 떠받치는 기업 IT 시스템에 대한 공격자의 집중에서 형성된다.
→ IT/OT 분리는 선택이 아니다
결과는 가볍지 않다. 문서화된 사고 중 75%가 부분적 OT 가동 중단, 25%가 완전한 운영 중단을 초래했다. 공격자가 PLC를 직접 조작하지 않아도 MES · ERP · 스케줄링 시스템이 멈추면 공장은 선다.
사고 및 취약점 통계
- SANS 2025 State of ICS/OT — 지난 1년간 OT 사고를 겪은 조직 22%. 그중 40%가 운영에 지장, 20% 가까이가 복구에 한 달 이상 소요. 절반이 비인가 외부 또는 원격 접근으로 시작됐다.
- CISA는 2025년 ICS 권고 508건을 발행 — 2024년 대비 20% 증가
- ENISA 데이터에서 OT 관련 사고는 전체의 18.2%
IEC 62443 — 2026년의 변화
- IEC 62443-4-2:2026이 2026년 4월 17일 발행됐다. IACS 구성요소 수준 요구사항을 규정하며 엣지 게이트웨이와 프로그래머블 장치에 중점을 둔다. 인증서는 제품별 · 버전별로 묶인다.
- 2026년 7월 23일, OT Cybersecurity Coalition은 미국 정책 입안자들에게 ISA/IEC 62443을 글로벌 OT 표준으로 공식 인정할 것을 촉구하는 입장문을 발표했다. 분야별 개별 규제가 보안 개선 없이 컴플라이언스 부담만 늘린다는 문제 제기다.
EU CRA와의 연결 — 수출 기업은 남 일이 아니다
EU 사이버복원력법(CRA)은 2026년 6월부터 디지털 제품의 취약점 보고를 요구하고, 2027년 12월부터 전 생애주기 의무를 부과한다. IEC 62443은 이를 충족하는 기술 프레임워크로 자리 잡고 있다.
62443은 "어떻게"를 제공한다 — 존(Zone), 도관(Conduit), 보안 수준
62443은 미국 · 캐나다의 연방 의무는 아니지만 TSA 파이프라인 보안 지침, NIS2, CRA가 참조하며, 유럽 고객에 공급하는 북미 제조업체에게는 계약 요건이 되고 있다. 국내 수출 제조업체도 같은 흐름에 있다.
참고로 중간 복잡도 시설의 IEC 62443-3-3 기준 갭 평가는 통상 4~8주가 소요된다.
실무 체크리스트
- ☐ IT/OT 세그멘테이션 실측 검증 — 도면이 아니라 실제 트래픽으로
- ☐ OT 자산 인벤토리 확보 — 무엇이 연결돼 있는지 모르면 지킬 수 없다
- ☐ 원격 접근 경로 전수 조사 (사고의 절반이 여기서 시작)
- ☐ 유지보수용 원격 접속은 점프 서버 + MFA + 세션 녹화
- ☐ MES · ERP 등 OT를 떠받치는 IT 시스템의 백업 · 복구 계획 별도 수립
- ☐ OT 전용 사고대응계획(IRP) — IT용과 분리 (복구 우선순위가 다르다)
- ☐ 유럽 수출 시 CRA 대응 일정 확인 (2026.6 취약점 보고 / 2027.12 생애주기)
- ☐ IEC 62443-3-3 갭 평가 착수 (4~8주 소요 감안)