침해를 알아챈 뒤 공개까지, 한쪽은 7일이고 한쪽은 40개월이었다
오늘 뉴스타파 기사를 읽다가 2022년 10월 15일로 끌려갔다. 그날 오후 판교 SK C&C 데이터센터 지하 배터리실에서 불이 났다. 그때 나는 카카오 엔터로 이적한 후였고, 카카오는 한창 신규 사옥을 만들던 중이었다. 그 화재가 무엇을 세웠는지는 그 주에 한국에서 스마트폰을 쓴 사람이면 다 안다. 그런데 같은 화재가 다른 것도 하나 들췄다는 걸 그 기사에서 알았다. 그 데이터센터에는 SK이노베이션 E&S의 서버도 있었고 같이 탔다. 복구하려고 서버를 점검하던 중에, 그 회사는 자기네 사내망이 이미 털려 있었다는 사실을 발견한다. 해킹 시점은 9월 30일이었고 발견은 11월 4일이었다. 화재가 없었으면 언제 알았을지 모르는 침해였다. 여기까지는 그냥 운 나쁜 사고다. 내가 며칠 붙잡고 있었던 건 그 다음이다. 발견한 날부터 정부에 신고한 날까지 40개월이 걸렸다. 같은 기간에 나는 다른 침해 공개를 하나 읽고 있었다. 7월 30일에 Anthropic이 자사 모델이 실제 기업 세 곳의 프로덕션 인프라에 무단 접근했다고 발표했다. 사고 성격은 전혀 다르지만 세어야 하는 숫자는 같다. 언제 알았고, 언제 말했나. 그쪽은 7일이었다. 두 시간표를 같은 축에 올려놓고 보니 차이가 선명했다. 여기까지는 예상한 결론이었다. 예상 못 한 건 그 다음이었다. 같은 잣대를 내 레포에 대봤더니, 나는 애초에 시계를 시작할 수조차 없는 상태였다. 40개월이라는 숫자가 만들어진 과정 먼저 SK이노베이션 E&S 쪽 시간표를 날짜로 편다. 이 사건이 지금 문제가 되는 건 유출 규모 때문이 아니라 이 날짜들 때문이다. 시점 일어난 일 2022-09-30 1차 침해. 노후 서버의 보안 업데이트가 안 된 상태로 취약점이 방치돼 있었다 2022-10-15 SK C&C 판교 데이터센터 화재. 해당 서버도 소실 2022-11-03 사내 구성원이 네트워크 이상을 제보 2022-11-04 자체 보안점검으로 침해 인지....