조정 부실의 비용: 마이크로소프트와 나이트메어 이클립스 간의 제로데이 분쟁
격화: 버그 사냥에서 "뼈 부수기"까지
나이트메어 이클립스는 이미 RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma, MiniPlasma 등 6개의 Windows 제로데이 취약점을 공개했습니다. 그 여파는 즉각적이었으며, 공격자들은 GitHub와 GitLab에 proof-of-concept (PoC) 코드가 공개된 직후 BlueHammer, RedSun, UnDefend를 무기로 활용하기 시작했습니다.
마이크로소프트는 이후 블로그 게시물과 몇몇 패치를 발표했지만 상황은 오히려 악화되었습니다. 나이트메어 이클립스는 7월 14일에 추가 익스플로잇과 문서를 "뼈 부수기" 수준으로 공개하겠다고 위협했으며, 마이크로소프트가 소통을 거부했을 뿐 아니라 연구원을 공개적으로 모욕하고 버그를 보고하던 계정을 삭제했다고 주장했습니다.
조정된 취약점 공개(CVD)의 붕괴
이 갈등의 핵심은 CVD 프로세스의 실패에 있습니다. 마이크로소프트는 연구원을 "조정되지 않은 공개"로 공개 비난하며, 패치되지 않은 취약점에 대한 PoC 코드를 공개하는 것은 결코 정당화될 수 없다고 주장했습니다. 그러나 업계 전문가들은 공개 절차의 실패에 대한 책임이 양측에 있다고 지적합니다.
전 마이크로소프트 보안 직원이자 현재 Zero Day Initiative의 책임자인 Dustin Childs는 CVD가 "양방향 거리"라고 강조합니다. 그는 마이크로소프트가 연구원과의 서신 증거를 제시하지 않은 채 공개적으로 비난하는 것은 대담하면서도 역효과를 낼 수 있는 행동이라고 주장합니다. 마찬가지로 마이크로소프트 버그 바운티 프로그램을 개척한 Katie Moussouris는 마이크로소프트가 "책임 있는 공개"라는 용어를 사용하는 것이 시대에 뒤떨어지고 주관적이며, 위험에 대한 의견 차이가 있을 때 조정을 방해한다고 지적합니다.
"다윗과 골리앗" 역학
Moussouris는 상황을 "다윗과 골리앗 역학"이라고 설명합니다. 정당한 채널이 차단된 후 연구원은 극단적인 선택을 강요받게 됩니다. 보상이 보류되고, 신용이 박탈되며, 소통이 차단될 때 연구원은 전체 공개가 유일한 지렛대라고 느낄 수 있습니다. Moussouris는 이렇게 말합니다:
"궁극적으로 버그는 마이크로소프트의 것입니다. 그들이 코드를 작성했고 고객에게 위험을 떠안고 있습니다."
기업 영향 및 축소되는 패치 윈도우
최종 사용자와 기업 관리자를 위해 이 분쟁은 단순한 기업 드라마가 아니라 중요한 보안 위험입니다. 취약점이 공개된 순간부터 무기로 전환되는 속도는 놀라울 정도로 빠릅니다.
시스템 엔지니어 Muhammad Qasim Shahzad는 LinkedIn에 다음과 같이 강조했습니다:
"한 사람이 6주 만에 대부분의 APT 그룹이 1년 동안 일으키는 기업 수준의 피해보다 더 큰 피해를 입혔습니다. 공개와 무기화 사이의 간격이 이제는 일일이 아니라 시간 단위로 측정됩니다."
이러한 급속한 무기화는 AI가 지원하는 버그 보고와 익스플로잇 생성이 벤더가 패치를 적용하고 기업이 그 패치를 배포할 수 있는 시간을 점점 좁혀가고 있음을 보여줍니다.
분석: 기업 실패인가 연구원 악의인가?
공개 토론, 특히 Hacker News와 같은 기술 커뮤니티에서는 이 사건에 대한 인식이 크게 갈라지고 있습니다. 일부는 제로데이 공개 자체가 근본적으로 비윤리적이며, 어떤 도발이 있더라도 무고한 사용자를 위험에 빠뜨린다고 주장합니다. 반면 다른 이들은 이것을 마이크로소프트 기업 문화의 체계적 실패로 보고 있습니다.
커뮤니티 논의에서 떠오른 주요 주제는 다음과 같습니다:
- "뒷덮개" 문화: 일부 관찰자는 마이크로소프트가 디지털 범죄 부서를 언급하며 위협적인 어조를 취하는 것이 기술적 문제를 해결하기보다 중간 관리층이 이미지 관리를 시도하는 증상이라고 지적합니다.
- AI 요인: AI가 "vulnpocalypse"(취약점 대재앙)를 촉진하고 있다는 우려가 커지고 있습니다. 발견되는 버그 양이 벤더가 triage하고 수정할 수 있는 능력을 초과하면서 연구원과 기업 간 마찰이 심화되고 있습니다.
- 책임 격차: 일부는 이러한 "조잡한 코드"를 방지하려면 소프트웨어 벤더를 보호하는 법적 책임 면 shields를 없애고 보안을 비용 구조에 직접 연결해야 한다고 주장합니다.
결론
Nightmare Eclipse 사가는 보안이 단순히 기술적 과제가 아니라 인간적인 과제임을 강력히 일깨워줍니다. 벤더가 연구원을 파트너가 아닌 적으로 대할 때, 도움이 되는(비록 불만이 있더라도) 동맹을 강력한 위협으로 전락시킬 위험이 있습니다. 마이크로소프트에게 교훈은 명확합니다: 고객을 보호하는 가장 효과적인 방법은 법적 위협이나 공개 비난이 아니라 투명하고 공정하며 공감적인 조정입니다.