솔라윈즈 공급망 해킹, 미 연방정부 강타한 사상 최대 사이버스파이 사태

훗날 포렌식 조사 결과 2019년 9월경 러시아 해외정보국(SVR) 소속으로 추정되는 해킹조직 '코지 베어'가 미국 IT기업 솔라윈즈의 내부 네트워크에 처음 침투한 것으로 확인됐다. 이들은 오리온 소프트웨어의 빌드 시스템에 악성코드를 삽입할 수 있는지 시험하는 예비 침투를 진행했다. 이 시점의 침투는 솔라윈즈 측이 전혀 눈치채지 못할 정도로 은밀하게 이뤄졌으며, 이후 벌어질 대규모 공급망 공격의 예행연습 격이었다. 이 사건은 2020년 말 전모가 드러난 뒤에야 소급 확인됐다. 이는 국가 배후 해킹조직이 얼마나 장기간에 걸쳐 치밀하게 공격을 준비하는지를 보여주는 사례로 꼽힌다.

2020년 2월 20일 해커들은 솔라윈즈의 오리온 플랫폼 빌드 프로세스에 '선버스트'로 명명된 백도어 코드를 성공적으로 삽입했다. 이는 정식 소프트웨어 업데이트 배포 과정 자체를 오염시켜 탐지를 피하는 전형적인 공급망 공격 기법이었다. 솔라윈즈는 이 사실을 전혀 인지하지 못한 채 이후 수개월간 오염된 업데이트를 정상 업데이트인 것처럼 고객사에 배포하게 된다. 보안 전문가들은 이 수법이 기존 백신·방화벽 탐지를 거의 완벽하게 우회했다는 점에서 매우 정교했다고 평가했다. 이 단계에서 이미 향후 벌어질 대규모 피해의 구조적 토대가 마련된 셈이었다.

2020년 3월부터 6월 사이 솔라윈즈는 선버스트 백도어가 심어진 오리온 소프트웨어 업데이트를 전혀 모른 채 전 세계 약 1만8000개 고객사에 배포했다. 오리온은 기업과 정부기관이 자사 IT 네트워크 상태를 관리하기 위해 폭넓게 사용하는 소프트웨어였기에, 피해 범위는 순식간에 걷잡을 수 없이 확산됐다. 이 업데이트를 설치한 조직에는 미국 재무부·상무부·국무부·에너지부 등 핵심 연방기관은 물론 마이크로소프트·인텔·시스코 같은 주요 IT기업들도 포함됐다. 해커들은 이렇게 확보한 백도어 접근권 가운데 정보 가치가 높다고 판단한 표적만 선별해 추가 침투를 진행했다. 이는 단일 소프트웨어 공급업체를 겨냥한 공격이 얼마나 광범위한 연쇄 피해로 이어질 수 있는지를 보여준 대표 사례가 됐다.

12월 8일 보안업체 파이어아이는 국가 배후로 추정되는 정교한 해커에게 자사 네트워크가 침해당해 내부 레드팀 해킹 도구가 탈취됐다고 공개했다. 파이어아이는 이 침해 경위를 자체 조사하는 과정에서 침입 경로가 솔라윈즈 오리온 소프트웨어의 오염된 업데이트였다는 사실을 발견했다. 이 발견은 이후 정부기관과 대기업을 겨냥한 훨씬 더 큰 규모의 캠페인이 존재한다는 사실을 밝혀내는 결정적 단서가 됐다. 미국 사이버보안 당국(CISA)도 즉각 이 사안을 심각한 위협으로 규정하고 경보를 발령했다. 이 사건이 없었다면 솔라윈즈발 공급망 공격은 훨씬 더 오랜 기간 발각되지 않았을 것이라는 평가가 나온다.

12월 13일 로이터통신을 비롯한 주요 언론은 러시아 정부 배후로 추정되는 해커들이 미 재무부와 상무부의 이메일 시스템을 수개월간 감시해왔다고 일제히 보도했다. 같은 날 파이어아이와 솔라윈즈는 오리온 소프트웨어에 심어진 선버스트 백도어의 존재를 공식 발표하며 사태의 전모를 밝혔다. 워싱턴포스트는 이를 최근 5년 사이 가장 정교하고 규모가 큰 해킹 중 하나로 평가했다. 미 정부는 즉각 관련 부처에 대한 긴급 조사에 착수했으며, 사태는 순식간에 국가 안보 차원의 위기로 격상됐다. 이날 보도를 계기로 솔라윈즈 사태는 전 세계 사이버보안 업계의 최대 화두로 떠올랐다.

