평창올림픽 개막날 사상초유 해킹…반나절만에 복구 비결은?

[아이뉴스24 성지은 기자] "시스템 구축부터 보안을 내재화(security by design)하고 사전 고강도 테스트를 진행하며 사이버 공격에 대응 태세를 갖췄다. 덕분에 반나절 만에 시스템을 복구할 수 있었다."

오상진 평창동계올림픽 정보통신국장은 지난 2일 한국정보화진흥원(NIA) 서울사무소에서 '평창동계올림픽 사이버 보안과 시사점' 주제 발표를 통해 이 같이 강조했다.

지난 2월 9일 오후 8시 평창올림픽 개회식 당시 사이버 공격이 발생해 장내 서비스가 마비되는 아찔한 사고가 있었다. 당시 메인프레스센터에 설치된 IPTV가 꺼지면서 중계방송이 중단되고 홈페이지가 접속 장애를 겪는 등 모든 서비스가 일시 정지됐다.

그러나 조직위는 반나절 만에 시스템을 복구, 다음날 정상적으로 올림픽이 진행될 수 있도록 했다. 당시 핵심 서버 50여대가 파괴되면서 모든 서비스가 정지됐지만, 우선순위를 정하고 단계별로 시스템을 복구하면서 서비스가 정상 운영되도록 한 것.

오상진 국장은 "범부처가 협력해 피해 복구에 주력했다"며 "먼저 개막식 이후 선수촌에 도착하는 전 세계 선수들, 빠르게 기사를 송고해야 하는 전 세계 미디어들을 고려해 와이파이와 IPTV를 복구했고 2시간 만에 정상 서비스가 이뤄지도록 했다"고 설명했다.

이어 "다음날 경기가 원활히 진행될 수 있도록 파괴된 시스템을 복구했다"며 "복구 과정에서 치명적인 악성코드 2개가 발견됐는데, 안랩 등 국내 기업의 협조로 백신을 만들고 복구 절차를 거쳐 다음날 오전 7시 50분 모든 서비스를 정상화할 수 있었다"고 부연했다.

올림픽은 전 세계의 이목이 쏠리는 대형 이벤트라 매번 해커의 공격 대상이 되곤 한다. 지난 2012년 열린 런던 올림픽 때는 디도스(DDoS) 공격으로 서비스가 마비되고 소셜미디어(SNS)를 통해 악성코드가 유포되기도 했다. 지난 2016년 리우데자네이루 올림픽 때도 디도스 공격이 발생하고 해킹으로 정보가 유출되기도 했다.

그러나 이번 올림픽처럼 조직위 시스템에 잠입해 개막식 당시 시스템을 파괴하고 일순간 서비스를 정지시킨 공격은 유례가 없었다. 해커는 올림픽 교란을 목적으로 오래전부터 공격을 준비한 것으로 나타났다.

조사에 따르면, 해커는 지난해 12월부터 공격을 준비했다. 올림픽 파트너사의 계정정보 일부를 탈취해 조직위 시스템으로까지 잠입하고 무작위 파괴 공격을 실시한 것으로 나타났다. 당시 해커는 총 41종의 악성코드(스크립트 포함)를 통해 시스템 로그를 삭제하고 복구 영역을 삭제하는 등 완전히 시스템을 파괴했다.

올림픽은 함께 이벤트를 진행하는 참여 업체만 적게는 10여개 이상이고 행사 시작 전까지 70여개 서비스 시스템을 지속해서 업데이트하는 구조다. 이 때문에 보안에 틈새가 발생할 수 있는데, 조직위는 신속한 침해대응, 백업 자료를 활용한 데이터 복구 등으로 시스템을 정상화했다.

오 국장은 "범부처와 올림픽 파트너사 등이 참여하는 사전 재해 복구 훈련을 2회 진행하며 복잡한 사전 절차를 이해하고 복구 시간을 단축할 수 있도록 했다"며 "화이트 해커를 통한 사전 침투 테스트, 개인정보영향진단 등을 포함한 사전진단 등으로 보안을 강화했다"고 설명했다.

이번 올림픽을 위해 평창동계올림픽 침해대응조직(CERT) 뿐만 아니라 문화체육관광부 사이버안전센터, 경찰청 사이버안전국, 국방부 국군 사이버사령부, 과학기술정보통신부 인터넷침해대응센터, 국가정보원 국가사이버안전센터 등이 협력했다.

또 민간에서 KT, ATOS, 이글루시큐리티, 쌍용정보통신, 아카마이, 안랩 등이 개발, 보안관제, 침해대응, 보안컨설팅, 단말기 보호 등을 도왔다. 지자체로는 강릉시, 평창군, 횡성군, 정선군 등이 참여했고, 별도 정보보호전문위원회를 둬 10여회 이상 미팅을 진행하고 보안을 강화하기 위한 사전 조치를 취했다.

그러나 이번 올림픽을 대상으로 한 사이버 공격이 북한 측 소행이란 주장에 대해서는 단정 짓기 어렵다는 입장이다.

오 국장은 "현재까지 조사한 바로는 북한 측 소행은 아닌 것으로 판단하고 있다"며 "현재 추가적인 조사를 진행하고 있다"고 말했다.