2008년 10월 미군은 군 기밀 네트워크(SIPRNet)를 통해 확인되지 않는 해외 서버로부터 명령을 기다리는 이상 신호를 감지했다. 사태 파악에 나선 미 국가안보국(NSA)은 당시 부시(G. Bush) 대통령에게 즉각 보고할 정도로 이 사건을 국가안보가 위협받는 심각한 사이버침해 사고로 인식했다.

 악성코드(agent.btz)는 아프가니스탄의 미군기지에서 사용하던 노트북 컴퓨터의 이동식 저장장치(USB) 드라이브에서 비롯됐다. 이 악성코드는 이라크와 아프가니스탄 전쟁을 지휘하는 중부군사령부(CENTCOM)의 기밀 네트워크에 침투해 이와 연결된 다른 컴퓨터들을 감염시키면서 디지털 교두보(botnet)를 구축했다.

 당시 미군은 군 외부망과 내부망이 분리됐기 때문에 악성코드가 침투하더라도 연결고리가 없어 정보가 유출될 수 없다고 판단했다. 하지만 중동지역 야전에 있던 군인들이 별 의심 없이 자신의 노트북 컴퓨터로 외부망과 내부망을 동시에 연결해 사용했다. 이는 망이 분리됐더라도 네트워크를 사용하는 구성원의 보안의식 부재가 언제든 생각지 못한 위험을 자초할 수 있음을 보여준다.

 NSA는 엘리트 해커들을 총동원해 악성코드를 추적했다. 이 악성코드는 백신 프로그램이 쉽게 찾아내지 못하도록 자체 형태를 끊임없이 바꿨고, 미국 정부가 사용하는 비군사용 컴퓨터까지 널리 퍼진 상황임을 알게 됐다. 미군은 이를 무력화하기 위한 작전을 개시했다. 일명 ‘벅샷 양키(Buckshot Yankee) 작전’이라고 불리는 악성코드 박멸작전이다.

 이 악성코드는 2008년 6월 북대서양조약기구(NATO) 회원국의 군사용 컴퓨터에서도 출현한 바 있었다. 엄청난 피해를 줄 만큼 정교하진 못했지만, 군 지휘부는 USB 드라이브 사용을 전면 금지하는 등 이 해킹 사건을 국가안보의 중대한 위협으로 다뤘다. 미군은 14개월 동안이나 개별 컴퓨터들을 모두 분리해 오프라인 상태로 만든 뒤 악성코드를 제거하고, 하드 드라이브를 다시 포맷하는 지난한 과정을 거쳤다.

 미국은 이 사건을 아직 공식 확인하지 않고 있다. 미국은 사건 초부터 공격자가 적대국과 관련한 정보기관으로 의심했지만, 그뿐이었다. 정보 소실이 없었고 공격자에 대한 확증이 없을뿐더러 다양한 의도를 가진 해커들의 관심을 촉발할 수 있기 때문이다.

 이 사건은 미군이 정보작전의 하나로 수시로 적들의 네트워크에 침입해 지휘통제시스템을 감염시키지만, 적 또한 미군 네트워크를 통해 작전에 영향을 미치려 시도한다는 사실을 증명했다. 또한, 미군 지휘부에 그때까지 적의 사이버 공격에 즉각 대응할 수 있는 능력을 갖춘 것으로 과대평가했음을 깨닫게 한 계기가 된 것으로 보인다.

 ‘벅샷 양키 작전’은 미 사이버 방호체계를 혁신하는 전환점이 됐다. 국방부는 작전을 수행 중이던 2009년 6월 미 전략사령부 산하에 사이버사령부(USCYBERCOM)를 창설했다. 나아가 미국은 사이버 위협이 앞으로 국가적으로 가장 심각한 위협이 될 것으로 내다보고 사이버 방호를 국가안보의 최우선 과제로 설정했다.

* 이 칼럼은 국방일보 12.21자 독자마당 게재 글임

손영동 / 사이버안보연구소장