NoName057(16)의 게임화된 DDoS 공격, 목표는 접속 장애보다 ‘신뢰 붕괴’

알토대학교 연구는 친러 성향의 해커 집단 NoName057(16)을 단순한 ‘핵티비스트(hacktivist)’ 조직으로 보기 어렵다고 분석합니다. 이 집단은 다수 참가자가 분산 서비스 거부(DDoS) 공격에 참여하도록 만든 뒤, 공격 결과를 선전·이념적 모집·금전적 보상과 결합합니다. 연구진은 이를 핵티비즘, 지정학적 사이버 활동, 사이버범죄가 겹치는 지점에 있는 모델로 설명합니다. 12

핵심은 짧은 웹사이트 접속 장애가 더 긴 정치적 효과를 낳을 수 있다는 점입니다. 기관이 잠시 서비스를 제공하지 못하는 장면을 부각하면, 해당 기관이 취약하다는 인상을 만들고 공포를 키우며 필수 서비스를 책임지는 조직에 대한 불신을 확산시킬 수 있습니다.

목표는 단순한 서비스 마비가 아니다

NoName057(16)은 핀란드를 포함해 주로 북대서양조약기구(NATO) 회원국과 유럽 각국의 공공·민간 조직을 상대로 수천 건의 DDoS 공격을 벌여왔습니다. 2 DDoS 공격은 특정 서비스에 요청이나 트래픽을 집중시켜 정상적인 이용자가 접속하지 못하게 만드는 방식입니다.

즉각적인 결과는 웹사이트나 온라인 서비스의 일시적 중단일 수 있습니다. 그러나 알토대학교의 분석에 따르면 공격은 상대를 정당하지 않은 존재로 보이게 만드는 선전의 무대로도 활용됩니다. 기술적 장애가 눈에 보이는 사건을 만들고, 그 주변에 정치적 해석을 덧씌우는 것입니다. 2

이 때문에 연구진은 이를 하이브리드 위협으로 봅니다. 공격 자체는 눈에 띄는 사건을 만들고, 뒤따르는 메시지는 그 사건을 정치적 서사로 바꿉니다. 목표가 반드시 영구적인 기술 손상일 필요는 없습니다. 시민의 불안, 기관의 평판 훼손, 정부와 핵심 서비스에 대한 신뢰 약화만으로도 공격자는 원하는 효과를 얻을 수 있습니다. 12

텔레그램과 DDoSia로 낮춘 참여 장벽

이 집단의 운영 방식은 상당 부분을 자원봉사 네트워크에 분산하는 데 기반을 둡니다. 참가자들은 텔레그램을 통해 모집되고, 네트워크가 선정하거나 홍보하는 표적을 공격할 수 있도록 DDoSia라는 도구를 제공받습니다. 23443

이 모델은 참여에 필요한 기술 수준을 낮춥니다. 정교한 취약점 공격을 직접 개발하지 않아도 도구를 통해 컴퓨팅 자원을 제공하고, 집단이 제시하는 공격 일정과 표적에 따라 행동할 수 있기 때문입니다. 형식상으로는 군중이 분산해 참여하지만, 표적 선정과 의사소통, 성과 보상은 네트워크가 주도합니다. 234

그 결과 정치적 사건이나 러시아의 적대 세력으로 인식된 대상을 중심으로 빠르게 동원되는 커뮤니티가 만들어집니다. 동시에 성과에 따라 보상을 제공하는 일부 운영 방식은 ‘서비스형 사이버범죄’와도 닮아 있습니다. 알토대학교는 이런 특성 때문에 이 모델이 이념적 핵티비즘, 지정학적 사이버전, 금전적 동기의 사이버범죄 사이 경계를 흐린다고 설명합니다. 23

왜 ‘애국적인 온라인 게임’이라는 표현이 중요한가

DDoSia는 단순한 공격 소프트웨어로만 소개되지 않습니다. 프로젝트는 참여를 ‘애국적인 온라인 게임’으로 포장하며, 공격 행위를 범죄가 아니라 국가주의적 또는 시민적 행동처럼 받아들이도록 유도합니다. 338

게임과 유사한 구조는 참가자 모집과 유지에 도움이 될 수 있습니다. 공동체 정체성, 눈에 보이는 목표, 경쟁 요소를 제공하기 때문입니다. 관련 보도에서는 순위나 성과에 따른 보상 체계도 언급됐지만, 구체적인 방식과 지급 조건은 시기와 보도에 따라 달라진 것으로 전해졌습니다. 3944

이 조합은 전략적으로 효과적입니다. 이념은 참여의 명분을 제공하고, 게임 형식은 진입을 쉽고 사회적인 활동처럼 보이게 하며, 금전적 보상은 계속 참여할 추가 동기를 만듭니다.