같은 날 미 사이버보안·기반시설안보국(CISA)은 다섯 번째 긴급지침(ED 21-01)을 발령해 모든 연방 민간기관에 오리온 제품군을 즉시 점검하고 네트워크에서 연결을 끊거나 전원을 차단하라고 지시했다. 각 기관은 다음 날 정오까지 조치 완료 보고서를 CISA에 제출하도록 요구받는 등 이례적으로 신속한 대응이 이뤄졌다. CISA는 이번 침해를 '연방 정보시스템에 중대한 위험'을 초래하는 사건으로 규정했다. 이는 2015년 사이버보안법 제정 이후 CISA가 내린 다섯 번째 긴급지침으로, 사안의 심각성을 단적으로 보여줬다. 이 조치를 계기로 민간 기업들도 자체적으로 오리온 제품 사용 여부를 점검하기 시작했다.

12월 14일 솔라윈즈는 증권거래위원회(SEC) 공시를 통해 최대 1만8000개 고객사가 오염된 소프트웨어를 사용했을 가능성이 있다고 인정했다. 이 소식이 전해지자 솔라윈즈 주가는 하루 만에 약 17% 폭락해 주당 19.62달러로 마감했다. 투자자들은 회사 경영진이 보안 취약점을 알고도 제대로 공시하지 않았다며 잇따라 증권 관련 집단소송을 제기했다. 소송에서는 2020년 2월부터 12월 사이 주식을 매입한 투자자들이 회사의 부실 공시로 손해를 입었다고 주장했다. 이 사건은 사이버 보안 사고가 기업의 법적·재무적 책임으로까지 직결된 대표 사례로 남았다.

12월 18일을 전후해 조사가 진전되면서 피해 범위가 당초 알려진 것보다 훨씬 넓다는 사실이 속속 드러났다. 미 항공우주국(NASA)과 연방항공청(FAA)은 물론, 정작 연방 사이버보안을 총괄하는 CISA 자체도 침해당한 것으로 확인돼 큰 파장을 일으켰다. 민간 부문에서도 마이크로소프트, 인텔, 시스코 등 굴지의 기술기업들이 피해 목록에 이름을 올렸다. NBC 뉴스는 이번 사태를 두고 정부와 민간을 통틀어 약 100여 개 조직, 십여 개 연방기관이 실질적으로 침해당한 것으로 파악된다고 보도했다. 이로써 솔라윈즈 사태는 단일 해킹 사건으로는 역대 최대 규모의 피해로 기록됐다.

2021년 1월 5일 FBI, 국가정보국장실(ODNI), 국가안보국(NSA), CISA로 구성된 미 정보당국은 공동성명을 내고 이번 해킹이 '러시아發 소행일 가능성이 높다'고 공식 발표했다. 이들은 이번 캠페인이 정보 수집 목적의 첩보 활동으로 보이며 여전히 진행 중일 수 있다고 경고했다. 이는 트럼프 행정부 말기 일부 인사들이 중국 배후 가능성을 시사했던 것과 배치되는 결론으로, 정치적 논란까지 낳았다. 블룸버그와 US뉴스 등은 이번 발표를 사건 발생 약 한 달 만에 나온 공식 귀속 판단으로 의미를 부여했다. 러시아 정부는 관련 의혹을 즉각 부인했다.

2021년 4월 15일 바이든 행정부는 솔라윈즈 해킹과 2020년 대선 개입 의혹에 대한 대응으로 러시아에 대한 전면적 제재를 발표하고 워싱턴 주재 러시아 외교관 10명을 추방했다. 백악관은 이번 캠페인의 배후로 러시아 해외정보국(SVR, 일명 코지 베어)을 공식 지목하며 책임을 명확히 물었다. 제재 대상에는 러시아 정보기관을 지원한 기술기업 6곳과 다수의 정부·정보기관 관계자가 포함됐으며, 미 금융기관의 러시아 중앙은행 관련 거래도 제한됐다. 알자지라 등 국제 언론은 이를 미·러 관계가 한층 경색되는 계기로 평가했다. 이 조치로 2019년 9월부터 이어진 솔라윈즈 사태의 공식적인 국가 대응 국면이 일단락됐다.