예스24 랜섬웨어 서비스 마비 사태

2025년 6월 9일 국내 최대 인터넷 서점 예스24가 외부 세력의 랜섬웨어 공격을 받아 전사 시스템이 마비되는 사고가 발생했다. 이 공격으로 도서 주문, 전자책 열람, 공연·콘서트 예매 등 핵심 서비스가 전면 중단됐다. 예스24는 홈페이지와 모바일 앱 모두 접속 불능 상태에 빠져 이용자들이 큰 불편을 겪었다. 회사 측은 초기에 원인을 명확히 밝히지 않아 이용자들의 불안이 커졌다. 이 사고는 국내 전자상거래·콘텐츠 플랫폼의 보안 취약성을 드러낸 대표 사례로 기록됐다.

개인정보보호위원회는 6월 11일 예스24에 대한 개인정보 유출 여부 조사에 착수했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)도 침해사고 대응에 나서며 예스24 측에 관련 자료 보존을 요구했다. 다만 예스24는 개인정보 유출이 확인되지 않았다는 입장을 유지했고, 개인정보위에 접수된 유출 신고도 없었다. 규제 당국은 랜섬웨어 감염 경로와 개인정보 탈취 여부를 집중적으로 들여다봤다. 이용자들은 자신의 개인정보 안전 여부를 확인하지 못해 불안에 떨어야 했다.

예스24의 서비스 장애가 닷새 넘게 이어지면서 원인이 랜섬웨어 감염으로 공식 확인됐다. 보안 전문가들은 예스24가 마이크로소프트의 기술지원이 종료된 구형 윈도우 서버 운영체제를 사용하고 있었다고 지적했다. 지원 종료 운영체제는 보안 패치가 적용되지 않아 해킹에 특히 취약하다는 분석이 나왔다. 장기간 서비스 중단으로 예스24는 매출과 신뢰에 큰 타격을 입었다. 전자책·공연 예매 등 시간에 민감한 서비스가 멈추면서 이용자 피해가 누적됐다.

예스24는 6월 19일경 마비됐던 핵심 서비스를 대부분 복구하고 정상 운영을 재개했다. 6월 9일 첫 감염 이후 서비스가 장기간 중단되면서 회사는 백업 데이터를 활용한 복구 작업에 총력을 기울였다. 예스24는 공식 사과문을 통해 고객에게 사과하고 보안 강화와 재발 방지를 약속했다. 그러나 열흘 가까운 서비스 공백으로 이용자 이탈과 브랜드 이미지 훼손이 불가피했다. 업계에서는 국내 대형 플랫폼의 재해 복구(DR) 체계 부실을 보여준 사례라는 평가가 나왔다.

6월 사태로부터 약 두 달 만인 8월 11일 새벽 예스24가 또다시 랜섬웨어 공격을 받아 서비스가 전면 중단됐다. 공격은 이날 새벽 4시 30분경 발생해 홈페이지와 앱이 접속 불능 상태에 빠졌다. 다행히 이번에는 백업 데이터를 활용해 약 7시간 만인 정오 무렵 서비스가 복구됐다. 보안 강화와 재발 방지를 약속한 지 두 달 만에 동일한 유형의 사고가 재발하면서 이용자들의 비판이 거셌다. 예스24는 '해커 맛집', '해킹 먹잇감'이라는 오명을 쓰게 됐다.

2차 공격 직후 한국인터넷진흥원(KISA)은 예스24를 대상으로 즉각 현장 조사에 착수했다. 보안 전문가들은 지원이 종료된 운영체제 사용과 백업 데이터 내 악성코드 잔존 가능성을 재발 원인으로 지목했다. 한 번 해커의 요구에 응하면 다른 해커들이 같은 표적을 반복해 노리는 경향이 있다는 지적도 제기됐다. 예스24가 1차 사고 당시 해커와 협상했을 가능성이 거론되며 논란이 커졌다. 동일 원인의 반복 사고는 국내 기업의 보안 투자 부족 문제를 다시 부각시켰다.

예스24의 랜섬웨어 피해 규모가 반기보고서상 48억원의 잡손실로 드러났다. 업계에서는 이 금액에 해커에게 지급했을 가능성이 있는 몸값이 포함됐는지 주목했다. 랜섬웨어 대응 과정에서 몸값을 지급하면 추가 공격의 표적이 되기 쉽다는 점이 실제 재발로 확인됐다는 분석이 나왔다. 두 차례의 공격으로 예스24는 금전적 손실과 신뢰 하락이라는 이중 타격을 입었다. 이 사건은 국내 기업의 랜섬웨어 대응 원칙과 위기관리 체계에 경종을 울렸다.

예스24 사태는 랜섬웨어 감염 시 몸값을 지급해서는 안 되는 이유를 보여주는 대표 사례로 회자됐다. 보안 업계는 몸값 지급이 범죄 조직에 자금을 대주고 재공격을 유인한다는 점을 강조했다. 두 달 만의 재감염은 이 같은 우려가 현실이 됐음을 입증했다. 전문가들은 기업이 평소 백업 체계와 최신 보안 패치, 접근통제를 갖추는 것이 유일한 근본 대책이라고 조언했다. 예스24는 이후 서버 운영체제 교체와 보안 체계 전면 재점검에 나섰다.