암호화폐가 더한 상업적 유인

프로젝트는 공격에 기여한 참가자에게 암호화폐 보상을 제공해 왔습니다. 과거 보도에서는 성공적인 DDoS 활동에 최대 8만 러시아 루블, 당시 환율 기준 약 1,200달러가 지급될 수 있다고 전했습니다. 46

보상 체계는 정치적 신념으로 움직이는 자원봉사자와 돈을 받고 움직이는 사이버범죄자를 단순히 나누기 어렵게 만듭니다. 참가자는 친러 메시지, 집단 내 사회적 경험, 경쟁 방식, 금전적 보상 중 하나 또는 여러 이유로 끌릴 수 있습니다. 알토대학교의 연구 결과는 이러한 동기가 서로 배타적이지 않고 함께 작동할 수 있음을 보여줍니다. 2

다만 모든 참가자가 돈을 받았거나 모든 공격이 금전적 이유로 이뤄졌다는 뜻은 아닙니다. 현재 근거가 뒷받침하는 더 신중한 결론은 암호화폐가 이념적 호소와 함께 참가자를 모집하고 계속 활동하게 만드는 또 하나의 수단이라는 것입니다.

핀란드에서 드러난 공격 규모

알토대학교에 따르면 NoName057(16)은 2025년 1월 7일 이후 핀란드 표적을 상대로 23차례 공격을 벌였고, 공공·민간 조직 129곳이 영향을 받았습니다. 표적에는 핀란드 의회와 정부 기관, 지방자치단체, 은행·금융기관, 핵심 인프라 서비스 제공업체가 포함됐습니다. 알토대학교는 핀란드가 2023년 NATO에 가입한 뒤 공격이 눈에 띄게 늘었다고도 밝혔습니다. 1

유럽에서 이런 공격의 직접적인 영향은 온라인 서비스에 일시적으로 접속하지 못하는 상황일 수 있습니다. 그러나 더 넓은 차원의 영향은 정부 기관, 금융 조직, 필수 서비스 제공자가 디지털 창구를 안정적으로 지키지 못한다는 인식을 만드는 데 있습니다. 시스템이 빠르게 복구되더라도 공격자에게는 그런 인식 자체가 가치가 있습니다.

‘이스트우드’ 작전이 바꾼 것과 입증하지 못한 것

2025년 7월 14일부터 17일까지 유로폴과 유로저스트는 NoName057(16)의 인력과 인프라를 겨냥한 다국적 작전 ‘이스트우드(Operation Eastwood)’를 조율했습니다. 체코, 프랑스, 핀란드, 독일, 이탈리아, 리투아니아, 폴란드, 스페인, 스웨덴, 스위스, 네덜란드, 미국의 수사·사법 당국이 동시에 대응에 나섰습니다. 17

이 작전으로 전 세계 100개가 넘는 컴퓨터 시스템으로 구성된 공격 인프라가 교란됐고, 집단의 중앙 서버 인프라 상당 부분이 오프라인 상태가 됐습니다. 작전과 관련한 다른 보도에서는 체포와 압수수색, 체포영장 발부도 이뤄졌다고 전했습니다. 1723

이는 작전상 중요한 타격이지만, ‘교란’이 곧 영구적인 소멸을 의미하지는 않습니다. 현재 공개된 근거만으로는 모집 방식과 정치적 메시지, 선전 효과가 완전히 사라졌다고 볼 수 없습니다. 특정 서버나 운영자를 제거하더라도, 참가자가 분산된 구조는 새로운 인프라를 이용해 적응할 가능성이 있습니다.

조직이 바꿔야 할 대응 방식

알토대학교의 분석은 일반적인 DDoS 방어만으로는 충분하지 않다고 시사합니다. 조직은 위협 모델링, 위험 평가, 사고 대응 과정에서 공격자의 정치적 목표와 운영 방식, 참여 동기를 함께 고려해야 합니다. 모든 사건을 단순한 ‘서비스 가용성 문제’로만 다뤄서는 안 된다는 뜻입니다. 2

기술적 대비와 함께 커뮤니케이션 계획도 마련해야 합니다.

• 장애뿐 아니라 서사에도 대비해야 합니다. 어떤 서비스와 기관, 대중이 영향을 받을 수 있는지 파악하고 사건을 정확하게 설명할 계획을 세워야 합니다.
• 보안팀과 소통팀을 함께 움직여야 합니다. 보안팀은 실제로 무슨 일이 발생했고 어떤 서비스가 계속 이용 가능한지 확인하고, 소통팀은 루머와 위협, 오해를 부르는 주장을 다뤄야 합니다.
• 투명하고 신뢰할 수 있게 알려야 합니다. 공격을 축소하거나 숨기면 적대적 선전이 파고들 공간이 생길 수 있습니다. 명확한 상황 공유는 일시적 장애가 기관 전체의 붕괴로 묘사되는 것을 막는 데 도움이 됩니다. 2
• 복구를 가동 시간만으로 측정해서는 안 됩니다. 웹사이트를 복구하는 것은 기본이지만, 시민의 신뢰와 평판 손상, 사건을 둘러싼 허위 주장의 확산 여부도 함께 점검해야 합니다.

이 연구가 던지는 가장 중요한 메시지는 전략적입니다. DDoSia는 평범한 인터넷 이용자를 조직적인 영향력 작전에 참여시키고, 사이버 공격을 게임처럼 보이게 만듭니다. 따라서 대응에도 복원력 있는 인프라뿐 아니라 공격을 둘러싸고 만들어지는 이야기에 대응하는 능력이 필요합니다.