농협 전산망 마비 사태 (2011)

2011년 4월 12일 농협 전산망에 저장된 자료가 대규모로 손상되면서 전체 또는 일부 금융서비스가 마비됐다. 카드 결제, 현금인출, 인터넷뱅킹 등 핵심 서비스가 멈추며 전국의 농협 고객들이 큰 불편을 겪었다. 국내 주요 금융기관의 전산망이 통째로 멈춘 초유의 사태였다. 농협은 즉각 비상 대응에 나섰지만 손상된 서버 복구에 상당한 시간이 걸렸다. 이 사고는 금융 전산 인프라의 취약성을 적나라하게 드러냈다.

사고 다음 날에도 전산 서비스가 완전히 복구되지 않으면서 고객 불편과 혼란이 확산됐다. 카드 승인과 계좌 조회가 되지 않아 결제와 이체가 막히는 사례가 속출했다. 일부 서비스는 며칠에 걸쳐 순차적으로 복구되며 정상화까지 오랜 시간이 걸렸다. 농협은 피해 고객에 대한 보상과 사과 방침을 밝혔다. 금융당국도 사태의 심각성을 인식하고 진상 파악에 착수했다.

사건 초기에는 협력업체 작업 중 발생한 사고 가능성이 제기됐으나, 이후 농협 측은 내부 시스템을 잘 아는 전문가에 의한 사이버테러 가능성이 높다고 밝혔다. 서버 관리에 필요한 최고 권한이 악용돼 자료 삭제 명령이 내려진 정황이 드러났다. 이에 따라 단순 장애가 아닌 고의적 공격이라는 쪽에 무게가 실렸다. 검찰과 경찰은 합동 수사에 나서 접속 기록과 관리자 계정을 집중 분석했다. 금융기관 내부 통제의 허점이 도마 위에 올랐다.

수사 결과 서버 유지보수를 맡은 한국IBM 직원의 노트북이 침입 경로로 지목됐다. 검찰은 이 직원이 웹하드에서 내려받은 파일을 통해 노트북이 악성코드에 감염됐고, 이 노트북이 농협 서버 삭제 명령의 발원지가 됐다고 봤다. 외주 인력의 단말기 한 대가 대형 금융 전산망을 마비시킬 수 있음이 드러났다. 이는 협력업체 보안관리와 접근권한 통제의 중요성을 부각시켰다. 감염 노트북에서 발견된 악성코드는 이후 공격 배후 규명의 핵심 단서가 됐다.

서울중앙지검은 농협 전산망 마비 사태가 북한 정찰총국이 주도한 사이버테러라고 발표했다. 검찰은 감염 노트북에 심어진 악성코드와 명령 방식이 앞선 3·4 디도스 공격, 7·7 디도스 공격과 동일하다는 점을 근거로 제시했다. 오랜 기간 잠복하며 준비된 지능형 공격이라는 설명이었다. 발표는 금융 전산 사고가 국가 배후 사이버 공격으로 규정된 첫 사례로 주목받았다. 이 결론은 이후 국가 사이버안보 논의에 큰 영향을 미쳤다.

검찰의 북한 소행 발표에 대해 여러 부분에서 의문과 반박이 제기됐다. 결정적 물증보다는 공격 수법의 유사성에 의존한 정황 판단이라는 비판이 나왔다. 일부 보안 전문가들은 배후 특정의 근거가 충분하지 않다고 지적했다. 사고의 근본 원인이 농협 내부의 허술한 보안관리에 있다는 반론도 제기됐다. 배후 논쟁과 별개로 금융기관의 자체 보안 부실 책임은 분명하다는 지적이 이어졌다.

사태 이후 금융당국은 금융권 전산 보안 강화를 위한 종합 대책을 내놨다. 전산센터 이원화와 백업 체계 강화, 외주 인력 접근권한 통제 등 재발방지 방안이 논의됐다. 농협은 피해 고객에 대한 사과와 보상, 전산 시스템 전면 점검을 약속했다. 금융회사의 IT 보안 투자와 내부통제 수준을 끌어올리는 계기가 됐다. 이 사건은 이후 전자금융감독규정 개정 등 제도 정비의 배경이 됐다.