2021년 콜로니얼 파이프라인 랜섬웨어, 비밀번호 하나로 미 동부 기름이 끊긴 날

콜로니얼 랜섬웨어 사태: 재사용 비밀번호 하나로 미 동부 주유 대란

[핵심요약] 2021년 콜로니얼 파이프라인은 MFA 없는 VPN 계정 하나가 다크사이드 랜섬웨어에 뚫리며 미 동부 연료 공급의 45%가 멈췄고, 440만 달러를 내고도 완전 정상화까지 며칠이 걸렸어요.

2021년 5월 7일, 미국 최대 송유관 운영사 콜로니얼 파이프라인이 다크사이드(DarkSide) 랜섬웨어 조직의 공격을 받아 전체 파이프라인 가동을 멈췄어요. 침투 경로는 놀랍게도 다중인증(MFA)이 걸려 있지 않던 VPN 계정 하나였고, 이 비밀번호는 이미 다른 사이트 유출 사고에서 새어 나와 다크웹에 떠돌던 것이었어요. 

공격자들은 약 100GB의 내부 데이터를 빼낸 뒤 청구·정산용 IT 시스템을 암호화했고, 콜로니얼은 실제 피해가 확인되지 않은 운영기술(OT) 설비까지 선제적으로 정지시키면서 미 동부 연료 공급의 약 45%가 며칠간 끊겼어요. 결국 회사는 75비트코인(약 440만 달러)의 몸값을 지불했고, 조 바이든 당시 대통령은 국가비상사태를 선포했어요.

그날 무슨 일이 있었나?

발단은 허무할 만큼 단순했어요. 콜로니얼 직원 한 명이 다른 사이트에서 쓰던 비밀번호를 사내 VPN 계정에도 그대로 재사용하고 있었고, 이 비밀번호는 이미 예전 유출 사고로 다크웹에 공개돼 있었어요. MFA가 걸려 있지 않았던 이 계정 하나로 다크사이드는 내부망에 들어와 데이터를 빼내고 랜섬웨어를 심었어요. 

문제는 그다음이었어요. 랜섬웨어는 청구·정산 시스템 등 IT망에만 침투했을 뿐 실제 송유관을 제어하는 OT망까지 넘어간 정황은 없었는데도, 콜로니얼은 공격이 OT까지 번졌는지 실시간으로 확인할 가시성 자체가 없었어요. 결국 최악의 상황을 가정해 전체 파이프라인을 통째로 멈추는 쪽을 택했고, 이 판단이 미 동부 남동부 지역의 주유대란·항공유 부족·사재기로 이어졌어요. 

회사는 공격 당일 몸값을 지불했지만 복구 도구가 느려 정상화까지 며칠이 더 걸렸고, 이후 미 법무부(DOJ)가 다크사이드가 받은 비트코인 중 약 230만 달러 상당을 추적해 환수하는 데 성공했어요. 거센 후폭풍 속에 다크사이드 조직은 얼마 지나지 않아 자신들의 인프라를 스스로 내리며 자취를 감췄어요.

왜 지금도 회자되는가?

이 사건이 5년이 지난 지금도 계속 인용되는 이유는, 사이버 공격이 서버 화면 안에서만 끝나지 않고 실제로 주유소 앞 긴 줄과 기름값 폭등이라는 눈에 보이는 일상 마비로 이어진 몇 안 되는 사례이기 때문이에요. 

이 사건을 계기로 미국은 소프트웨어 공급망 보안과 제로트러스트 도입을 의무화한 행정명령을 발표했고, 교통보안청(TSA)은 파이프라인 운영사에 사고 신고·IT/OT망 분리를 강제하는 첫 사이버보안 지침을 내놨어요. 또 다크사이드가 마치 정식 소프트웨어 업체처럼 제휴사(어필리에이트) 모델과 고객지원까지 운영하던 방식은 당시엔 충격적이었지만, 지금은 랜섬웨어 산업 전체의 기본 운영 방식이 됐어요. 

무엇보다 이 사건은 대형 인프라 기업조차 MFA 하나 빠뜨린 계정 때문에 국가 비상사태급 사고로 번질 수 있다는 걸 증명한 첫 사례로 남아 있어요.

오늘날 우리 회사가 배울 점

eSecurity Planet이 2026년에 다시 짚은 이 사건의 재조명 기사를 보면, 5년이 지난 지금도 핵심 기반시설 상당수가 여전히 랜섬웨어와 OT 보안 가시성 격차라는 같은 문제를 안고 있다고 지적해요.

