“내 회사는 해킹당하지 않았는데, 협력업체가 해킹당해서 우리 영업비밀이 다크웹에 올라갔다면 어떻게 해야 할까요?” 2026년 6월, 애플과 테슬라의 핵심 영업비밀이 인도 제조업체 타타 일렉트로닉스 해킹으로 다크웹에 무더기로 유출되는 사건이 발생하였습니다. 랜섬웨어 그룹 ‘월드 리크스’는 부품 설계·사양 문서 20만 건 이상, 총 630GB 분량을 탈취하여 공개하였습니다. 이 사건은 공급망 보안이 왜 기업 법무의 핵심 과제가 되었는지를 적나라하게 보여줍니다. 지금부터 이 사건의 핵심 쟁점을 하나씩 살펴보겠습니다.
이 글을 끝까지 읽으시면 다음 정보를 얻으실 수 있습니다.
① 이번 사건의 구체적인 경위와 유출된 자료의 내용
② 랜섬웨어 공격이 영업비밀 침해와 어떻게 연결되는지
③ 공급업체 해킹으로 원청 기업의 영업비밀이 유출될 때 법적 책임은 누가 지는지
④ 피해 기업들이 직면한 위기와 대응 방식
⑤ 기업이 공급망 보안을 강화하기 위해 갖춰야 할 법적·기술적 장치
1. 사실관계 요약 — 당사자가 직면한 위기
가. 사건의 경위
랜섬웨어 그룹 ‘월드 리크스’는 인도 아이폰 제조업체 타타 일렉트로닉스의 시스템을 해킹하여 다음과 같은 자료를 탈취하고 다크웹에 공개하였습니다.
| 유출 자료 | 내용 |
|---|---|
| 애플 관련 문서 | 아이폰 회로기판 부품 품질 검사 기준, 호수르 아이폰 조립 공장 관련 폴더, “애플의 독점·기밀 정보 포함” 명시 문서 |
| 테슬라 관련 문서 | 전기차 모델Y 부품 자료, 모델3 세단 도면으로 추정되는 자료, “테슬라의 영업비밀로 간주된다” 명시 문서 |
| 기타 자료 | 이메일, 수년에 걸친 로그, 직원 여권 사본(외국인 포함) |
월드 리크스는 타타 일렉트로닉스에 금전적 대가(몸값)를 요구하였고, 타타 일렉트로닉스는 “몇 주 전 일부 시스템에서 사이버 보안 사고를 확인하였다”고 인정하였습니다. 다만 몸값 요구와 관련한 내용에 대해서는 언급을 거부하였고, 애플과 테슬라도 공식 논평 요청에 답하지 않았습니다.
나. 당사자들이 직면한 위기
애플의 위기는 단순한 정보 유출을 넘어 공급망 재편 전략 전체가 흔들리는 상황입니다. 애플은 중국 의존도를 낮추고 아이폰 공급망을 인도로 이전·재편하는 전략을 추진해 왔는데, 타타 일렉트로닉스는 인도 내 아이폰 생산량의 약 3분의 1을 담당하는 핵심 파트너입니다. 이번 사건은 그 전략에 직접적인 타격을 줄 수 있습니다.
테슬라의 위기는 전기차 핵심 부품 설계 도면이 경쟁사나 악의적 행위자의 손에 들어갈 수 있다는 것입니다. 전기차 시장의 경쟁이 치열한 상황에서 모델Y와 모델3의 부품 설계 정보 유출은 기술 경쟁력에 직접적인 위협이 됩니다.
타타 일렉트로닉스의 위기는 몸값 요구에 응하지 않을 경우 추가 자료가 공개될 수 있고, 응할 경우 추가 공격의 표적이 될 수 있다는 이중의 딜레마입니다. 또한 원청 기업인 애플과 테슬라로부터의 계약 해지 또는 손해배상 청구 위험도 존재합니다.
2. 핵심 쟁점 Q&A
Q1. 랜섬웨어 공격으로 영업비밀이 유출되면 법적으로 어떤 문제가 생기나요?
A. 랜섬웨어 공격은 크게 두 가지 법적 문제를 동시에 일으킵니다.
첫째, 영업비밀 침해 문제입니다. 랜섬웨어 그룹이 기업의 시스템에 무단으로 침입하여 영업비밀을 탈취하고 공개하는 행위는 영업비밀 침해의 전형적인 유형입니다. 한국의 부정경쟁방지 및 영업비밀보호에 관한 법률은 부정한 수단으로 영업비밀을 취득하거나 공개하는 행위를 금지하고 있으며, 미국의 연방 영업비밀보호법(DTSA)도 동일한 행위를 규율합니다. 문제는 랜섬웨어 그룹이 익명성을 활용하여 다크웹에서 활동하기 때문에 실제 행위자를 특정하고 법적 책임을 묻는 것이 극히 어렵다는 점입니다.
둘째, 개인정보 보호 문제입니다. 이번 사건에서는 직원들의 여권 사본을 포함한 개인정보도 유출되었습니다. 유럽의 GDPR, 인도의 개인정보보호법(DPDP Act), 한국의 개인정보보호법 등 각국의 개인정보 보호 법제에 따라 피해 기업은 감독기관에 침해 사실을 신고하고 피해자에게 통지할 의무를 부담합니다. 이를 이행하지 않을 경우 막대한 과징금이 부과될 수 있습니다.
Q2. 공급업체가 해킹당해 원청 기업의 영업비밀이 유출되면 법적 책임은 누가 지나요?
A. 이것이 이번 사건의 가장 복잡한 법적 쟁점입니다. 책임 구조를 정리하면 다음과 같습니다.
랜섬웨어 그룹의 책임이 가장 직접적이지만, 앞서 말씀드린 것처럼 익명성 때문에 실질적인 법적 책임을 묻기가 매우 어렵습니다.
