계속되는 디도스(DDoS·분산 서비스 거부) 공격으로 e스포츠 리그 LCK(리그오브레전드 챔피언스 코리아)가 골머리를 앓고 있다. 전용 경기장인 '롤파크 LCK아레나'(이하 롤파크)에서 진행된 경기가 디도스 공격에 노출되면서 울며 겨자먹기로 녹화 방송으로 전환했다. 국내서 가장 많은 팬과 스포츠를 보유한 e스포츠 리그를 운영하면서도 보안과 관련된 대책과 투자가 미흡했다는 지적이 나온다. 항저우 아시안게임에서 LCK 출신 선수들의 활약으로 관심이 집중된 상황인 만큼 더욱 아쉬움이 남는다.
페이커 보러 왔는데…디도스 공격에 헛걸음
지난달 25일 서울 종로구 롤파크에서 진행된 LCK 정규리그 2라운드 디플러스 기아와 DRX의 경기는 디도스 공격으로 추정되는 장애가 발생하면서 수차례 중단됐다. 일반적으로 LCK 경기는 두 시간 가량 진행되지만 네트워크 장애로 인해 7시간에 걸쳐 진행됐다. 뒷경기로 예정됐던 OK저축은행 브리온과 광동 프릭스의 경기는 지난 26일 각 팀의 숙소에서 비공개로 진행됐다.
LCK는 공격 경로나 네트워크 취약점 등을 살피는 등 대책을 강구했다고 밝혔다. 그러나 사흘 뒤인 지난달 28일 마찬가지로 롤파크에서 열린 T1와 피어엑스 경기에서도 어김없이 네트워크 장애가 발생했다. 현장 관람객들은 경기 도중에 귀가해야만 했다. '롤드컵'으로 불리는 '리그 오브 월드 챔피언십'의 우승팀이자, 페이커가 속해 있는 리그 최고 인기팀의 경기인지라 더욱 아쉬움이 컸다. 결국 LCK는 아예 디도스 공격 방어를 위해 잔여 경기를 비공개 녹화 방송으로 전환하기로 했다.
디도스는 대량의 트래픽(데이터 전송량)을 순간적으로 일으켜 서버 과부하를 일으키는 사이버 공격이다. 업계 한 관계자는 "디도스 공격은 수시로, 자주 일어난다"면서 "대부분 관련 시스템을 잘 갖추고 있어서 서비스에 문제가 발생하지 않는 것"이라고 말했다. LCK가 디도스 공격으로 네트워크 장애를 빚어 현장 생중계를 중단하고, 경기를 녹화방송으로 전환한 건 이번이 처음이다.
LCK는 사태 발생 후 한국인터넷진흥원(KISA)을 비롯한 관계기관과 수사기관에 신고를 마쳤다. 정보통신망법에 따르면 정보통신 서비스 제공자는 침해사고가 발생하면 즉시 해당 사실을 과학기술정보통신부 장관이나 한국인터넷진흥원에 신고해야 한다. 한국인터넷진흥원 관계자는 "현재 경찰에서 수사 중"이라면서 말을 아꼈다.
이정훈 LCK 사무총장은 지난 4일 성명문을 통해 "디도스 공격 관련 대항력을 확보해 나가며 단계적으로 정상화를 향해 나아가려는 계획을 갖고 실행 중"이라면서 "추가적인 보호조치를 적용했다"고 밝혔다.
LCK "내부망 검토 중"
게임업계에 따르면 지난해 말부터 게임 방송을 하는 유명 스트리머를 중심으로 방송을 방해하는 디도스 공격이 반복됐다. 프로게이머 '페이커'(이상혁)도 개인 스트리밍 방송이 중단되는 피해를 입었다. 일반적으로 디도스 공격에 수반되는 금전적 요구가 없어 단순한 방해를 목적으로 한 것으로 추정됐다.
단 LCK와는 다소 상황이 다르다. 스트리머는 개인PC를 사용하기에 기업·기관에 비해 상대적으로 보안에 취약하지만, 기업의 경우 일반적으로 트래픽을 우회, 분산하는 디도스 방어 시스템을 활용하거나 한국인터넷진흥원의 사이버대피소를 활용해 디도스에 대처한다. LCK 측은 디플러스 기아와 DRX의 경기가 중단된 후에도 서버 용량을 늘리고 방화벽을 추가하는 데 그쳤다.
다수의 전문가들은 최소한의 망분리조차 이뤄지지 않았다는 점을 지적했다. LCK 경기를 위한 내부망을 따로 구축해 사용했더라면 외부에서 쏟아진 디도스 공격에 속수무책으로 당하지 않으리라는 것이다. 한 사이버보안 기업 관계자는 "일시적인 이벤트도 아니고, 정기적으로 진행된 경기였다면 적어도 내부망을 구축해 이용하는 게 안전 면에서 합리적이었을 것"이라고 말했다. LCK 관계자는 본지의 질문에 "내부망을 포함한 여러가지 대책을 검토하고 있다"고 말했다.
일각에서는 LCK가 보안을 위해 충분히 투자하지 않은 것 아니냐는 목소리도 나왔다. LCK를 운영하는 LCK 유한회사나 '리그 오브 레전드'를 서비스하는 라이엇게임즈코리아는 정보보호에 투자한 금액을 따로 공시하고 있지 않다. 배틀그라운드 e스포츠 대회를 주관하는 크래프톤은 정보보호부문에 64억원을 지출했는데, 이는 전체 IT부문 투자액 대비 2.5%에 달한다. 국내 대표 게임사인 넥슨코리아는 IT부문 투자액의 3.4% 가량인 133억원을 정보보호에 투자했다.
장항배 중앙대 산업보안학과 교수는 "관련된 공공기관은 일정 이상 보안투자를 하고 있는데, 입체적으로 (디도스 등에)대응하기 위한 보안투자의 수준을 훨씬 높여야 한다"고 말했다.
