크라우드스트라이크 결함 업데이트가 부른 전세계 IT 대란

미국 사이버보안 기업 크라우드스트라이크는 협정세계시(UTC) 기준 7월 19일 오전 4시 9분 엔드포인트 보안 소프트웨어 '팔콘 센서'의 위협 탐지 콘텐츠 설정 파일(채널 파일 291)을 사전 검증 없이 전 세계 고객사에 일괄 배포했고, 이로 인해 전 세계 윈도우 PC 850만 대가 동시에 블루스크린으로 다운됐다. 이 파일에 논리적 결함이 있었던 탓에 윈도우 운영체제의 커널 드라이버가 메모리 범위를 벗어난 값을 읽어들이며 시스템 충돌을 일으켰고, 영향을 받은 컴퓨터들은 일제히 파란 화면(블루스크린, BSOD)을 띄우며 부팅 불능 상태에 빠졌다. 크라우드스트라이크는 문제를 인지하고 약 78분 만인 오전 5시 27분 해당 업데이트를 되돌렸지만 이미 전 세계 곳곳에서 시스템이 다운된 뒤였다. 마이크로소프트는 이 사태로 전 세계 약 850만 대의 윈도우 기기, 즉 전체 윈도우 시스템의 약 1%가 영향을 받은 것으로 추산했다. 이는 단일 업데이트로 인한 IT 장애로는 역대 최대 규모로 기록됐다.

장애 발생 즉시 전 세계 공항의 탑승 수속·발권 시스템이 마비되며 항공 대란이 벌어졌다. 델타항공은 이후 며칠간 7000편 넘는 항공편을 취소했고 승객 약 130만 명의 발이 묶였으며, 운항이 완전히 정상화되기까지 닷새 가까이 걸렸다. 아메리칸항공·유나이티드항공을 포함한 다수 항공사도 수동 체크인으로 전환하며 큰 혼란을 겪었다. 델타항공은 이 사태로 매출 손실 약 3억8000만 달러와 추가 비용 약 1억7000만 달러 등 총 5억 달러에 달하는 피해를 입었다고 주장했다. 공항뿐 아니라 철도·항만 등 다른 교통 인프라도 예약·운영 시스템 장애를 겪으며 여름 성수기 여행객들의 불편이 가중됐다.

장애는 항공업계를 넘어 의료·금융·언론 등 사회 필수 인프라 전반으로 번졌다. 영국 국민보건서비스(NHS) 산하 병원들은 예약 시스템이 다운돼 진료가 지연됐고, 미국 일부 병원 응급실은 컴퓨터 없이 수기로 환자를 받아야 했다. 호주와 영국의 여러 은행은 카드 결제와 온라인뱅킹이 일시 중단됐으며, 영국 스카이뉴스 등 일부 방송사는 생방송 송출이 중단되는 초유의 사태를 겪었다. 미국 일부 지역에서는 911 응급 신고 시스템까지 영향을 받아 시민 안전에 대한 우려가 커졌다. 미국 사이버보안·기반시설안보국(CISA)은 이를 '광범위한 IT 장애'로 규정하고 긴급 경보를 발령했다.

사태 파악 후 크라우드스트라이크 CEO 조지 커츠는 이번 장애가 해킹이나 사이버 공격이 아니라 자사가 배포한 결함 있는 업데이트로 인한 것이라고 인정하며 고객과 이용자들에게 공식 사과했다. 회사는 문제가 된 채널 파일을 되돌리는 수정 패치를 신속히 배포했지만, 이미 다운된 개별 기기들은 자동으로 복구되지 않고 안전 모드로 재부팅한 뒤 결함 파일을 수동으로 삭제해야 하는 번거로운 절차가 필요했다. 이 때문에 대규모 서버·클라우드 환경을 운영하는 기업일수록 복구에 며칠씩 걸렸다. 크라우드스트라이크 주가는 사태 발생 직후 며칠 새 30% 넘게 폭락하며 시가총액 수백억 달러가 증발했다. 회사는 이후 재발 방지를 위한 소프트웨어 테스트 절차 전면 개편을 약속했다.

