모리스 웜, 코넬대 대학원생이 퍼뜨린 최초의 대규모 인터넷 웜 사태(1988)

1988년 11월 2일 저녁, 코넬대 대학원생 로버트 태편 모리스가 일부러 MIT 네트워크를 통해 자기복제 프로그램을 인터넷에 풀어놓았다. 위키백과 등은 유포 시각을 오후 8시 30분으로 적고, 당시 언론 보도는 오후 6시 무렵 풀려 8시 49분께 이상 징후가 널리 감지됐다고 전하는 등 시각 기술이 엇갈린다. 이 웜은 4.2·4.3 BSD 유닉스를 쓰는 VAX 컴퓨터와 썬(Sun) 3 워크스테이션만 감염시킬 수 있도록 만들어졌다. 모리스는 아버지가 NSA에서 일한 암호학자 로버트 모리스일 만큼 컴퓨터 보안에 친숙한 집안 출신이었다. 인터넷이 대학과 연구소 중심의 소규모 네트워크이던 시절, 이 한 번의 실행이 이후 사이버보안 역사의 출발점이 되었다.

웜은 유닉스의 sendmail 메일 프로그램에 남아 있던 디버그 명령과 기타 운영체제 결함을 이용해 다른 컴퓨터로 퍼져 나갔다. 프로그래밍 오류로 이미 감염된 컴퓨터에도 웜의 복사본이 거듭 침투해, 한 대의 기계에 여러 개가 동시에 돌면서 자원을 잠식했다. 보도에 따르면 감염된 시스템이 90분도 안 돼 기능을 상실했고, 버클리 프로그래머 키스 보스틱은 기계가 모두 꽉 막혀 뭔가 잘못됐음을 알 수 있었다고 회상했다. 웜은 파일을 지우지 않았고 사실상 서비스 거부 공격에 가까운 피해를 냈다. 만약 복제 억제 로직이 제대로 작동했다면 발견이 더 늦어졌을 것이라는 평가도 나온다.

11월 3일 목요일 새벽, 버클리 연구진은 웜의 전파 경로를 막는 패치를 내놓았고 오전 9시까지 전체 소프트웨어 수정본이 배포되었다. 이 과정에서 각 대학과 기관의 시스템 관리자들이 웜의 작동 방식을 분석하고 서로 정보를 공유하는 비공식 협력이 이루어졌다. 일부 기관은 시스템을 모두 지우고 재설치했고, 다른 곳은 네트워크 연결을 끊은 채 수일에서 몇 주를 보냈다. FBI는 훗날 하버드, 프린스턴, 존스홉킨스, 스탠퍼드, NASA 등이 피해 기관에 포함됐다고 설명했다. 질서는 대체로 금요일인 11월 4일까지 복구된 것으로 보도되었다.

당시 인터넷에는 약 6만 대의 호스트가 연결되어 있었고, 감염 규모는 보통 6천 대 안팎으로 인용되어 전체의 약 10퍼센트에 해당한다고 알려졌다. 다만 클리퍼드 스톨은 실제 피해가 수천 대 정도라고 보았고, 폴 그레이엄은 6만 대 중 10퍼센트라는 추정의 근거가 약하다고 지적하는 등 수치에는 논란이 있다. 재오염을 막기 위해 여러 지역망이 NSFNet 백본에서 접속을 끊으면서 인터넷이 며칠간 조각났다. 콜로라도대 한 곳에서만 컴퓨터 200대가 감염되어 정리에 1,000시간의 직원 노동이 투입되었다. 피해 비용은 설치 1건당 200달러에서 5만 3천 달러까지 추정되었고 전체 경제 피해는 10만~1천만 달러로 거론된다.

모리스 웜 직후 미 국방고등연구계획국(DARPA)은 카네기멜런대에 컴퓨터 긴급대응팀 조정센터(CERT/CC)를 세우도록 지원했다. 웜 사태 당시 각 기관이 서로 연락할 공식 창구가 없어 대응이 지연되고 정보가 흩어졌다는 반성이 배경에 있었다. CERT는 취약점 정보를 접수하고 경보를 내며 관계 기관을 조율하는 역할을 맡았다. 이는 이후 전 세계 CSIRT 체계의 모델이 되었다. NBC 보도에서 CERT 운영 담당자는 컴퓨터를 인터넷에 연결하는 순간 인터넷 전체가 그 컴퓨터에 연결된다고 경고했다.

모리스는 1986년 제정된 컴퓨터 사기 및 악용 방지법(CFAA) 위반 혐의로 기소되어 뉴욕주 시러큐스 연방법원에서 재판을 받았고 1990년 1월 배심이 유죄를 평결했다. 이는 해당 법에 따른 미국 최초의 중범죄 유죄 사례였다. 변호인은 모리스가 피해를 줄 의도 없이 인터넷 규모를 가늠하려 했다고 주장했지만, 배심은 무단 접근 사실 자체를 인정했다. 사건은 컴퓨터 범죄 처벌의 법적 기준을 세운 선례가 되었다. 피고인이 모리스라는 점이 알려지면서 보안 업계의 책임 의식 논쟁도 커졌다.

1990년 5월 법원은 모리스에게 징역형 대신 보호관찰 3년과 사회봉사 400시간, 벌금 1만 50달러를 선고했다. 감독 비용 등을 합친 총 부담액은 1만 3,326달러로 알려졌다. 가벼운 처벌이라는 비판과 첫 사례라는 점을 고려한 판결이라는 옹호가 맞섰다. 모리스는 이후 방어에 든 비용으로 약 15만 달러를 부담했다고 보도되었다. 이 사건은 컴퓨터 침해의 형사처벌 수위를 둘러싼 오랜 논쟁의 출발점이 되었다.

1991년 연방 제2순회항소법원은 모리스의 항소를 기각하고 유죄 판단을 유지했다. 판결 번호는 928 F.2d 504로 인용되며, CFAA의 무단 접근 조항을 해석한 중요한 선례로 남았다. 법원은 피해를 의도했는지 여부가 아니라 무단 접근 의도가 있었는지를 기준으로 삼았다. 이 해석은 이후 컴퓨터 범죄 기소에서 반복 인용되었다. 이로써 모리스 웜 사건의 법적 절차는 마무리되었다.

형 집행 이후 모리스는 폴 그레이엄과 함께 전자상거래 업체 비아웹을 세웠고, 이 회사는 야후에 약 4,900만 달러에 팔렸다. NBC는 이를 두고 웜을 풀어놓은 학생이 훗날 성공한 기업가가 되었다고 전했다. 한편 인터넷의 보안 취약점은 사건 이후 10년이 지나도 상당 부분 방치되었다는 평가를 받았다. 오늘날 사이버보안에서 모리스 웜은 최초의 대규모 인터넷 웜이자 자기복제형 악성코드의 위험을 알린 사건으로 기억된다. 사건 날짜인 11월 2일은 보안 업계에서 기념일처럼 회자된다.