3·20 사이버 공격
2013년 3·20 사이버 공격은 한국 방송사와 금융회사의 PC·서버 저장영역을 파괴해 대규모 업무 중단을 일으킨 동시다발 와이퍼 공격입니다.
3·20 사이버 공격
2013년 3월 20일 오후 한국의 주요 방송사와 은행·보험사에서 다수 PC가 동시에 부팅되지 않고 일부 서버가 손상되는 사건이 발생했습니다. 악성코드는 하드디스크의 마스터 부트 레코드와 데이터를 덮어써 시스템을 사용할 수 없게 만들었습니다. DarkSeoul, Jokra 등 명칭이 관련 분석에서 사용되었습니다.
방송 송출 자체는 대체 시스템으로 유지된 곳이 있었으나 사내 제작·편집·업무망과 금융 창구 서비스에 장애가 발생했습니다.
사건 개요
진행 경과
공격자는 사전에 내부망에 접근해 악성코드를 배포한 뒤 예약된 시각에 파괴 기능을 실행한 것으로 분석되었습니다. 일부 기관에서는 패치관리 서버나 중앙관리 인프라가 악성코드 배포 경로로 지목되었습니다. 여러 조직에서 비슷한 시간에 장애가 나타나 국가 차원의 대응이 시작되었습니다.
피해와 영향
방송사의 뉴스·제작 업무와 금융회사의 창구·온라인 서비스가 영향을 받았고 수만 대 규모의 PC와 서버 복구가 필요했습니다. 업무망의 중앙 관리체계가 공격자에게 이용될 때 피해가 빠르게 확산될 수 있다는 점이 확인되었습니다.
원인과 확산 요인
업데이트·자산관리 서버의 높은 권한, 내부망에서의 광범위한 실행 신뢰, 네트워크 분리와 실행제어 부족, 사전 침투 탐지 실패가 확산을 키운 요인으로 분석되었습니다. 공격자는 파괴 시점을 조절해 여러 시스템을 동시에 중단시켰습니다.
대응과 수습
피해기관은 네트워크를 분리하고 손상 시스템을 재설치하며 백업에서 복구했습니다. 정부 합동대응팀은 악성코드와 접속기록을 분석하고 후속 경보를 배포했습니다. 이후 방송·금융권의 망분리, 중앙관리 서버 보호, 백업과 위기대응 훈련이 강화되었습니다.
남긴 교훈
중앙 배포·관리 시스템은 전체 조직에 코드를 실행할 수 있어 최고 수준의 보호가 필요합니다. 파괴형 공격은 탐지 후 복구만으로 대응하기 어려우며 실행 전 차단과 불변 백업, 대체 업무수단을 준비해야 합니다. 동시다발 장애 상황의 공지와 기관 간 정보공유도 중요합니다.
사실 확인 시 주의점
한국 정부는 북한 연계 공격으로 결론을 발표했습니다. 일부 IP 설명 오류와 공개 증거 한계로 attribution 논쟁이 있었습니다. 최초 발표, 수정 발표, 최종 조사 결과를 시점별로 구분해 확인해야 합니다.