3·20 전산 대란 (방송·금융사 사이버테러)

3·20 전산 대란에 사용된 악성코드는 공격 시점보다 약 8개월 앞선 2012년 6월 28일부터 유포되기 시작해 표적 기관 내부에 잠복했다. 악성코드는 특정 백신 프로그램의 설정 파일이나 업데이트 파일로 위장해 기업 PC에 침투했다. 코드 안에는 '2013년 3월 20일 오후 2시가 되면 시스템을 파괴하라'는 명령이 시한폭탄처럼 심어져 있었다. 공격자는 장기간에 걸쳐 방송사와 은행의 내부망 관리 서버를 장악하고 대량 배포 경로를 확보했다. 이처럼 오랜 준비 기간을 거친 지능형 지속 공격(APT) 방식이었다는 점이 이후 분석에서 드러났다.

2013년 3월 20일 오후 2시 정각, 잠복해 있던 악성코드가 일제히 작동하며 KBS·MBC·YTN 등 방송사와 신한은행·농협·제주은행 등 금융사 전산망이 동시에 마비됐다. 악성코드는 PC와 서버의 마스터 부트 레코드(MBR)와 볼륨 부트 레코드(VBR)를 파괴해 부팅 자체를 불가능하게 만들었다. 이로 인해 방송사 직원들의 업무용 컴퓨터가 먹통이 되고 화면에 해골 이미지 등이 뜨는 사례도 나타났다. 이 공격으로 약 3만2천 대의 시스템이 감염·파괴된 것으로 집계됐다. 국가 기간 방송과 금융이 동시에 마비되며 사회적 충격이 컸다.

공격으로 신한은행과 제주은행에서는 창구 업무, ATM, 인터넷·모바일뱅킹이 약 2시간가량 마비돼 고객들이 큰 불편을 겪었다. 농협은행은 일부 PC가 감염되자 피해 확산을 막기 위해 랜(LAN) 케이블을 물리적으로 분리하는 조치를 취했다. 우리은행도 서비스 거부 공격을 받았으나 내부 시스템으로 방어했다. 은행들은 마비로 처리하지 못한 거래를 소화하기 위해 이날 영업시간을 오후 6시까지 연장했다. 국민 실생활과 직결된 금융 인프라가 사이버 공격에 얼마나 취약한지 드러낸 사건이었다.

사건 다음 날 방송통신위원회는 공격 경로를 분석한 결과 중국 IP 주소가 발견됐다고 발표했다. 이는 공격 배후로 곧바로 해외 세력, 특히 북한을 지목하는 근거로 받아들여졌다. 그러나 초기 발표는 충분한 검증을 거치지 않은 것으로, 이후 정정되면서 당국의 성급한 대응이 비판을 받는 빌미가 됐다. 방통위와 관계기관은 민관군 합동대응팀을 꾸려 본격적인 원인 규명에 착수했다. 사이버 공격의 배후 추적이 기술적으로 매우 어렵다는 점이 이 과정에서 부각됐다.

방송통신위원회는 전날 발표한 중국 IP 주소가 사실은 농협의 내부 사설 IP를 잘못 해석한 것이었다며 발표를 정정했다. 하루 만에 핵심 분석 결과가 뒤집히면서 당국의 사고 대응 역량에 대한 신뢰가 크게 흔들렸다. 언론과 전문가들은 사이버테러 초동 대응 체계가 허술하다고 강하게 비판했다. 이 혼선은 이후 국가 사이버 위기관리 체계 정비의 필요성을 부각시켰다. 합동대응팀은 성급한 발표를 자제하고 악성코드 정밀 분석에 집중하기로 방향을 바꿨다.

보안업체 안랩은 3·20 공격에서 사용된 것과 유사한 변종 악성코드가 추가로 유포돼 수백 대의 PC를 감염시켰다고 밝혔다. 이는 최초 공격이 일회성이 아니라 지속적인 위협으로 이어질 수 있음을 보여줬다. 보안업계는 백신 업데이트 서버 등 신뢰된 경로를 악용한 공격 방식에 경각심을 나타냈다. 기업과 기관들은 서둘러 내부망 점검과 백신 서버 보안 강화에 나섰다. 반복되는 변종 출현은 이번 공격의 배후가 상당한 기술력과 자원을 갖췄음을 시사했다.

민관군 합동대응팀은 약 3주간의 정밀 분석 끝에 3·20 전산 대란을 북한 정찰총국의 소행으로 추정한다고 공식 발표했다. 당국은 공격에 사용된 악성코드와 접속 IP가 과거 북한발 공격과 상당 부분 일치한다는 점을 근거로 제시했다. 또한 2012년 6월부터 최소 6대의 북한 내부 PC에서 악성코드가 유포된 흔적을 확인했다고 밝혔다. 이 사건은 같은 해 6월 발생한 6·25 사이버테러와 함께 북한발 대규모 사이버 공격의 대표 사례로 기록됐다. 이후 정부는 국가 사이버안보 체계 강화와 관련 조직 정비에 나섰다.