50억 달러 피해에서 700명 해고까지··· 2024년 주요 IT 재난 8선

인공지능과 그 광범위한 도입을 둘러싼 과대 광고, 기술 업계의 대규모 해고, 대규모 사이버 공격, 대규모 합병 등이 헤드라인을 장식한 한 해였다. 이와 동시에 여느 해와 마찬가지로 2024년에도 IT 사고가 끊이지 않았다. 며칠 또는 몇 주 만에 잊힌 사건도 있었지만, 수십억 달러에 달하는 피해를 입히고 장기적인 영향을 미친 사건들도 있었다.

2024년의 주요 IT 재난을 정리한 이번 목록은 데이터 유출 사고를 제외한 것이다. (해당 리스트는 따로 있다.) 또한, 최근의 AI 관련 재난 리스트도 별도로 존재한다. 그 이전 3년 간의 재난 목록은 아래와 같다.

MSㆍAWS도 못 피했다’ 2023년 주요 서비스 중단 사고 7선 | CIO

세상이 멈춘 듯했던 순간들··· 2022년 디지털 중단 사고 톱10 | CIO

반면교사 삼아야 할 2021년 ‘IT 재앙’ 8선 | CIO

멜트다운의 모태

7월 중순 보안 업체 크라우드스트라이크의 소프트웨어 업데이트 결함으로 인해 약 850만 대의 윈도우 컴퓨터가 블루스크린을 표시한 후 반복적인 부팅 루프에 빠지는 사고가 발생했다. 부팅 루프가 끝없이 반복되는 윈도우 컴퓨터를 빠르게 복구하기란 불가능했다.

병원, 항공사 항공편 예약 센터, 비상 대응 센터, 대중교통 서비스의 윈도우 시스템도 영향을 받았다. 최초 보고 후 24시간이 지난 시점까지도 수백 건의 항공편 취소 및 기타 문제가 발생했다. 일부 추산에 따르면 손해액이 50억 달러를 넘어섰다.

크라우드스트라이크는 7월 19일 윈도우 시스템에 배포된 센서 구성 업데이트의 결함과 관련해 소프트웨어 테스트 도구의 허점을 원인으로 지목했다. 이 결함은 신속 대응 콘텐츠(Rapid Response Content)라고 알려진 익스플로잇 시그니처 업데이트의 한 유형으로, 다른 크라우드스트라이크 업데이트보다 덜 엄격한 테스트를 거쳤다.

서비스 중단 후의 여파는 즉각적이면서도 지속적이었다. 해당 사고로 인해 일부 CIO는 클라우드 인프라에 대한 의존도를 재고하게 되었고, 마이크로소프트는 다른 소프트웨어 패키지의 커널 수준 액세스에 더 집중하게 됐다. 한편, 델타항공은 크라우드스트라이크와 마이크로소프트를 대로 5억 달러 규모의 소송을 제기하고 마이크로소프트 제품 사용을 재검토했다.

수 백만 건의 부재중 전화

크라우드스트라이크 서비스 중단의 영향은 컸지만, 미국 전역 1억 2,500만 대의 모바일 디바이스에 영향을 미친 AT&T 모빌리티의 2월 서비스 중단 여파는 더했다. 미국 연방통신위원회에 따르면 12시간 이상 지속된 이 장애로 인해 911 전화 2만 5,000건을 포함해 약 9,200만 건의 통화가 완료되지 못했다. 장비 구성 오류가 대규모 중단의 원인이었다.

FCC에 따르면 AT&T가 네트워크 변경을 롤백하는 데 2시간 정도 걸렸지만, 이동통신사의 기기 등록 시스템이 네트워크 재등록 요청이 폭주하면서 전체 서비스를 복구하는 데 최소 12시간이 걸렸다.

그 후 6월에 AT&T 고객들은 또 다른 서비스 중단을 보고했다. 서비스 중단에 대한 신고는 6월 4일 오후 1시(동부 표준시)부터 급증하기 시작하여 오후 6시경 감소했으며 뉴욕시, 시카고, 필라델피아, 달라스, 피츠버그, 인디애나폴리스 주변 지역이 영향을 받은 것으로 관측된다.

맥도날드 중

맥도날드에서는 고객이 200개 이상의 치킨 맥너겟 주문을 원한다고 판단한 AI 주문 시스템 문제가 눈길을 끌었다. 그러나 이 밖의 IT 문제들이 있었다.

3월에는 온라인 및 키오스크 결제를 포함한 신용 카드 주문에 영향을 미치는 광범위한 중단이 약 12시간 동안 지속됐다. 극동, 유럽, 미국, 호주의 맥도날드 레스토랑에서는 신용카드 결제에 문제가 발생했다. 해당 문제는 많은 사람들이 우려했던 외부 기업의 구성 변경으로 인해 발생했다. 맥도날드의 글로벌 CIO는 자세한 내용은 밝히지 않았지만 사이버 보안 공격과 관련이 없다고 언급했다.

타사 소프트웨어 업데이트의 위험성

POS 서비스 중단으로 어려움을 겪은 기업은 맥도날드뿐만이 아니었다. 영국의 슈퍼마켓 테스코와 세인즈버리, 베이커리 체인 그레그스도 맥도날드와 거의 같은 시기에 타사에서 운영하는 POS 시스템에서 문제가 발생했다. 대부분의 경우 문제는 영업일 기준 하루 이내에 해결되었지만, 해당 기간 동안 신용카드 결제를 처리할 수 없었던 기업도 있었다.

