미 켄틱, 트래픽 급증 시점과 접속 장애 시점 일치 확인…공격 주체는 특정 못 해
북한 국가도메인 .kp를 사용하는 관영 사이트 40여 곳이 32시간 동안 접속 장애를 겪은 원인이 디도스(DDoS·분산서비스거부) 공격이라는 분석이 나왔다.
미국의 네트워크 모니터링 업체 켄틱은 북한 인터넷망에서 지난 20일부터 약 32시간 동안 비정상적인 대규모 트래픽이 여러 차례 포착됐다고 밝혔다. 켄틱은 북한 웹사이트들의 접속 장애가 시작된 시점과 베트남, 필리핀, 베네수엘라 등 전 세계 여러 지역에서 북한을 향한 트래픽이 급증한 시점이 정확히 일치한다고 설명했다.
켄틱의 인터넷 분석 책임자 더그 매도리는 "이 트래픽이 모두 같은 시점에 시작됐다. 분명히 디도스 공격이다"라고 말했다. 비정상적인 트래픽은 20일 오전 11시께부터 급증하기 시작했다.
북한에서는 20일부터 외무성과 조선중앙통신 등 .kp 도메인을 쓰는 관영 사이트 40여 곳이 간헐적으로 접속되지 않는 현상이 나타났다. 이날 오후 7시까지 약 8시간 동안 접속 불능 또는 불안정 상태가 이어졌고, 잠시 복구되는 듯했으나 오후 11시께부터 다시 끊겼다. 웹사이트 감시 서비스 핑돔 자료를 보면, 조선중앙통신 사이트는 최초 장애 발생 후 24시간 중 19시간 동안 접속이 불가능했다. .kp 도메인 주요 웹사이트 42개는 약 32시간의 접속 장애 끝에 21일 오후 7시께부터 정상 서비스를 재개했다.
접속 장애가 나타난 직후에는 북한의 불안정한 전력 공급 상황이나 통신 회선 문제가 원인일 가능성도 제기됐다. 북한 웹사이트 주소를 관리하는 네임 서버들이 모두 하나의 중국 통신 회선 대역에 몰려 있어, 이 대역에 문제가 생기면 여러 사이트가 동시에 먹통이 되는 구조이기 때문이다.
국내 보안업체 스틸리언의 박찬암 대표는 "네임 서버가 위치한 중국 회선 쪽 대역은 접속이 되지 않는 상태였다"며 "해당 회선을 겨냥한 디도스 공격이거나 회선 자체의 장애일 가능성 둘 중 하나로 보고 있으나 아직 단정하기는 어렵다"고 밝혔다. 켄틱의 분석대로라면 외부에서 대량의 트래픽을 동시에 보내 서버를 마비시키는 디도스 공격이 이번 장애의 원인일 수 있다.
다만 켄틱은 이번 공격의 주체가 누구인지는 아직 확인되지 않았다고 밝혔다. 이번에 분석된 대상도 북한으로 향한 전체 트래픽 중 일부에 불과하다며, 공격 주체 특정을 위한 추가 분석이 필요하다고 덧붙였다.
북한 인터넷망이 대규모 장애를 겪은 것은 이번이 처음이 아니다. 2014년 말에는 김정은 북한 국무위원장의 암살을 소재로 한 소니픽처스 영화 '인터뷰'를 둘러싼 논란이 벌어진 뒤 북한 인터넷망 전체가 수 시간 동안 마비됐다. 당시와 마찬가지로 이번에도 공격 주체는 밝혀지지 않았다.
