[디지털데일리 이종현기자] 지난 25일 오전 11시20께 KT의 유·무선 인터넷이 마비됐다. 전국 단위의 피해로, 12시45분까지 85분가량 이어졌다. 오후 복구 이후로도 일부에서는 장애가 지속하고 있다는 항의가 빗발쳤다.

KT는 복구가 완료되기 전인 12시경 장애 원인을 분산 서비스 거부(디도스, DDoS) 공격 때문이라고 발표했다.

이에 한 보안기업 관계자는 “KT나 되는 기업이 디도스 공격을 착각하진 않았을 테니 발표한 것이 맞을 것”이라면서도 의아함을 내비쳤다. 정부가 중소기업을 위해 지원하는 ‘디도스 대피소’도 이동통신사가 제공한다. KT가 디도스에 당했다면 역대 최고 수준의 대규모 공격이 감행됐다는 의미라는 것이 그의 설명이다.

KT가 디도스 공격으로 인한 장애라고 발표한 이후 보안 및 통신업계에서는 ‘디도스 공격 때문이 아니다’라는 말이 오갔다.

다른 보안기업 관계자는 ‘디도스 공격을 착각할 여지가 있느냐’는 질문에 “처리하는 트래픽량이 적은 일반 기업이면 모를까, KT쯤 되는 기업이 오인할 수는 없다고 본다”고 답했다. 초기 디도스 공격 때문이라는 KT의 발표에 신빙성이 더해졌다. 경찰이 사이버테러팀을 급파한 이유기도 하다.

그러나 KT는 오후 2시27분 “초기에는 트래픽 과부하가 발생해 디도스로 추정했으나 면밀히 확인한 결과 라우팅(네트워크 경로설정) 오류를 원인으로 파악했다”고 발표를 정정했다. 마비 사태 발생 3시간 만, 디도스 공격 때문이라는 발표 2시간 만의 정정 발표다.

통신장비인 라우터는 여러 곳에 분포돼 있는 다른 라우터와 통신하며 데이터를 전달하는 역할을 수행한다. 사용자가 카카오톡 등 데이터를 전송하면, 라우터가 이를 받아 다른 라우터에 전달한다. 이 과정에서 A라우터는 B라우터에게 데이터를 전송하도록 하는 등의 설정해야 하는데, 업계에서는 이를 라우팅이라고 표현한다.

데이터를 전달해야 하는 라우터가 제 기능을 수행하지 못할 경우 이번처럼 서비스 장애가 발생한다. 하지만 서비스 장애가 원인이 아니라 결과에 가깝듯, 라우팅 오류도 사고 원인이라기보다는 결과에 가깝다. 무언가의 원인으로 인해 라우팅 오류가 발생했는데, KT가 밝힌 내용으로는 이를 특정하기 어렵다.

다만 초기 KT가 디도스 공격이라고 발표했다는 것과 이후 라우팅 오류 때문이라고 정정한 것을 근거로, ①라우팅 오류로 특정 네트워크로 트래픽을 집중해서 보냈고(트래픽 급증) ②그로 인해 인터넷이 마비되고(인터넷 마비) ③이후 원인을 분석했더니 트래픽 급증 때문이었기에 디도스 공격이라 추측(디도스 공격 발표) ④트래픽에 대해 분석했더니 라우팅 오류임을 확인(라우팅 오류로 정정 발표)했으리라는 추측이 제기되고 있다.

한 보안 전문가는 “KT는 전국에 수천대 이상의 라우터를 두고 있다. 일부 라우터의 오류로 전국적인 서비스 장애가 발생하진 않는다. 최상단의 라우터에 문제가 있었거나, 설정값이 잘못돼 특정 네트워크로 트래픽이 집중돼 과부하가 됐을 수 있다. 원인은 특정하기는 어렵다”고 전했다.

라우팅 오류는 사람에 의해서도, 소프트웨어(SW) 오작동으로도 일어날 수 있다. 다만 현재로서는 사람에 의한 실수로 점쳐지고 있다.

KT 새노조(제2노동조합)는 “인적 사고로 인한 실수(휴먼 에러)일 가능성이 크다는 것이 내부 직원들의 의견”이라며 “이 사태는 아현화재 사태의 연장선에서 발생했다. 통신사업자로서 기본도 충실히 하지 않고 수익성 위주의 사업에만 집중하다 보니 벌어진 어처구니 없는 장애라는 점에서 공통점이 있다”며 경영진을 비판했다.

KT로서는 서비스 장애와는 별개로, 사태 초기 원인을 디도스 공격이라고 발표한 부담도 지게 됐다. 과학기술정보통신부(이하 과기정통부)는 사고원인 후 재발방지대책을 마련하겠다는 방침이다. 또 KT에게 이용자 피해현황 조사도 지시했다.