19일 전 세계를 강타한 IT 대란은 사이버 보안업체 크라우드스트라이크의 내부 소프트웨어 품질검증 체계 오류 때문으로 분석됐다.
크라우드스트라이크는 24일(현지시간) 자체 사고 조사결과 예비 보고서를 내놓고 "콘텐츠 검증기의 오류로 인해 문제되는 콘텐츠 데이터가 포함된 두 '템플릿 예제'(Template Instance) 중 하나가 검증을 통과했다"고 밝혔다.
내부 품질관리에 허점이 생겨 치명적 문제로 이어질 수 있는 화근이 담긴 코드가 전세계로 배포됐음을 인정한 것. 템플릿 예제는 보안 소프트웨어가 보안 위협을 탐색하고 위협을 발견했을 때 어떻게 대응할지를 안내하는 일련의 가이드라인이다. 그동안 전문가들은 급변하는 보안 위협에 신속하게 대응해야 하는 보안제품 특성상 크라우드스트라이크가 내부 품질관리를 꼼꼼하게 하지 못했을 가능성을 제기해 왔다.
다만, 크라우드스트라이크는 문제가 되는 콘텐츠 데이터가 무엇이었는지, 해당 데이터가 왜 문제가 됐는지에 관해서는 구체적으로 언급하지 않았다.
회사 측은 재발 방지를 위해 품질관리 과정에 새로운 검증을 추가했다고 설명했다.
앞서 지난 19일 크라우드스트라이크가 배포한 보안 프로그램이 마이크로소프트(MS) 윈도와 충돌하면서 기기 850만대에 '죽음의 블루스크린'(Blue Screen Of Death·컴퓨터 화면이 갑자기 파랗게 변하는 현상)이 나타났다. 이에 따라 세계 곳곳에서 항공기 운항 지연·취소, 방송·통신·금융 서비스 차질 등의 피해가 속출했다.
미 연방하원 국토안보위원회는 크라우드스트라이크의 조지 커츠 최고경영자(CEO)에게 증인으로 출석할 것을 통보했다. 유진아기자 gnyu4@dt.co.kr
