미국 정부를 마비시킨 솔라윈즈 공급망 공격, 솔라윈즈 해킹 사건이란?

소프트웨어 업데이트 버튼을 누르는 그 순간, 당신은 어쩌면 해커에게 문을 열어주는 것일지도 모른다. 신뢰를 기반으로 한 소프트웨어 공급망 자체를 공격 루트로 활용한 전대미문의 사건, 바로 '솔라윈즈(SolarWinds) 해킹 사건'이다. 이 사건은 단순한 데이터 유출을 넘어, 국가 안보를 위협하고 전 세계 IT 인프라의 근간을 흔들었던 거대한 사이버 첩보 작전이었다.

역사상 가장 정교하고 대담했던 공격으로 평가받는 솔라윈즈 해킹 사건의 전말을 파헤쳐 보자.

 

모든 비극의 시작, 솔라윈즈 '오리온'

솔라윈즈는 IT 인프라 관리 소프트웨어를 개발하는 미국의 유명 기업이다. 이들의 주력 제품인 '오리온 플랫폼(Orion Platform)'은 수많은 기업과 정부 기관에서 네트워크와 시스템을 통합적으로 모니터링하고 관리하는 데 사용된다. 문제는 바로 이 오리온 플랫폼의 편리함과 높은 신뢰도를 공격자가 역이용했다는 점이다. 공격자들은 솔라윈즈의 소프트웨어 빌드 시스템에 침투하여 정상적인 오리온 플랫폼 업데이트 파일에 악성코드를 몰래 심어 넣었다.

 

 

신뢰를 무너뜨린 공급망 공격(Supply Chain Attack)

솔라윈즈 해킹의 핵심은 바로 '공급망 공격'이다. 공급망 공격이란 무엇일까? 이는 최종 목표를 직접 공격하는 대신, 목표가 신뢰하고 사용하는 제3의 소프트웨어나 하드웨어의 개발 및 유통 과정에 개입하여 악의적인 코드를 삽입하는 매우 지능적인 공격 방식이다. 솔라윈즈 사건에서 공격자들이 사용한 전략을 구체적으로 살펴보자.

• 초기 침투: 공격자들은 솔라윈즈의 시스템에 침투하여 소프트웨어 개발 및 배포 프로세스에 접근 권한을 획득했다.
• 악성코드 삽입: 정상적인 오리온 플랫폼 업데이트 파일(SolarWinds.Orion.Core.BusinessLayer.dll)에 '선버스트(SUNBURST)'라 불리는 악성코드를 주입했다. 이 악성코드는 디지털 서명까지 완벽하게 갖추고 있어, 솔라윈즈의 공식 업데이트 파일처럼 위장했다.
• 자동 배포: 2020년 3월부터 6월 사이에 배포된 오리온 플랫폼 업데이트 버전을 설치한 전 세계 최대 1만 8천여 개의 고객사 시스템에 이 악성코드가 자동으로 설치되었다. 고객들은 정상적인 보안 업데이트로 믿고 아무런 의심 없이 설치를 진행했다.

 

치밀하고 조용한 악성코드 선버스트(SUNBURST)

선버스트 악성코드는 매우 치밀하고 인내심이 강한 특징을 보인다. 시스템에 설치된 직후 바로 활동을 개시하는 것이 아니라, 최대 2주간의 휴면기를 가지며 자신이 분석 환경이나 샌드박스에서 실행되는지 철저히 확인했다. 이후 외부의 C2(명령 제어) 서버와 통신하며 추가적인 악성코드를 내려받거나 내부 시스템을 장악하기 위한 정찰 활동을 시작했다. 이처럼 조용하고 은밀하게 움직였기 때문에 수개월간 그 누구도 해킹 사실을 인지하지 못했다.

 

공격의 배후와 피해 규모

미국 정부는 이 공격의 배후로 러시아 대외정보국(SVR)과 연계된 해킹 그룹 'APT29(코지 베어)'를 공식적으로 지목했다. 이들은 금전적 이득보다는 국가적인 차원의 첩보 활동을 목적으로 움직이는 것으로 알려져 있다.

 

피해 규모는 상상을 초월한다. 미국 재무부, 상무부, 국토안보부, 국립보건원 등 핵심 정부 기관을 비롯해 마이크로소프트, 인텔, 시스코 등 수많은 글로벌 IT 기업들이 피해를 입었다. 공격자들은 시스템 깊숙이 침투하여 내부 이메일을 훔쳐보거나 기밀 정보를 유출하는 등 장기간에 걸쳐 광범위한 첩보 활동을 벌인 것으로 드러났다.

 

솔라윈즈 사태가 남긴 교훈

솔라윈즈 해킹 사건은 더 이상 신뢰하는 공급업체의 소프트웨어라고 해서 무조건 안전하지 않다는 뼈아픈 교훈을 남겼다. 이 사건 이후 전 세계적으로 '제로 트러스트(Zero Trust)' 보안 모델의 중요성이 크게 대두되었다. '아무도 신뢰하지 말고, 모든 것을 검증하라'는 제로 트러스트 원칙처럼, 내부 네트워크와 외부 소프트웨어를 막론하고 모든 접근에 대해 철저한 인증과 검증이 필요하다.

---

또한, 소프트웨어 개발 전 과정의 보안을 강화하는 '시큐어 코딩'과 공급망의 모든 단계를 투명하게 관리하는 것이 얼마나 중요한지 다시 한번 일깨워준 사건이라 할 수 있다. 이 거대한 사이버 재난은 앞으로 우리가 IT 인프라를 구축하고 보호하는 방식에 근본적인 변화를 요구하고 있다.

#솔라윈즈 #SolarWinds #해킹 #사이버보안 #공급망공격 #SUNBURST #APT29 #정보보안 #제로트러스트 #IT보안 #네트워크보안