영국 국립도서관 랜섬웨어 공격, 몸값 거부에 데이터 유출

사건 이후 진행된 포렌식 조사 결과 2023년 10월 25일 밤 11시 29분 공격자가 영국 국립도서관 네트워크에 외부에서 침입한 흔적이 처음 확인됐으며, 불과 3분 뒤인 11시 32분부터 내부 시스템을 이동하기 시작한 것으로 드러났다. 조사팀은 실제로는 공격자가 이보다 최소 사흘 앞서 네트워크 접근권을 확보했을 가능성이 크다고 분석했다. 이 침입은 도서관의 VPN 소프트웨어 취약점을 통해 방화벽을 우회하는 방식으로 이뤄졌다. 당시 도서관 측은 이런 이상 징후를 전혀 감지하지 못한 채 정상적으로 운영을 이어가고 있었다. 이는 이후 벌어질 대규모 랜섬웨어 사태의 시작점이었다.

10월 28일 도서관 기술팀 직원이 사내 네트워크에 접속할 수 없게 되면서 사건이 처음 발각됐다. 조사 결과 공격자는 서버 전반을 암호화하거나 파괴하고 모든 사용자의 네트워크 접근을 강제로 차단한 상태였다. 도서관 웹사이트와 온라인 목록, 열람 예약 시스템 등 핵심 서비스가 동시다발적으로 마비되면서 이용자들의 불편이 즉각 시작됐다. 도서관 측은 처음에는 이를 '중대한 기술 장애'로만 설명했으나, 곧 사이버 공격임이 명확해졌다. 3600만 건 이상의 기록을 보유한 영국 최대 도서관의 디지털 인프라가 하루아침에 마비된 초유의 사태였다.

러시아어권 랜섬웨어 조직 리시다는 이번 공격의 배후를 자처하며 도서관 시스템에서 약 600GB의 파일을 탈취하고 암호화했다고 주장했다. 이들은 탈취한 자료를 되돌려주고 서비스를 복구시켜주는 대가로 20비트코인, 당시 시세로 약 60만 파운드 상당의 몸값을 요구했다. 리시다는 2023년 5월경 처음 등장한 이후 여러 기관을 잇따라 공격해온 신흥 랜섬웨어 서비스형(RaaS) 조직으로, 이번 공격을 계기로 국제적 악명을 얻었다. 탈취된 자료에는 도서관 직원과 이용자의 개인정보가 다수 포함된 것으로 파악됐다. 도서관 측은 이 요구에 응할지를 두고 내부적으로 격론을 벌였다.

11월 17일 영국 국립도서관은 공식 성명을 내고 기술 장애가 예상보다 훨씬 길어질 것이라며 이용자들에게 상황을 알렸다. 도서관은 열람실 이용, 온라인 자료 대출, 도서관 간 상호대차 서비스 등 다수 기능이 여전히 복구되지 않고 있다고 설명했다. 이 발표는 사건 발생 3주가 지나도록 근본적인 해결책을 찾지 못하고 있음을 사실상 인정한 것이었다. 연구자와 학생 등 도서관을 상시 이용하던 이들의 불만이 누적되기 시작했다. 이 시점부터 사건은 영국 학술·문화계 전반의 주요 관심사로 떠올랐다.

도서관 측이 몸값 지급을 최종 거부하자 리시다는 예고한 대로 탈취한 약 600GB 분량의 내부 문서와 개인정보를 다크웹 경매 사이트에 공개했다. 유출된 자료에는 직원 인사 정보, 계약서, 일부 이용자의 개인 식별 정보 등이 포함된 것으로 확인됐다. 컴퓨터위클리 등 보안 전문 매체들은 유출 문서를 분석해 도서관의 내부 운영 실태와 보안 취약점을 상세히 보도했다. 이 사건은 공공기관이 몸값 지급을 거부했을 때 뒤따르는 실질적 피해를 보여주는 대표 사례로 남았다. 영국 정보보호당국(ICO)도 개인정보 유출 경위에 대한 조사에 착수했다.

공격 발생 약 석 달 만인 2024년 1월 15일 영국 국립도서관은 3600만 건 이상의 기록을 담은 핵심 온라인 목록 서비스를 다시 이용할 수 있게 됐다고 발표했다. 이는 사태 이후 처음으로 이용자들이 체감할 수 있는 실질적인 복구 성과였다. 다만 도서관 측은 완전한 정상화까지는 여전히 갈 길이 멀다고 밝히며 다른 부속 서비스들의 복구는 점진적으로 이뤄질 것이라고 설명했다. 유로뉴스 등 유럽 주요 매체들은 이 소식을 영국 문화기관 사이버 복원력의 시험대로 조명했다. 이용자들은 목록 복구를 반겼지만 여전히 일부 자료 열람과 대출 기능은 제한된 상태였다.

2024년 3월 8일 영국 국립도서관은 자체 조사 결과를 담은 '사이버공격 교훈' 보고서를 공개하며 공격 경위와 내부 문제점을 상세히 밝혔다. 보고서는 공격자가 원격접속용 터미널 서비스의 취약점을 악용했으며, 도서관 네트워크에 현대적인 인증체계와 망 분리가 제대로 갖춰지지 않았다고 지적했다. 이는 오랜 기간 IT 보안 투자가 부족했던 공공 문화기관의 구조적 취약성을 여실히 드러낸 셈이었다. 테크레이더 등 IT 전문매체는 이 보고서를 다른 공공기관들이 참고해야 할 대표적 실패 사례로 소개했다. 보고서 공개 이후 영국 내 다른 도서관·박물관들도 자체 보안 점검에 나섰다.

2024년 4월 중순 영국 국립도서관은 공격으로 파괴된 서버 인프라의 재구축 작업을 마무리하고 본격적인 전체 시스템 복구 단계에 들어갔다고 밝혔다. 도서관 측은 이번 사건으로 인한 총 복구 비용이 600만~700만 파운드에 달할 것으로 추산했는데, 이는 도서관 전체 예비비의 약 40%에 해당하는 규모였다. IMD 등 경영 전문기관은 이 사례를 문화·공공기관이 사이버 공격에 얼마나 취약할 수 있는지를 보여주는 교훈적 사례로 분석했다. 일부 대출·상호대차 서비스는 이후에도 상당 기간 제한적으로만 운영됐다. 도서관은 이번 사태를 계기로 IT 보안 예산과 인력을 대폭 확충하겠다고 밝혔다.

이 사건 이후 영국 국립도서관 사례는 학계와 정부 양쪽에서 공공·문화기관 사이버보안 실패의 대표적 연구 대상으로 자리 잡았다. 정보기술도서관학회지(ITAL)에 게재된 논문은 이번 사건을 우선순위 설정, 전문인력 부족, 예산 부족이라는 세 가지 구조적 문제가 겹쳐 발생한 사태로 분석했다. 영국 의회 문화·미디어·스포츠 위원회도 이 사건을 계기로 공공기관의 사이버 회복력 강화 방안을 논의했다. 이 사건은 상업적 이윤을 추구하지 않는 비영리 문화기관도 랜섬웨어 조직의 표적에서 예외가 아니라는 경각심을 업계 전반에 일깨웠다. 이후 여러 영국 박물관·도서관이 유사 공격에 대비한 예산 편성을 늘렸다고 보고했다.