소니 픽처스 해킹 사건
2014년 소니 픽처스 사건은 내부 이메일·직원정보·미공개 콘텐츠가 대량 유출되고 시스템이 파괴되어 기업 운영과 표현의 자유, 국가 연계 사이버위협 논의를 촉발했습니다.
소니 픽처스 해킹 사건
2014년 11월 Sony Pictures Entertainment의 사내 시스템이 마비되고 Guardians of Peace라는 이름을 사용한 공격자가 내부자료를 공개했습니다. 직원 개인정보, 경영진 이메일, 계약·재무 자료, 미공개 영화가 유출되었고 다수 컴퓨터가 파괴형 악성코드의 영향을 받았습니다.
공격자는 영화 「The Interview」와 관련된 위협을 발표했고 영화 배급·상영 결정에 큰 영향을 주었습니다.
사건 개요
진행 경과
공격자는 장기간 내부망에 접근해 자료를 수집한 뒤 파괴 악성코드를 실행하고 유출 자료를 단계적으로 공개했습니다. 공개된 이메일과 인사자료가 언론에 광범위하게 보도되며 피해가 지속되었습니다. 미국 FBI는 악성코드·인프라·이전 활동을 분석해 북한 책임을 발표했습니다.
피해와 영향
소니의 IT 업무와 제작 과정이 중단되었고 임직원의 사회보장번호·의료·급여 등 민감정보가 노출되었습니다. 이메일 공개는 직원과 외부 인물의 평판·관계·법적 분쟁에 영향을 주었습니다. 영화 상영 취소와 표현의 자유 논쟁도 발생했습니다.
원인과 확산 요인
장기 침투 탐지 실패, 내부 네트워크와 계정 권한, 민감자료의 광범위한 저장, 파괴 공격에 대한 복구 준비 부족이 피해를 키웠습니다. 데이터 절취와 시스템 파괴, 공개 협박이 한 사건에서 결합되었습니다.
대응과 수습
소니는 시스템을 재구축하고 직원 지원과 신원보호 조치를 제공했습니다. FBI와 미국 정부는 북한을 attribution하고 제재와 형사 기소를 진행했습니다. 2018년 미국 법무부는 관련 북한 국적 프로그래머를 기소했습니다.
남긴 교훈
임직원 이메일과 인사자료는 장기적 평판·신원 위험을 가진 중요 데이터입니다. 파괴형 공격을 가정한 오프라인 복구, 최소권한, 내부 분할, 대량 반출 탐지가 필요합니다. 위협과 유출 공개가 경영 의사결정에 미치는 영향까지 위기계획에 포함해야 합니다.
사실 확인 시 주의점
미국 정부의 attribution은 공식 판단이며 공개 증거의 전체가 제공되지는 않았습니다. 공격자의 영화 관련 동기와 최초 침투 시점, 구체적 경로는 여러 분석이 존재합니다. 기소는 혐의 제기이며 법원 확정판결과 구분됩니다.