인터넷나야나 에레보스 랜섬웨어 감염 사태

2017년 6월 웹 호스팅 업체 인터넷나야나의 웹 서버와 백업 서버가 랜섬웨어의 일종인 에레보스의 리눅스용 변종에 일제히 감염됐다. 회사가 보유한 리눅스 서버 300대 가운데 153대가 피해를 입었다. 서버에 저장된 데이터가 암호화되면서 서비스가 마비됐다. 국내에서 호스팅 업체가 랜섬웨어에 감염된 것은 인터넷나야나가 사실상 처음이었다. 파장은 곧 수많은 고객사로 번졌다.

인터넷나야나에 서버를 둔 기업과 단체 홈페이지 3400여 곳이 무더기로 마비됐다. 웹 서버뿐 아니라 백업 서버까지 함께 감염되면서 자체 복구가 사실상 불가능해졌다. 소규모 업체와 개인 사이트가 대거 피해를 입어 파장이 컸다. 호스팅 업체 한 곳의 사고가 수천 고객사의 서비스 중단으로 직결된 것이다. 백업 체계의 취약성이 그대로 노출됐다.

공격자는 데이터 복구의 대가로 거액의 비트코인을 요구했다. 초기에는 826비트코인, 원화로 약 27억 원에 이르는 금액을 제시한 것으로 알려졌다. 이후 협상 과정에서 요구액은 550비트코인 수준으로 조정됐다. 감당하기 어려운 몸값에 업체는 깊은 고민에 빠졌다. 수천 고객사의 데이터가 인질로 잡힌 초유의 상황이었다.

인터넷나야나는 나흘에 걸쳐 해커와 복구 비용을 놓고 협상을 벌였다. 고객 데이터를 되찾기 위해 몸값 지불이 불가피하다는 판단이 작용했다. 그러나 범죄자에게 대가를 지불하는 것이 정당한지에 대한 근본적 논쟁도 함께 불거졌다. 협상 과정은 국내 보안업계와 언론의 비상한 관심을 받았다. 랜섬웨어 대응의 딜레마가 적나라하게 드러났다.

인터넷나야나는 나흘간의 협상 끝에 약 12억 7천만 원을 비트코인으로 환전해 지불하기로 해커와 합의했다. 대가로 데이터를 풀 수 있는 복호화 키를 받기로 했다. 이는 국내에서 알려진 랜섬웨어 몸값 지불 사례 가운데 최대 규모로 기록됐다. 범죄 수익을 사실상 인정해준 셈이어서 논란이 컸다. 기업이 랜섬웨어 앞에서 얼마나 무력할 수 있는지 보여준 상징적 장면이었다.

합의에 따라 인터넷나야나는 해커로부터 복호화 키를 넘겨받아 감염된 서버를 순차적으로 복구했다. 다만 방대한 데이터 규모와 서버 상태 탓에 복구 작업은 오랜 시간이 걸렸다. 일부 데이터는 완전한 복원이 어려웠던 것으로 전해졌다. 고객사들은 서비스 정상화까지 상당한 불편을 겪었다. 몸값을 지불하고도 후폭풍이 이어진 사고였다.

업체의 몸값 지불을 두고 어쩔 수 없는 선택이었다는 옹호와 최악의 선례를 남겼다는 비판이 팽팽히 맞섰다. 고객 데이터를 지키기 위한 불가피한 결정이라는 시각이 있었다. 반면 범죄자에게 돈을 주는 순간 유사 공격을 부추기게 된다는 우려가 컸다. 보안 전문가들은 몸값 지불이 랜섬웨어 산업을 키운다고 경고했다. 이 논쟁은 이후 국내 랜섬웨어 대응 원칙 논의의 출발점이 됐다.

이번 사고로 인터넷나야나의 백업 체계와 보안 관리 부실이 집중적으로 지적됐다. 원본 서버와 백업 서버가 함께 감염됐다는 점은 백업 분리 원칙이 지켜지지 않았음을 뜻했다. 리눅스 서버를 겨냥한 에레보스 변종에 대한 방어도 미흡했다. 호스팅 업체의 보안 수준이 다수 고객사의 안전을 좌우한다는 사실이 부각됐다. 인프라 사업자의 보안 책임론이 커졌다.

인터넷나야나는 서비스 마비로 피해를 본 고객사들을 위한 보상 방안을 내놨다. 이용료 감면과 복구 지원 등 후속 대책이 논의됐다. 그러나 데이터 손실을 완전히 되돌릴 수는 없어 고객 불만은 쉽게 가라앉지 않았다. 소규모 사업자들은 매출과 신뢰에 직접적 타격을 입었다. 호스팅 사고의 피해가 고스란히 이용자에게 전가되는 구조가 드러났다.

인터넷나야나 사태는 국내에 랜섬웨어의 위협을 각인시킨 분수령이 됐다. 국내 최초의 호스팅 업체 랜섬웨어 감염이자 최대 규모의 몸값 지불 사례로 기록됐다. 이후 기업과 기관은 백업 분리, 서버 보안 강화, 침해 대응 체계 정비에 나섰다. 랜섬웨어 대응 가이드와 보안 투자 확대의 계기가 됐다. 정보보안이 사업 연속성의 핵심 과제임을 일깨운 사건으로 남았다.