 TSA 지침 이후 IT/OT 분리와 모니터링이 의무화되긴 했지만, 인력과 예산이 부족한 중견 규모 운영사는 여전히 최소한의 망 분리조차 갖추지 못한 경우가 많아요. 실제로 이 블로그에서도 최근 이란 배후 해킹조직이 영국 발전소 PLC를 나흘간 마비시킨 사건이나 미국 항만 게이트시스템이 사이버공격으로 멈춘 사례처럼, 기반시설을 겨냥한 공격은 여전히 반복되고 있어요. 콜로니얼 사건의 진짜 교훈은 "우리는 대기업이 아니니 상관없다"가 아니라, 원격접속 계정 하나의 관리 소홀이 어느 조직에서든 똑같이 재현될 수 있다는 점이에요.

• 퇴사자·협력업체 계정을 포함해 VPN·원격접속 계정 전체에 MFA가 예외 없이 걸려 있는지 확인해 보세요
• 직원들이 사내 계정에 다른 사이트와 같은 비밀번호를 재사용하고 있지 않은지 점검해 보세요
• IT망 침해가 확인됐을 때 OT·제어시스템을 즉시 물리적으로 격리할 수 있는 네트워크 분리 체계가 있는지 확인해 보세요
• 청구·정산 시스템 등에서 평소보다 파일 접근이나 암호화 프로세스가 급증하지 않았는지 로그를 확인해 보세요
• 공격이 터졌을 때 설비를 멈출지 계속 가동할지 판단할 최소한의 실시간 가시성 도구를 갖추고 있는지 점검해 보세요
• 비상 상황에서 누가 몇 분 안에 의사결정을 내릴지 정리된 사고 대응 매뉴얼과 비상연락망이 최신 상태인지 확인해 보세요

Q. 우리 회사는 파이프라인 같은 대형 인프라가 아닌데도 남 얘기가 아닌가요?

네, 전혀 남 얘기가 아니에요. 다크사이드는 콜로니얼이 대기업이라서 노린 게 아니라 MFA 없는 계정이 있었기 때문에 뚫었어요. 랜섬웨어 조직은 규모를 가리지 않고 가장 약한 계정 하나를 찾아 침투하기 때문에, 전산 인력이 적은 중견기업일수록 오히려 더 위험할 수 있어요.

Q. 랜섬웨어가 IT망만 뚫었는데 왜 회사가 전체 설비를 통째로 멈췄나요?

공격이 OT망까지 번졌는지 실시간으로 확인할 가시성이 없었기 때문이에요. 확인이 안 되니 최악의 상황을 가정해 멈출 수밖에 없었던 거예요. 평소에 IT와 OT 상태를 함께 볼 수 있는 모니터링 체계를 갖추면, 이렇게 눈을 감은 채로 전체를 멈추는 극단적 선택을 피할 수 있어요.

Q. 몸값을 냈는데도 정상화까지 며칠이 걸린 이유는 뭔가요?

공격자가 제공한 복구 도구 자체가 느리고 불안정했기 때문이에요. 실제로 이런 사례가 반복되면서, 몸값을 낸다고 바로 정상화된다는 보장이 없다는 게 여러 사고에서 공통으로 확인되고 있어요. 오히려 평소 백업 체계가 탄탄한 조직이 더 빨리 복구하는 경우도 많아요.

콜로니얼 파이프라인 사건은 사이버 공격이 서버 안에서만 머물지 않고 도로 위 주유대란으로까지 번질 수 있다는 걸 보여준 사건이에요. 그리고 그 시작이 거창한 제로데이가 아니라 재사용된 비밀번호 하나였다는 사실이 5년이 지난 지금도 이 사건을 계속 회자시키는 이유예요. 기반시설을 겨냥한 공격은 여전히 반복되고 있고, 그 출발점은 크게 달라지지 않았어요. 지금 우리 조직의 원격접속 계정 하나하나를 다시 들여다볼 이유예요.

📌 더 알아보기: 이란 해킹조직, 영국 발전소 PLC 뚫어 나흘간 마비…美 수처리시설도 동시 공격

이런 사고를 막으려면 관리자 권한이 뚫려도 백업까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 해커가 VPN 계정 하나로 들어와도 왜 백업은 못 건드리는지 궁금하다면 여기서 확인해보세요.