우크라이나군의 드론 공격이 러시아 얀덱스(Yandex) 데이터센터를 때렸다는 보도가 나온 뒤, 인터넷에는 러시아의 봇 농장과 영향력 공작이 통째로 마비됐다는 주장이 퍼졌다. 근거는 급락한 HTTP 트래픽 그래프였다. 그러나 전체 트래픽 수치만 보고 악성 자동화 활동의 운명을 판단하는 것은 위험하다. 클라우드플레어가 자사 네트워크를 통과하는 요청 데이터를 분석한 결과, 얀덱스 망이 무너지는 동안에도 악성 봇 상당수는 멈춘 것이 아니라 다른 사업자의 인프라로 옮겨갔을 뿐이라는 그림이 드러났다.
서로 다른 두 개의 망
분석의 출발점은 얀덱스가 두 개의 자율시스템번호(ASN)를 쓴다는 사실이다. AS13238은 검색엔진 크롤러가, AS200350은 클라우드 서비스가 사용한다. 보도에 따르면 10월 7일부터 11일 사이 세 곳의 얀덱스 시설이 타격을 받아 데이터센터와 망 용량이 순차적으로 끊겼고, 11일에는 거의 전면 붕괴에 이르렀다. 이때 검색 ASN의 트래픽은 평시 대비 99%, 클라우드 ASN은 90% 급감했다. 잠시 부분 회복이 있었지만 13일까지도 86~90% 낮은 수준에 머물렀고, 14일 오후 6시(UTC) 기준으로도 평시의 85% 수준에 그쳤다.
중요한 것은 두 망의 성격이 완전히 달랐다는 점이다. 공격 이전 기준으로 자동화 요청은 전 세계 HTTP 트래픽의 36.1%, 러시아 IP 기준으로는 35.8%를 차지했다. 검색 ASN은 요청의 99.5%가 자동화였고 그중 93.6%가 검증된 봇, 즉 정상적인 검색 크롤러였다. 페이지와 이미지를 색인·렌더링하는 전형적인 행동이었다. 반면 클라우드 ASN은 95.0%가 봇이었지만 검증된 봇은 단 하나도 없었다. 이들은 자바스크립트·파이썬·Go 프로그램을 자처하며 웹사이트로 데이터를 보내는, 소프트웨어 앱에 가까운 모습이었다. 다만 두 ASN 모두 러시아발 봇 요청에서 차지하는 비중은 각각 약 7%와 2%, 전 세계 기준으로는 0.05%와 0.01%에 불과했다.
검색 크롤러가 멈춘 자리
검색 ASN의 감소분은 사실상 전부 검색 크롤링이었다. 표본에서 78.1%가 검증된 YandexBot, 11.5%가 렌더링 봇, 1.9%가 이미지 봇이었다. 업종별로는 출판·신문 분야의 트래픽이 44%로 가장 크게 줄었는데, 공격 이전 이 분야로 향하던 트래픽의 약 90%가 기사를 색인하던 YandexBot였다. 흥미롭게도 클라우드플레어 고객의 40.5%는 이미 이 크롤러를 차단해 403 응답을 돌려주고 있었다. 결국 검색 ASN이 끊기면서 사이트 운영자들은 '얀덱스의 색인이 줄었다'는 변화를 체감했을 뿐, 악성 활동이 사라진 것과는 거리가 멀었다.
도박 계정이 남긴 이동의 흔적
클라우드 ASN의 모습은 전혀 달랐다. 공격 이후 이 망의 봇 트래픽은 약 40% 줄었고, 워드프레스 플러그인 탐색은 90%, 스캐너로 식별된 요청은 93% 급감했다. 동시에 이 망에 대한 고객 차단도 70% 줄었는데, 이는 애초에 클라우드플레어 방화벽에 도달하는 악성 트래픽 자체가 비례해 감소했음을 시사한다. 이 망의 트래픽은 크게 컴퓨터 소프트웨어와 도박 두 갈래로 나뉘었다. 소프트웨어 쪽은 api.cloudflare.com이 상위 호스트명에 오를 만큼 정상 사용에 가까웠고 공격 전후 모두 대부분 200 응답을 받았다.
악성 자동화가 사라진 게 아니라 옮겨갔다는 가장 선명한 증거는 도박 분야에서 나왔다. 클라우드 ASN 봇 요청의 거의 전부가 단 하나의 도박 고객 계정을 겨냥했는데, 10월 8일 장애 직후 이 계정으로 향하던 요청은 0으로 떨어졌다. 그러나 같은 순간, 동일한 핑거프린트를 가진 요청이 라디스트(Radist)와 셀렉텔(Selectel) 등 다른 러시아 호스팅 ASN에서 나타나기 시작했다. 한 주 동안 러시아발 도박 계정 겨냥 트래픽은 1억6770만 건에서 1억7010만 건으로 오히려 1.4% 늘었다. 자동화는 멈춘 적이 없고, 운영자가 얀덱스 클라우드가 불능이 되자 작업을 다른 사업자로 이전했을 뿐이다.
실무자에게 남는 교훈
소셜미디어 조작설도 데이터로 뒷받침되지 않았다. 러시아발 전체 트래픽은 0.6% 감소, 글로벌은 1.2% 증가했고, 특정 플랫폼의 게시·답글·좋아요 엔드포인트를 따로 봐도 이례적 변동은 없었다. 클라우드플레어는 외부 데이터 없이 단정할 수는 없다고 선을 그으면서도, 자사 네트워크 범위에서는 타격이 악성 활동을 끊었다는 증거를 찾지 못했다고 밝혔다.
이 사례가 한국의 보안·인프라 담당자에게 주는 시사점은 분명하다. 망 장애는 특정 서버가 요청을 멈췄다는 사실일 뿐, 위협이 소멸했다는 뜻이 아니다. 클라우드 워크로드는 이식 가능해서 데이터센터가 꺼지거나 IP 대역이 차단되면 운영자는 몇 시간 안에 스크립트를 다른 사업자로 옮긴다. 출발지 ASN의 트래픽 양은 자동화 행동을 해석하는 지표로는 신뢰하기 어렵다. 방어의 초점은 어느 망에서 왔느냐가 아니라 요청의 행동, 즉 공유된 JA4 핑거프린트 식별, 비정상적인 요청 속도 모니터링, 민감한 엔드포인트에 대한 방화벽 규칙 적용에 맞춰져야 한다. 물리 인프라는 고정돼 있지만, 악성 자동화는 애초에 움직이도록 설계돼 있기 때문이다.