'쉴 틈이 없습니다'...PHP 사이버 보안 비상사태 최전선에 선 IT 기술자들

최근 불거진 프로그래밍 언어 'PHP' 관련 사이버 보안 비상사태에 대해 마이크로소프트의 사티아 나델라 최고경영자(CEO)는 "정말 아주 오랫동안" 본 적 없는 일이라고 강조했다.

전 세계 웹사이트 수백 곳에 발생한 중대한 사이버 보안 결함을 해결하기 위해 여러 IT 및 보안 전문가들이 고군분투하고 있는 가운데 그는 한 콘퍼런스에서 "모든 IT 및 보안 담당자들에게 정말 길고 힘든 하루, 쉴 틈 없는 밤이었을 것"이라고 표현했다.

다른 IT 및 사이버 보안 전문가들도 BBC와의 인터뷰에서 지난 48시간 동안 겪은 어려움을 털어놓았다. 이들의 이야기를 통해 대규모 사이버 비상사태의 최전선에서 어떤 상황이 벌어지고 있는지, 동시에 허위 정보와 과도한 공포가 사태를 얼마나 더 악화시키는지도 엿볼 수 있었다.

영국에 거주하는 시스템 관리자 아담 머드는 "정말 끊임없이 일이 이어진다"고 호소했다.

그는 자신들의 웹사이트를 걱정하는 사람들로부터 수없이 많은 메시지를 받고 있다고 했다.

그러면서 "예방 차원에서 사이트를 오프라인으로 전환하기를 원하는 고객들을 대응하는 동시에, 서로 다른 여러 환경에서 업데이트와 보안 조치를 조율해야 하는 상황이 가장 힘들었다"고 했다.

"때로는 PHP 문제를 해결하는 것보다 웹사이트를 오프라인으로 전환하는 데 더 긴 시간이 걸리기도 합니다."

PHP는 전 세계 수백만 개의 웹사이트를 구동하는데 사용되는 프로그래밍 언어다.

그러나 최근 PHP에서 2가지 중대한 결함이 발견되면서 긴급 대응이 이어지고 있다. 각국의 사이버 보안 당국은 IT 전문가들에게 보안 패치를 긴급히 다운로드하거나, 웹사이트와 서버를 잠시 오프라인으로 전환하라고 촉구하고 있다.

머드 또한 그 이후로 극심한 업무 압박에 시달리고 있다. 고객들의 시스템을 보호하기 위해 이른 아침부터 일을 시작해 오후 10시 30분이 돼서야 퇴근하는 등 제대로 잠도 자지 못하고 있다.

'할리우드 액션 영화 속 한 장면 같았다'

동아프리카 모리셔스에서 IT 관리자로 일하는 로가나덴 벨빈드론 또한 PHP에 의존하는 소프트웨어가 얼마나 많은지 확인한 뒤부터 쉴 틈 없이 일하고 있다고 했다.

"현재 운영 중인 PHP 버전 가운데 상당수가 이미 지원이 종료됐다. 그래서 나와 팀원들은 애플리케이션을 재구축하거나 경우에 따라 코드를 수정해야 하는 상황"이라는 설명이다.

그는 PHP의 보안 취약점에 대한 이번 발표가 갑작스럽게 이뤄져 대응을 준비할 시간이 거의 없었다는 점도 문제라고 지적했다.

디지털 광고 회사의 기술 담당 이사인 존 존스 역시 이번 발표로 인해 곧바로 대응에 나섰다.

그는 "경고를 보고 눈이 번쩍 뜨였다. 이전에 겪어보지 못한 새로운 경험"이었다고 회상했다.

"하지만 어떤 면에서는 마치 할리우드 액션 영화 속 한 장면 같은 짜릿한 느낌이었습니다."

한편 PHP를 관리하는 'PHP 재단'은 소프트웨어 수정 패치를 공개했고, 보안 관계자들은 이를 서둘러 적용하기 위해 움직였다.

존스는 영국 서머타임(BST) 기준 21일 오후 3시에 수정 패치가 공개되자마자 "마치 경주가 시작된 듯했다"라며 "소프트웨어 업데이트를 해본 사람이라면 누구나 알겠지만, 업데이트가 또 다른 문제를 일으킬 가능성이 항상 있기 때문에 다소 긴장되기도 했다"고 덧붙였다.

한편 누군가가 PHP 결함에 대한 세부 정보를 조기에 유출하는 바람에 수정 패치를 내려받으려는 움직임이 이처럼 한꺼번에 몰렸다. 당시 사이버 범죄자들이 이미 공격에 나섰다는 소문까지 무성했다.

하지만 사이버 전문가들은 이제 그 소문이 사실인지 의문을 제기한다.

영국의 사이버 전문가 다니엘 카드는 "해커들이 실제로 공격이 가능한 개념증명(PoC)을 확보해 활발하게 활동하고 있다는 등의 정보가 쏟아져 들어왔다"고 말했다.

이어 "이런 상황이 처음은 아니지만 정말 차원이 다른 상황이었다"며 PHP 해킹 소문이 돌기 시작한 20일 이후로 자신도 바쁘게 대응해 왔다고 덧붙였다.

그는 이론상 이번에 발표된 PHP 취약점이 매우 심각하며 진지하게 대응해야 한다는 점에는 동의했지만, 해커들이 활개 치고 있다는 식의 잘못된 정보에 대해서는 다른 많은 전문가들과 마찬가지로 답답함을 느낀다고 지적했다.

'잇따른 경고에 따른 피로' 우려

정부 기관들, 심지어 일본 총리까지 나서 경고한 가운데 사이버 보안 기업들 역시 상황을 더욱 복잡하게 만드는 실수를 저질렀다.

한 주요 사이버 기업은 해커들이 작동하는 PoC를 확보했다는 경고를 발표했으나, 결국 정정해야 했다.

클라우드플레어와 AWS 또한 매시간 "수백만 건의 해킹 시도"가 있었다고 경고했지만, 대규모 데이터 유출이나 사이버 공격의 증거는 없다.

해커들이 AI를 활용해 공격 방법을 개발하려는 시도가 포착된 것은 사실이지만, 현재로서는 대규모로 작동한 흔적은 보이지 않는다. 물론 이는 조만간 달라질 수 있다.

AI는 수십 년 동안 인간이 발견하지 못했던 PHP의 결함을 찾아내는 데에도 활용됐다.

우리가 인터뷰한 IT 전문가들은 모두 AI 도구의 해킹 능력이 크게 향상됨에 따라 이러한 심각한 결함이 앞으로 더 빈번하게 발견될 것이라는 데 동의했다.

하지만 AI의 발전으로 인해 이와 유사한 사건이 더 많이 발생할 것을 우려하는 상황에서 업계 일부에서는 PHP의 치명적인 약점이 공개된 방식에 우려를 표하기도 했다.

워드프레스 보안 도구인 '워드펜스'의 창립자 마크 마운더는 "오픈AI와 앤트로픽이 선보이는 놀라운 (AI) 역량을 통해 우리는 앞으로 여러 무서운 취약점들을 발견하게 될 것"이라며 "이를 어떻게 대중에 알릴 것인지 신중하게 조율할 필요가 있다"고 강조했다.

그는 "잇따른 경고에 따른 피로감"을 호소하게 될 수도 있으며, 실제로 악용 가능한 심각한 취약점이 나타날 경우 이는 큰 문제가 될 수 있다고 설명했다.