우크라이나의 얀덱스 데이터 센터 공격 이후 악성 러시아 허위 정보 봇 트래픽은 미미한 변화만 보임

러시아 봇 트래픽은 우크라이나가 폭격 중 일부 얀덱스의 주요 데이터 센터가 공격받은 이후 감소세를 보였습니다. 불행하게도, 공격으로 인해 전반적인 러시아발 봇 트래픽은 느려졌지만, Cloudflare에 따르면 악성 봇들은 Radist나 Selectel 같은 다른 호스팅 ASN(Autonomous System Number)으로 단순히 이동한 것으로 보입니다. 전체적으로 Yandex Search와 Yandex.Cloud의 트래픽은 정상 트래픽 수준의 10%에서 15%를 유지하고 있어, 네트워크가 여전히 혼란스러운 상태임을 의미합니다. Cloudflare는 전자의 트래픽이 주로 웹사이트를 색인화하는 검증된 검색 크롤러로 구성되어 있어, 이 서비스의 트래픽은 대부분 합법적이라고 언급했습니다. 반면, 후자는 데이터 센터 폭격 이후 취약점 스캐닝 및 프로빙과 같은 악성 활동에서 감소를 경험했지만, Cloudflare는 “대규모 자동화가 사라진 것이 아니라 — 단순히 다른 호스팅 제공업체로 이동했을 뿐”이라고 말합니다.

이는 도박 부문의 한 Cloudflare 고객사에서 명확하게 드러났습니다. 해당 고객사는 Yandex.Cloud로부터의 악성 봇 요청이 0으로 떨어졌으나, 다른 네트워크를 통해 동일한 활동이 발생하기 시작하는 것을 확인했습니다. 이 회사(Cloudflare)는 분석 보고서에서 “전반적으로 도박 계정을 겨냥한 러시아 봇 트래픽은 주간 동안 본질적으로 평탄하게 유지되었으며, 1677만 건에서 1701만 건으로 (+1.4%) 증가했습니다”라고 작성했습니다. 또한, “자동화는 작동을 멈추지 않았습니다. 운영자들은 Yandex.Cloud가 사용 불가능해지자 단순히 다른 클라우드 제공업체로 워크로드를 이전했을 뿐입니다.”

이 회사는 소셜 미디어 트래픽도 분석했으며 유사한 결과를 발견했습니다. 같은 기간 동안 러시아 출신 IP에서 온 트래픽은 0.6% 감소에 그쳤고, 한 플랫폼의 “게시물(post)”, “답글(reply)”, “좋아요(like)”를 겨냥한 러시아 봇 트래픽은 단지 5.7%만 감소했습니다. 이 때문에 Cloudflare는 우크라이나 공습이 소셜 미디어 조작의 감소를 야기했다는 이론을 반박했지만, 분석 범위가 Cloudflare 서비스를 통과한 트래픽으로 제한적이라는 점도 언급했습니다.

클라우드 기반 워크로드는 데이터 센터 간에 쉽게 이전될 수 있기 때문에, 일부만 폐쇄한다고 해서 그곳에서 운영되던 서비스가 반드시 종료되는 것은 아닙니다. 대신, 소유주와 운영자는 단순히 다른 데이터 센터로 이전할 수 있습니다. 이는 이란의 공격으로 AWS Bahrain 및 AWS Abu Dhabi에 영향을 받은 고객사들에게 Amazon이 안전한 항구(safer harbors)를 찾으라고 조언했던 상황과 정확히 같습니다.Amazon이 아부다비와 바레인 고객사에게 데이터를 위한 더 안전한 항구를 찾으라고 전했다는 내용

Cloudflare는 이것이 바로 봇 네트워크와 같은 자동화된 위협에 대응하기 어려운 이유라고 지적했습니다. IP 접두사(prefix)가 차단되거나 그 뒤의 물리적 인프라가 파괴되어도, 운영자들은 단지 몇 시간 만에 다른 제공업체로 운영을 옮기고 빠르게 정상 트래픽 수준으로 복귀할 수 있기 때문입니다.