ILOVEYOU 러브버그 웜, 100억 달러 피해와 처벌 공백의 사이버 대란(2000)

2000년 5월 4일 'ILOVEYOU'라는 제목의 이메일이 퍼지기 시작했고, 수신자가 첨부된 LOVE-LETTER-FOR-YOU 파일을 열면 웜이 실행되어 주소록의 모든 사람에게 같은 메일을 자동 발송했다. 웜은 홍콩에서 유럽, 미국으로 업무 시간이 시작되는 순서대로 서쪽을 향해 번졌다. 사랑 고백처럼 보이는 제목 때문에 경계심이 낮았고 기업·정부의 메일 서버가 순식간에 폭주했다. 이 사건은 사회공학을 이용한 이메일 웜의 위력을 처음 전 세계에 각인시켰다. 신속한 확산 속도는 당시 백신 업체와 관리자들의 대응 시간을 압도했다.

ILOVEYOU는 열흘 안에 수천만 건의 감염을 일으켰고 당시 인터넷에 연결된 컴퓨터의 약 10퍼센트가 영향을 받았다고 추산된다. 피해액은 약 100억 달러로 널리 인용되지만 정확한 산정이 어렵다는 점은 감안해야 한다. 웜은 파일을 덮어쓰고 비밀번호를 빼내려는 기능도 갖고 있어 단순한 메일 폭주 이상의 피해를 남겼다. 기업들은 메일 서버를 일시 차단하는 방식으로 대응했다. 사건은 첨부파일 확장자 위장과 메일 게이트웨이 필터링 필요성을 업계에 알렸다.

미 육군은 2,258대의 워크스테이션이 감염되어 약 7만 9,200달러의 비용이 든 것으로 집계했다. 보훈 의료 부문에는 ILOVEYOU 메일이 700만 통 쏟아져 해결에 240시간의 인력이 필요했다고 GAO 보고서가 기록했다. 이는 정부 기관도 단순 이메일 한 통에 취약하다는 점을 보여준 사례였다. 영국 하원 등 각국 기관도 메일 시스템을 한때 중단했다. 의회와 정부는 사건 이후 사이버 보안 투자 필요성을 공식 논의하기 시작했다.

5월 8일 필리핀 국가수사국(NBI)은 마닐라의 한 아파트를 수색해 17장의 디스켓과 휴대전화 등을 압수했다. 수색 당시 컴퓨터나 모뎀은 발견되지 않았다. 아파트에 살던 레오넬 라모네스의 동거인이 체포되었으나 증거 부족으로 풀려났다. 용의자로는 AMA 컴퓨터대학 학생 오넬 데 구즈만이 지목되었다. 수사는 곧 필리핀에 해커를 처벌할 법이 없다는 한계에 부딪혔다.

데 구즈만은 5월 11일 얼굴을 가린 채 기자회견에 나와 자신이 만든 프로그램이 실수로 풀려났을 수 있다고 말했다. 그러나 웜의 작성자라는 점은 부인했다. 앞서 AMA 컴퓨터대학이 거부한 그의 졸업논문 제안서에는 감염된 컴퓨터에서 비밀번호를 빼내 특정 메일로 보내는 프로그램이 담겨 있었다. 이는 웜의 기능과 닮아 수사당국이 중요한 정황으로 삼았다. 이 발언은 이후 오랫동안 사건의 쟁점이 되었다.

2000년 6월 조지프 에스트라다 필리핀 대통령은 컴퓨터 범죄 공백을 메우기 위한 전자상거래법에 서명했다. 이 법은 사건이 계기가 되어 급히 통과되었지만 소급 적용이 불가능했다. 같은 시기 NBI는 데 구즈만을 절도와 접근기기 규제법 위반 혐의로 기소했다. 접근기기법 위반은 징역 620년, 절도는 36년이 가능한 혐의였고 목격자 4명이 있다고 당국은 밝혔다. 그러나 해킹 자체를 처벌하는 조항이 없다는 점이 기소의 약점으로 지적되었다.

2000년 8월 21일 필리핀 검찰은 데 구즈만에 대한 모든 혐의를 기각했다. 증거가 부족했고 새 법이 소급 적용되지 않으며 기존 법으로는 해킹을 다룰 수 없다는 이유였다. NBI가 기소 전까지 약 1개월을 기다렸다는 점도 지적되었다. 이로써 100억 달러대 피해를 낸 웜의 제작자는 법적 책임을 지지 않았다. 사건은 국가별 사이버범죄 법제 차이가 국제 공조의 걸림돌이 됨을 보여준 사례로 거론된다.

2019년 4월 영국 언론인 제프 화이트는 마닐라의 한 휴대전화 수리 가게에서 일하는 데 구즈만을 찾아냈다. 데 구즈만은 자신이 웜을 만들었다고 인정했다. 그는 당시 목적이 인터넷 접속료를 낼 형편이 안 되는 학생들을 위해 비밀번호를 얻는 것이었다는 취지로 설명했다. 이 인터뷰는 2020년 사건 20주년을 맞아 와이어드 등을 통해 알려졌다. 20년이 지나서야 제작자가 공식적으로 알려진 셈이다.