타타 일렉트로닉스의 책임은 계약상 의무 위반과 불법행위 두 가지 측면에서 검토됩니다. 애플·테슬라와 타타 일렉트로닉스 사이의 공급 계약에는 통상적으로 기밀유지 조항과 보안 관리 의무 조항이 포함됩니다. 타타 일렉트로닉스가 합리적인 수준의 보안 조치를 갖추지 않아 해킹이 발생하였다면 계약 위반에 따른 손해배상 책임을 부담할 수 있습니다. 다만 랜섬웨어 공격이 불가항력적인 사이버 공격에 해당하는지, 타타 일렉트로닉스의 보안 수준이 계약상 요구 수준을 충족하였는지가 핵심 쟁점이 됩니다.
애플·테슬라의 자체 책임도 완전히 배제되지 않습니다. 자사의 영업비밀을 공급업체에 제공할 때 적절한 보안 요건을 계약에 명시하고 이행 여부를 감독할 의무가 있기 때문입니다. 공급업체 보안 감사를 소홀히 하였다면 피해자이면서도 일부 책임을 부담하는 상황이 발생할 수 있습니다.
Q3. 몸값을 지불하면 법적으로 문제가 없나요?
A. 랜섬웨어 그룹에 몸값을 지불하는 행위는 여러 나라에서 법적 위험을 수반합니다.
미국 재무부 해외자산통제국(OFAC)은 제재 대상 단체나 국가와 연계된 랜섬웨어 그룹에 몸값을 지불하는 행위를 제재 위반으로 볼 수 있다고 경고하고 있습니다. 월드 리크스가 제재 대상 국가나 단체와 연계된 것으로 확인될 경우 몸값 지불 자체가 미국 법률 위반이 될 수 있습니다.
또한 몸값을 지불하더라도 탈취된 자료가 완전히 삭제된다는 보장이 없습니다. 실제로 많은 랜섬웨어 사례에서 몸값 지불 후에도 자료가 제3자에게 판매되거나 추가 공격에 활용된 사례가 보고되고 있습니다. 타타 일렉트로닉스가 몸값 요구 관련 언급을 거부한 것은 이러한 법적·실무적 복잡성을 고려한 것으로 보입니다.
Q4. 피해 기업들은 이 위기를 어떻게 대응하였나요?
A. 각 당사자의 대응을 정리하면 다음과 같습니다.
타타 일렉트로닉스는 사이버 보안 사고 발생 사실을 공식 인정하면서도 “대응 프로토콜이 즉시 가동됐고 사업 운영에 영향을 끼치지 않았다”고 해명하였습니다. 피해를 최소화하는 방향으로 공식 입장을 관리하면서 몸값 요구 관련 내용에 대해서는 침묵을 유지하는 전략을 택하였습니다.
애플은 “침해 사고의 조사와 전면 분석을 진행하고 있다”는 입장을 소식통을 통해 전달하였습니다. 공식 논평은 거부하면서 내부적으로는 유출 자료의 범위와 실제 피해를 파악하는 데 집중하고 있는 것으로 보입니다.
테슬라는 공식 논평 요청에 답하지 않았습니다.
세 회사 모두 공식 입장 표명을 최소화하는 전략을 택하였는데, 이는 추가적인 법적 책임 노출을 피하고 수사 및 조사에 영향을 주지 않기 위한 것으로 분석됩니다.
Q5. 기업은 공급망 보안을 어떻게 강화해야 하나요?
A. 이번 사건은 자사 시스템이 아무리 철저하게 보호되어 있어도 공급업체의 보안이 취약하면 영업비밀이 유출될 수 있다는 것을 보여줍니다. 기업이 갖춰야 할 공급망 보안 장치를 정리하면 다음과 같습니다.
① 계약상 보안 의무 명시 — 공급 계약에 구체적인 보안 수준 요건, 침해 사고 발생 시 즉시 통지 의무, 정기적인 보안 감사 수인 의무를 명시하여야 합니다. 보안 요건을 충족하지 못할 경우의 계약 해지권과 손해배상 조항도 포함하여야 합니다.
② 정보 제공 범위의 최소화 — 공급업체에 제공하는 영업비밀의 범위를 업무 수행에 필요한 최소한으로 제한하고, 접근 권한을 세분화하여야 합니다. 이번 사건처럼 핵심 설계 도면 전체가 공급업체 시스템에 저장되어 있는 구조는 위험합니다.
③ 정기적인 공급업체 보안 감사 — 계약 체결 시뿐만 아니라 거래 관계가 지속되는 동안 정기적으로 공급업체의 보안 수준을 점검하여야 합니다.
④ 사이버 보험 가입 — 랜섬웨어 공격으로 인한 피해를 보전하기 위한 사이버 보험 가입을 검토하여야 합니다. 다만 보험 약관에서 공급업체 해킹으로 인한 피해가 보장 범위에 포함되는지를 반드시 확인하여야 합니다.
마치며
“결국 이번 사건이 우리에게 주는 가장 중요한 교훈은 무엇인가요?” 영업비밀 보호는 더 이상 자사 시스템만 지키는 문제가 아닙니다. 공급망 전체가 하나의 보안 생태계이고, 가장 취약한 고리가 전체 시스템의 보안 수준을 결정합니다. 애플이 중국 의존도를 낮추기 위해 공들여 구축한 인도 공급망이 이번 사건으로 심각한 타격을 받은 것처럼, 공급망 다변화 전략은 반드시 공급망 보안 강화 전략과 함께 추진되어야 합니다. 기업의 영업비밀은 그것을 보호하는 가장 약한 파트너의 보안 수준만큼만 안전합니다.