미국 하원 국토안보위원회는 9월 24일 크라우드스트라이크 임원을 출석시켜 이번 장애의 원인과 재발 방지 대책을 추궁하는 청문회를 열었다. 의원들은 왜 검증되지 않은 업데이트가 전 세계 시스템에 동시 강제 적용될 수 있었는지, 항공·의료 등 필수 인프라 기업들이 왜 단일 보안업체에 이토록 크게 의존하게 됐는지를 집중 질의했다. 크라우드스트라이크 측은 향후 업데이트를 단계적으로 배포하고 고객사가 배포 시점을 통제할 수 있도록 하겠다고 답했다. 이 청문회는 미국 정부가 민간 IT 인프라의 시스템적 위험을 공식적으로 문제 삼은 계기로 평가된다. 이후 여러 주 정부와 규제기관도 자체 조사에 착수했다.

델타항공은 10월 25일 조지아주 풀턴카운티 고등법원에 크라우드스트라이크를 상대로 계약 위반과 과실 책임을 묻는 소송을 제기했다. 델타는 소장에서 크라우드스트라이크가 수백만 대의 마이크로소프트 컴퓨터에 사전 테스트 없이 결함 있는 업데이트를 보내 시스템 충돌과 며칠간의 운항 마비를 초래했다고 주장하며 5억 달러 규모의 손해배상을 요구했다. 델타는 이번 장애로 매출 손실과 승객 보상, 복구 비용 등을 합쳐 총 5억 달러에 달하는 피해를 봤다고 밝혔다. 이는 이번 사태로 제기된 기업 소송 중 가장 규모가 큰 사례로 주목받았다. 크라우드스트라이크는 소송 직후 델타의 주장이 근거가 부족하다고 반박했다.

크라우드스트라이크는 델타의 소송 제기 직후 델라웨어주 법원에 맞소송을 내며 '델타의 피해는 주로 자신들의 과실 탓'이라고 반박했다. 회사는 델타가 낡은 IT 인프라와 부족한 재해복구 체계 때문에 복구가 유독 지연됐으며, 자사가 제공한 기술 지원 제안도 델타 측이 충분히 활용하지 않았다고 주장했다. 크라우드스트라이크는 또 자사와 델타 간 서비스 계약에 손해배상 상한 조항이 있다는 점을 근거로 델타가 청구할 수 있는 배상액이 계약상 한도로 제한된다고 맞섰다. 양사의 소송전은 책임 소재를 둘러싼 IT 업계의 대표적 법적 분쟁 사례로 부상했다. 이후 두 회사는 각자의 법정에서 별도로 소송을 진행하게 됐다.

조지아주 법원의 엘러비 판사는 5월 초 크라우드스트라이크의 각하 신청을 대부분 받아들여 델타가 제기한 사기, 제조물책임, 기만적 영업행위 등 핵심 주장을 기각했다. 다만 중과실과 컴퓨터 무단침입(트레스패스) 혐의에 대해서는 소송을 계속 진행할 수 있도록 허용했다. 재판부는 계약서상 손해배상 한도 조항이 유효하다고 판단해 최종 배상액이 델타가 애초 요구한 5억 달러가 아니라 수백만 달러 수준의 한 자릿수 백만 달러대에 그칠 가능성이 크다고 밝혔다. 이 판결은 IT 서비스 계약의 책임 제한 조항이 대형 장애 사고에서도 유효하게 작동할 수 있음을 보여준 사례로 평가된다. 델타는 남은 청구를 놓고 소송을 이어가기로 했다.

미국 텍사스 서부지구 연방법원은 6월 19일 이번 장애로 항공편이 지연·결항된 승객들이 크라우드스트라이크를 상대로 제기한 소비자 집단소송에 대해 각하 결정을 내렸다. 법원은 항공 서비스와 관련된 청구는 연방 항공규제완화법(ADA)에 의해 선점된다며 주법에 근거한 승객들의 손해배상 청구를 인정하지 않았다. 이로써 항공편 피해를 이유로 한 별도의 소비자 집단소송 경로는 사실상 차단됐고, 향후 피해 보상은 항공사와 개별 협상하거나 항공사가 크라우드스트라이크를 상대로 낸 기업 소송의 결과에 좌우되게 됐다. 이는 크라우드스트라이크에는 우호적인 판결이었지만 델타와의 본안 소송은 계속 진행형이다. 사건 발생 1년이 지난 시점에도 후속 법적 공방은 마무리되지 않았다.