ILOVEYOU 바이러스, 100억 달러 피해 입혔지만 제작자는 필리핀에 해킹법 없어 자유의 몸

2000년 5월 4일, 컴퓨터 웜이 몇 시간 만에 전 세계로 퍼졌다. 이 웜은 'ILOVEYOU'라는 제목 줄과 'LOVE-LETTER-FOR-YOU.TXT.vbs'라는 첨부 파일이 있는 이메일로 도착했다. 윈도우의 기본 설정인 '알려진 파일 확장명 숨기기' 때문에 .vbs 파일이 무해한 텍스트 파일처럼 보였다. 열게 되면 웜은 미디어 파일을 덮어쓰고, 피해자의 주소록에 있는 모든 연락처로 자신을 전송했으며, 트로이 목마를 내려받아 전화 접속 인터넷 비밀번호를 훔쳤다.

웜은 너무 빠르게 퍼져 인터넷에 연결된 모든 컴퓨터의 약 10%를 감염시킨 것으로 추정되었고, 이로 인해 펜타곤, CIA, 영국 의회, 주요 기업들이 이메일 시스템을 폐쇄해야 했다. 총 피해는 정리 비용, 생산성 손실, 시스템 복구를 합쳐 약 100억 달러로 추정되었다. 웜의 제작자는 필리핀 출신의 22세 중퇴자 오넬 데 구즈만으로, 그는 무료로 인터넷에 접속하기 위해 전화 접속 비밀번호를 훔치도록 이 웜을 설계했다.

필리핀 당국이 데 구즈만을 추적했을 때 문제가 하나 드러났다. 필리핀에는 컴퓨터 해킹을 금지하는 법이 없었던 것이다. 모든 혐의가 기각되었다. 이 사건은 필리핀이 첫 사이버 범죄법을 통과시키는 계기가 되었고, ILOVEYOU 웜은 단순한 사회공학 공격이 어떻게 세계 최대 기관들을 무너뜨릴 수 있는지를 보여준 컴퓨터 보안 역사의 획기적 사건이 되었다.

제작자가 풀려난 이유는 필리핀에 해킹법이 없었기 때문이며, 100억 달러의 피해가 기소되지 않은 채 남았다.

윈도우의 기본 설정인 '알려진 파일 확장명 숨기기' 때문에 .vbs 첨부 파일이 무해한 .txt 파일처럼 보였고, 수백만 사용자가 연애 편지처럼 보이는 것을 클릭했다.

웜은 이메일 연락처 목록을 통해 퍼졌기 때문에 신뢰할 수 있는 출처에서 온 것처럼 보였고, 이는 수신자들이 훨씬 더 쉽게 열도록 만들었다.

제작자가 풀려난 이유는 필리핀에 컴퓨터 범죄법이 없었기 때문이며, 이 법적 공백으로 인해 필리핀은 그를 기소할 수 없었다.

웜이 배포될 당시에는 백신 서명이 존재하지 않았고, 감염 속도(몇 시간)가 수동 방어를 압도했다.

사회공학은 어떤 기술적 방어도 무력화한다. 가짜 연애 편지가 어떤 정교한 익스플로잇보다 더 큰 피해를 입혔다. 보안은 소프트웨어가 아니라 사람에 관한 것이다.

ILOVEYOU 웜은 필리핀이 첫 사이버 범죄법을 통과시키는 계기가 되었다. 이 사건은 컴퓨터 보안의 결정적 순간이 되었고, 어떤 시스템에서든 가장 약한 고리는 첨부 파일을 클릭하는 사람이라는 점을 확립했다. 데 구즈만은 2019년 마닐라의 휴대전화 수리 노점에서 일하고 있는 것으로 추적되었으며, 그곳에서 웜을 만들었다고 인정했다. 웜의 빠른 확산은 조직들이 이메일 보안을 배치하는 방식을 바꾸었고, 'ILOVEYOU'라는 제목 줄은 사회공학의 비용을 뜻하는 약칭으로 어휘에 들어갔다.