콜로니얼 파이프라인 랜섬웨어 공격과 미 동부 유류 대란

2021년 5월 6일, 러시아 기반으로 알려진 랜섬웨어 조직 다크사이드는 유출된 VPN 계정 정보를 악용해 콜로니얼 파이프라인의 내부 IT 네트워크에 침투했다. 해당 계정은 다중 인증이 적용되지 않은 상태로 방치돼 있었던 것으로 추후 조사에서 드러났다. 공격자들은 침투 이후 약 100기가바이트에 달하는 내부 데이터를 외부로 빼돌렸다. 이 데이터 탈취는 이후 이어질 랜섬웨어 공격의 사전 단계로, 몸값을 지불하지 않을 경우 자료를 공개하겠다는 이중 협박의 근거로 사용됐다. 콜로니얼 측은 이 시점까지 침투 사실을 전혀 인지하지 못했다.

2021년 5월 7일 이른 아침 콜로니얼 파이프라인 직원들은 내부 청구 시스템 등 업무용 IT 시스템이 랜섬웨어에 감염된 사실을 확인했다. 회사는 감염이 실제 파이프라인 제어 시스템까지 확산될 가능성을 우려해 예방적 조치로 약 8850km에 달하는 파이프라인 전체 가동을 중단했다. 이 파이프라인은 하루 약 260만 배럴의 석유제품을 수송하며 미국 동부 해안 지역 연료 공급량의 약 45%를 담당하고 있었다. 가동 중단은 즉각 항공유, 휘발유, 경유 등 주요 연료의 공급망에 타격을 줬다. 이는 미국 역사상 석유 인프라를 겨냥한 사이버 공격 중 가장 큰 파장을 일으킨 사례로 기록됐다.

가동 중단 당일인 5월 7일, 콜로니얼 파이프라인 경영진은 신속한 시스템 복구를 위해 다크사이드가 요구한 몸값을 지불하기로 결정하고 비트코인 75개, 당시 시세로 약 440만 달러를 지급했다. 이는 법 집행기관들이 일반적으로 권고하는 몸값 미지급 원칙과 배치되는 결정이어서 이후 큰 논란이 됐다. 회사 측은 국가 기반시설 마비로 인한 피해가 몸값보다 훨씬 클 것이라고 판단했다고 해명했다. 그러나 지불 이후에도 복호화 도구의 작동 속도가 느려 실제 복구에는 추가 시간이 소요됐다. 이 결정은 이후 랜섬웨어 조직들에게 기반시설 공격이 수익성 있는 범죄라는 잘못된 신호를 줄 수 있다는 비판을 받았다.

사건이 공개되고 파이프라인 가동 중단이 장기화될 조짐을 보이자 미국 연방 교통부는 2021년 5월 8일 17개 주와 워싱턴DC를 대상으로 지역 비상사태를 선포했다. 이 조치로 도로 운송을 통한 연료 수송에 적용되던 운전시간 제한 등 각종 규제가 한시적으로 완화됐다. 정부는 파이프라인을 대체할 수 있는 유조차 수송 등 비상 대응책을 총동원했다. 에너지부와 국토안보부 등 관계 부처도 사태 대응을 위한 범정부 대책반을 가동했다. 이는 사이버 공격이 실물 경제와 국가 기반시설에 직접적 위협이 될 수 있음을 보여준 상징적 조치로 평가됐다.

파이프라인 가동 중단이 며칠째 이어지면서 노스캐롤라이나, 조지아, 버지니아 등 미국 동남부 여러 주에서 주유소 앞에 차량이 길게 줄을 서는 패닉바잉 현상이 확산됐다. 일부 지역에서는 주유소의 연료가 완전히 바닥나거나 가격이 급등하는 사례가 속출했다. 공포에 질린 소비자들이 비닐봉지 등 부적절한 용기에 휘발유를 담으려다 화재 위험을 초래하는 사건까지 보고됐다. 일부 주 정부는 사재기를 막기 위해 주유 구매 한도를 도입하기도 했다. 이번 사태는 단일 인프라 기업에 대한 사이버 공격이 얼마나 빠르게 실생활 위기로 번질 수 있는지를 보여준 사례로 남았다.

2021년 5월 10일 미국 연방수사국(FBI)은 이번 공격이 러시아 기반으로 추정되는 랜섬웨어 조직 다크사이드의 소행이라고 공식 확인했다. FBI는 다크사이드가 서비스형 랜섬웨어 방식으로 운영되며, 자체 개발한 악성코드를 다른 범죄 조직에 빌려주고 수익을 나누는 구조를 갖고 있다고 설명했다. 이 발표로 사건의 성격이 국가 기반시설을 겨냥한 조직적 사이버 범죄임이 분명해졌다. 바이든 행정부는 이 사건을 계기로 랜섬웨어 대응을 국가 안보 최우선 과제로 격상시켰다. FBI는 이후에도 다크사이드와 연계 조직에 대한 추적을 이어갔다.

콜로니얼 파이프라인은 2021년 5월 12일 저녁 무렵 시스템 복구를 마치고 6일 만에 파이프라인 가동을 재개했다고 발표했다. 다만 완전히 정상적인 공급 흐름이 회복되기까지는 추가로 며칠이 더 걸렸다. 같은 날 조 바이든 대통령은 연방기관과 주요 기반시설 운영기업의 사이버보안 수준을 강화하는 내용의 행정명령에 서명했다. 이 행정명령은 이후 미국 정부의 사이버보안 정책 전반에 큰 영향을 미친 것으로 평가받는다. 사건을 계기로 민간 기반시설 기업에 대한 사이버보안 규제 강화 논의도 본격화됐다.

사건 이후 미국과 러시아 양국 정부의 압박이 거세지자 다크사이드는 2021년 5월 14일경 자신들의 서버와 암호화폐 자금이 정체불명의 세력에 의해 동결됐다며 조직 해체를 선언했다. 이는 미 당국이 다크사이드의 인프라에 직접 개입했을 가능성을 시사하는 발표였지만, 미국 정부는 이에 대해 공식 확인도 부인도 하지 않았다. 보안 전문가들은 이 조직 해체 선언이 진짜 해체가 아니라 수사망을 피하기 위한 위장일 수 있다는 의혹도 제기했다. 실제로 다크사이드와 연계된 것으로 추정되는 조직들은 이후에도 다른 이름으로 활동을 이어간 정황이 포착됐다. 이 사건은 랜섬웨어 조직에 대한 국가 차원의 대응 압박이 실제 효과를 낼 수 있음을 보여준 사례로도 거론됐다.

2021년 6월 7일 미국 법무부는 FBI 수사를 통해 콜로니얼 파이프라인이 지불한 몸값 중 비트코인 63.7개, 당시 시세로 약 230만 달러를 압류해 환수했다고 발표했다. 이는 FBI가 다크사이드 측이 사용한 암호화폐 지갑의 개인키를 확보해 자금을 추적, 압류하는 데 성공했기 때문으로 알려졌다. 법무부는 이번 환수가 랜섬웨어 범죄 조직의 금전적 유인을 무력화하려는 미국 정부의 새로운 대응 전략을 보여주는 사례라고 강조했다. 이 사건은 이후 암호화폐를 이용한 랜섬웨어 범죄에 대한 국제 공조 수사의 전환점으로 평가받았다. 몸값 전액 환수에는 실패했지만, 상당액을 되찾은 것은 이례적인 성과로 받아들여졌다.