美 노스캐롤라이나 3개 항만 사이버공격, 게이트시스템 마비··해안경비대 조사 착수

8월 4일, 미국 노스캐롤라이나주가 운영하는 윌밍턴항·모어헤드시티항·샬럿 내륙항 등 3개 항만의 전산망이 사이버공격을 받아 게이트 시스템이 일제히 마비됐다. 노스캐롤라이나항만청(NC Ports)은 즉시 사이버보안 비상대응계획을 가동하고 모든 출입 처리를 수기(수작업)로 전환했으며, 미 해안경비대(Coast Guard)까지 사태 파악에 나섰다. 윌밍턴항 한 곳만 해도 선석 9개에 연간 60만 TEU 컨테이너 처리 능력을 갖춘 곳으로, 주간 평균 5,000건의 게이트 처리가 이뤄지는 핵심 물류 거점이다. 그런데 사고 발생 일주일이 지난 8월 10일 시점까지도 항만청은 공격 배후나 침투 경로, 심지어 랜섬웨어 여부조차 공식적으로 밝히지 않고 있다.

무슨 일이 있었나

공격은 8월 4일 탐지됐고, 다음 날인 8월 5일 아침 8시부터 게이트가 다시 열리긴 했지만 지연이 이어졌다. 항만청은 외부 포렌식 전문팀을 투입해 시스템을 점검·복구하는 한편, 각 항만 입구에 전산 장애로 인한 지연을 안내하는 표지판을 세웠다. 화물차 기사와 물류업체들은 정상 스케줄대로 항만이 운영되고 있다는 안내를 받았지만, 실제 처리는 사람이 직접 서류를 확인하고 기록하는 수기 방식으로 진행됐다. 8월 7일 무렵부터 시스템이 점진적으로 정상화되고 있다는 발표가 나왔지만, 어떤 시스템이 구체적으로 뚫렸는지, 데이터가 빠져나갔는지는 공개되지 않았다. 항만청 대변인은 관련 질문에 답변을 거부했고, 이 시점까지 어떤 해킹조직도 공격을 자처하지 않았다.

왜 특히 위험한가

이 사고는 최근 미국 핵심 인프라를 겨냥한 공격이 잇따르는 흐름 안에 있다. 최근 몇 달간 상수도 시스템을 노린 공격이 다수 확인됐고 일부는 이란계 배후가 의심되는데, 이번 항만 사고도 배후는 특정되지 않았지만 같은 맥락에서 주목받고 있다. 항만은 단일 기업이 아니라 그 지역에 입출항하는 수백 개 물류·제조업체의 화물이 동시에 걸려 있는 공유 인프라라, 게이트 시스템이 며칠만 마비돼도 원자재 수급·출하 일정이 줄줄이 밀릴 수 있다. 더 불안한 건 정보 공개의 불투명성이다. 랜섬웨어 여부조차 밝히지 않는다는 건 조사가 진행 중이라는 뜻일 수도, 실제 피해 규모를 아직 파악하지 못했다는 뜻일 수도 있다 — 공식 발표만 믿고 안심하기엔 이르다.

비슷한 조직이 대비하려면

가장 눈여겨볼 대목은 항만청이 전산 장애 즉시 수기 처리로 전환할 수 있었다는 점이다. 평소 비상대응계획을 문서로만 갖고 있던 게 아니라 실제로 작동시킬 수 있는 상태로 준비해뒀다는 뜻이다. 반대로 출입통제·재고관리·수발주 시스템이 서버 하나에 전부 의존하는 조직이라면, 그 시스템이 몇 시간만 멈춰도 업무 전체가 정지될 수 있다. 최소한의 수작업 대체 절차(종이 대장, 오프라인 확인 리스트)를 미리 마련해두는 것만으로도 피해를 크게 줄일 수 있다.

또 하나는 협력사·거래처의 시스템 장애가 우리 회사에 미치는 영향을 파악해두는 것이다. 항만이나 물류센터, 원자재 공급사의 전산망이 멈추면 그 여파는 직접 공격받지 않은 회사에도 고스란히 전달된다. 주요 물류 파트너의 사고 발생 시 연락 체계와 대체 경로를 미리 파악해두는 것이 현실적인 대비책이다. 마지막으로, 배후나 방식이 공개되지 않은 사고라도 무시하지 말아야 한다 — 정보가 부족하다는 건 오히려 전모가 드러나지 않았다는 신호일 수 있으므로, 유사 인프라를 운영하거나 거래하는 조직이라면 공식 발표를 기다리기보다 자체 접근 로그에 이상 징후가 없는지 먼저 점검하는 편이 안전하다.

• 출입통제·게이트·재고관리 시스템이 멈췄을 때 즉시 전환할 수 있는 수작업 대체 절차가 문서로 준비돼 있는가
• 주요 물류·원자재 협력사의 전산 장애 발생 시 연락할 담당자와 대체 경로를 미리 파악해뒀는가
• 최근 사내 인증 시스템에서 설명되지 않는 로그인 실패나 접속 지연이 급증한 이력이 있는가
• 외부 포렌식·침해대응 전문업체의 연락처를 사고 발생 즉시 확인할 수 있는 상태로 보유하고 있는가
• 핵심 시스템 장애가 발생했을 때 누가, 어떤 순서로 의사결정을 내릴지 정해진 비상대응 체계가 있는가

Q. 랜섬웨어인지 확인도 안 됐는데 다룰 이유가 있나?

공식 확인이 안 됐을 뿐, 게이트 시스템 전체가 마비돼 수기 처리로 전환할 정도의 침해라는 사실은 변하지 않는다. 원인이 열흘 가까이 밝혀지지 않고 있다는 점 자체가, 초동 대응 이후 조사가 얼마나 더뎌질 수 있는지를 보여준다.

Q. 중견 제조업체와 무슨 상관인가?

직접 항만을 운영하지 않아도, 원자재 수입이나 제품 수출에 이 항만을 거치는 회사라면 게이트 마비가 곧 입출고 지연으로 이어진다. 자사 물류 거점이나 협력사가 이런 사고를 겪을 때 대체 경로가 있는지 미리 점검해두는 게 현실적이다.

Q. 며칠 만에 정상화됐다는데, 그렇게 심각한 건가?

겉으로 보이는 운영 정상화와 실제 원인 규명은 다른 문제다. 항만청조차 공격 경로와 유출 여부를 아직 공개하지 못했다는 건, 지연이 끝났다고 사고가 완전히 종결된 게 아니라는 뜻이다.

배후도, 공격 수법도, 데이터 유출 여부도 밝혀지지 않은 채 열흘 가까이 흘러가고 있다는 사실 자체가 이번 사고의 가장 불편한 지점이다. 다행히 노스캐롤라이나항만청은 평소 마련해둔 비상대응계획 덕분에 수기 처리로 빠르게 전환해 최악의 마비는 피했지만, 모든 조직이 그런 대체 수단을 갖추고 있는 건 아니다. 우리 회사의 핵심 시스템이 하루아침에 멈춘다면 무엇으로, 어떻게 버틸 수 있을지 — 이번 사고가 던지는 질문은 결국 이것이다.