랙스페이스 호스티드 익스체인지 플레이 랜섬웨어 공격과 서비스 종료

2022년 12월 초 클라우드 기업 랙스페이스는 관리형 이메일 서비스인 호스티드 마이크로소프트 익스체인지에서 장애가 발생했다고 알렸다. 일부 보도는 공격이 12월 1일 시작됐다고 전했고, 다른 보도는 12월 2일 공격을 받았다고 정리했다. 회사는 영향받은 환경을 선제적으로 분리했고 이 때문에 전 세계 수천 곳의 고객이 이메일에 접속하지 못했다. 이후 FBI와 크라우드스트라이크는 이번 공격을 플레이 랜섬웨어 조직의 소행으로 지목했다. 호스티드 익스체인지는 랙스페이스 연매출의 약 1%를 차지하는 사업이어서 서비스 중단은 고객 불편과 회사 평판에 직격탄이 됐다.

랙스페이스는 12월 6일 이번 장애가 랜섬웨어 사건 때문이라고 공식 확인했다. 같은 시기 고객들이 메일 복구 지연과 늑장 통지를 이유로 집단소송을 제기했다는 보도가 나왔고, 원고는 가렛 스티븐슨과 게이트웨이 리크루팅 등이었다. 소장은 과실, 묵시적 계약 위반, 기만적 거래 행위 등을 주장하며 개인정보와 기밀 정보를 보호하지 못했다고 비판했다. 사건 이후 랙스페이스 주가는 한 보도 기준으로 주당 4.94달러에서 2.91달러로 약 41% 하락했다. 회사는 랜섬을 지불하지 않겠다는 입장을 밝혔고 호스티드 익스체인지 복구는 장기화됐다.

12월 중 보안업체 크라우드스트라이크는 플레이 랜섬웨어가 익스체인지 서버를 장악할 때 쓰는 새 공격기법 OWASSRF를 상세히 공개했다. 이 기법은 CVE-2022-41080과 프록시낫쉘 계열 취약점 CVE-2022-41082를 아웃룩 웹 접근 엔드포인트를 통해 엮어 원격 코드 실행을 달성한다. 프록시낫쉘에 대한 URL 재작성 완화 조치가 OWASSRF에는 통하지 않아, 기존 완화 조치만 적용한 서버도 뚫릴 수 있다는 경고가 나왔다. 랙스페이스 사건에 투입된 외부 자문가는 이 기법이 실제 공격에 쓰였다고 테크타깃에 확인했다. 이로써 이번 사건은 마이크로소프트 익스체인지 온프레미스·호스팅 환경 전반의 패치 점검 필요성을 환기했다.

2023년 1월 초 랙스페이스는 공격이 마이크로소프트가 공개하지 않은 제로데이 기법에 의한 것이라고 주장했다. 최고보안책임자는 마이크로소프트가 CVE-2022-41080을 단순 권한 상승 취약점으로만 공개했고 원격 코드 실행 연쇄의 일부라는 설명은 넣지 않았다고 말했다. 회사 설명으로는 플레이 조직이 호스티드 익스체인지 고객 3만 곳 가운데 27곳의 개인 저장 테이블(PST) 파일에 접근했다. 크라우드스트라이크 조사는 공격자가 해당 이메일이나 데이터를 실제로 열람하거나 반출·악용했다는 증거를 찾지 못했다고 결론 내렸다. 이 주장에 대해 취약점 공개 책임을 둘러싼 논쟁이 일었다.

랙스페이스는 호스티드 익스체인지를 다시 세우는 대신 사업을 종료하고 고객을 마이크로소프트 365로 옮기는 쪽을 택했다. 회사는 이전 비용을 부담하고 동등한 요금제의 가격을 올리지 않겠다고 밝혔으며 익스체인지 플랜 1 라이선스도 제공했다. 호스티드 익스체인지는 연 매출이 약 3000만 달러 규모로 알려진 사업이었다. 복구된 과거 메일 데이터는 영향받은 고객의 절반 이상이 내려받을 수 있는 상태가 됐지만 실제 내려받은 고객은 5% 미만이었다. 이 결정은 클라우드 공급자가 침해 후 서비스를 접는 드문 사례로 기록됐다.

랙스페이스는 2023년 1~9월 이 랜섬웨어 사건과 관련해 약 500만 달러의 비용을 인식했다고 공시했다. 비용에는 복구, 조사, 법률 및 기타 전문 서비스와 추가 인력 비용이 포함됐다. 회사는 보험을 통해 약 540만 달러를 회수할 것으로 예상했지만 보험금 지급 시점은 비용 인식 시점과 다를 수 있다고 밝혔다. 또한 사건과 관련한 여러 소송이 진행 중이라고 설명하면서도 재무 상태에 중대한 영향은 없을 것으로 본다며 적극 대응하겠다고 했다. 호스티드 익스체인지는 이 시점에 이미 매출 약 1%를 차지하던 사업을 접은 뒤였다.