일부 피해 기업에서는 소프트웨어 업데이트와 관련된 문제라고 보고했다. 이로 인해 외부 POS 공급업체의 신뢰성에 대한 의문이 제기됐다.

불량 챗봇, 파트 238

소를 두어 마리 잃어버리면 외양간을 고칠 것이라고 생각할 수 있다. 지난 2월, 소셜 미디어에서 자살을 고려 중인 사용자를 조롱하는 챗봇이 있다는 신고가 있었다. 마이크로소프트는 즉시 코파일럿 AI 챗봇에 대한 조사를 시작했다. 마이크로소프트는 잘못된 응답이 대규모 언어 모델 AI의 안전 제어를 무시할 수 있는 프롬프트 인젝션 공격의 결과라는 사실을 발견했다. 회사는 악성 응답이 소수의 사용자에 국한됐다는 설명을 덧붙였다.

하지만 문제를 일으킨 마이크로소프트 챗봇은 예전에도 있었다. 2023년 초, 빙(Bing)과 함께 패키지된 AI 챗봇이 일부 사용자에게는 사랑을 고백하고 다른 사용자에게는 못생겼다고 하거나 히틀러와 비교하는 등 모욕 발언을 내뱉었던 것이다. 2016년에는 마이크로소프트가 트위터에 공개한 실험적인 AI 챗봇인 테이(Tay)가 대량 학살과 나치를 지지하는 목소리를 냈다. 외양간이 수리되지 않았던 셈이다.

한편 올해 마이크로소프트의 AI 비서와 관련한 문제는 더 있었던 것으로 관측된다. 11월 마이크로소프트는 코파일럿이 직원 기밀 정보와 같은 데이터를 과도하게 공유하는 것을 방지하는 새로운 도구를 출시했다.

재정 지원 실패

지난 3월, 미국 교육부는 수십만 명의 대학생에 대한 재정 지원금 계산에서 오류가 발견되어 지원금 지급이 지연될 수 있다고 밝혔다. 교육부는 연방 정부를 위해 일하는 한 공급업체가 재정 지원 공식을 잘못 계산하여 20만 명 이상의 학생에게 영향을 미쳤다고 해명했다.

해당 계산 오류는 교육부가 연방 펠 그랜트 및 기타 재정 지원 자격을 결정하는 데 사용되는 연방 학생 지원 무료 신청서(FAFSA)를 개편하는 와중에 발생했다.

발표에 따르면 문제의 공급업체는 일부 학생의 재정적 필요액에 투자금과 같은 일부 자산을 고려하지 않아 실제보다 더 많은 재정적 필요액이 있는 것처럼 점수를 매긴 것으로 보인다. 동시에 교육부의 FAFSA 양식 개편으로 인해 재정 지원 신청 절차가 지연됐다. 이 양식은 일반적으로 10월에 작성해야 하는 것이었지만 12월 말에야 준비됐고 그나마 1월 초까지의 기간 동안 산발적으로 제공됐다. 교육부는 3월이 되어서야 양식을 처리하여 주와 대학에 보내기 시작했다.

교육부는 양식을 처리하는 동안 몇 가지 결함과 버그에 직면했다. 일례로 사회보장번호가 없는 학부모는 양식을 작성할 수 없었다.

여러 문제 중 얼마나 많은 문제가 순수한 IT 재난인지 아니면 사용자 실수가 섞인 IT 재난인지는 확실하지 않다. 여러 가지 실수가 복합적으로 작용한 것으로 관측된다.

맬웨어는 덤

지난 2월, 중국 PC 제조업체 에이스매직(Acemagic)은 맬웨어가 설치된 컴퓨터를 배송한 사실을 인정했다. 유튜버 더 넷 가이(The Net Guy)가 에이스매직 미니 PC를 테스트하는 과정에서 맬웨어를 발견한 후의 일이었다. 해당 PC에는 백도어 블래다빈디 맬웨어와 레드라인 스틸러 맬웨어가 담겨 있었다. 에이스매직은는 몇몇 소프트웨어를 수정하여 부팅 시간을 줄이려 한 개발자를 비난하는 행태를 보였다.

진짜 터미네이터

영국판 우체국(예상할 수 있다시피 영국 정부가 운영하는 배송 서비스)은 2023년 말과 2024년 초에 후지쯔가 구축한 호라이즌 IT 시스템의 권고에 따라 700명 이상의 직원을 해고했다. 이 IT 시스템은 전직 직원들이 기관의 돈을 훔쳤다고 판단했다.

일부 뉴스 보도에 따르면, 호라이즌은 1999년에 설치됐는데, 이 시스템의 알려진 오류에 대한 문서가 우체국 감독관들과 공유되지 않았다. 또한 우체국 직원들은 몇 년에 걸쳐 자금 누락에 대한 시스템의 허위 보고를 지적해온 것으로 전해졌다.

2023년 우체국은 호라이즌에서 벗어나 클라우드로 마이그레이션을 시도했지만 3,100만 파운드의 비용만 소요된 채 실패로 돌아갔다. 1월 말, 후지쯔에게는 영국 정부 계약에 대한 입찰 자격이 정지되는 조치가 내려졌다.
dl-ciokorea@foundryco.com