AI, MS 365 대규모 장애 해킹이 아니라는 근거와 한계

 

안녕하세요, JS입니다.

 

마이크로소프트(MS) 클라우드에서 대규모 장애가 터져 아웃룩, 팀즈, 코파일럿이 하루 가까이 말썽을 부렸습니다.

이런 일이 생기면 가장 먼저 나오는 질문이 "해킹 아니야? 어느 나라 짓이야?"입니다.

저도 같은 질문이 떠올라 확인해 봤습니다.

결론부터 말씀드리면, 지금까지 확인된 자료에서 중국을 포함해 특정 국가나 단체를 지목한 내용은 없었고, MS는 사이버 공격이 아니라고 밝혔습니다.

다만 최종 원인 보고서는 아직 나오지 않았습니다.

오늘은 확인한 것과 확인하지 못한 것, 그리고 처음 전해진 내용 중 사실과 달랐던 부분을 정리해 보겠습니다.

 

핵심 요약

• 장애는 11월 12일(목) 미국 동부 오전 11시대에 시작해 13일(금)까지 이어졌습니다. 11월 13일에 시작된 것이 아닙니다.
• MS는 "사이버나 AI와 무관한 기술적 문제"라고 밝혔고, 원인은 앞선 네트워크 용량 증설 작업에서 비롯된 문제로 설명했습니다.
• 처음 전해진 "인증 설정 문제와 DDoS 공격"이라는 설명은 제가 연 다른 모든 자료와 어긋납니다.
• 중국 등 특정 국가를 지목한 자료는 찾지 못했습니다. 호주 정부도 사이버 사건이 아니라는 MS 설명을 전했습니다.
• MS 주가 -0.4%는 확인하지 못했습니다.

무엇이 멈췄나

제가 열어본 보도에 따르면 영향이 컸던 서비스는 아래와 같습니다.

• 아웃룩과 익스체인지 온라인(Exchange Online): 가장 크게 영향을 받았습니다. 웹, 앱, 모바일에서 메일함 접속이 안 됐고 메일 전달도 지연됐습니다.
• 코파일럿: 이메일과 연동되는 기능이 영향을 받았습니다.
• 팀즈: 채팅과 통화는 대체로 유지됐다는 설명이 있었습니다.
• 셰어포인트, 원드라이브, 디펜더 XDR: MS 상태 페이지에 영향 가능 서비스로 올랐습니다. 다만 이 부분은 서비스별 장애 수준까지는 확인하지 못했습니다.
• 오픈AI와 앤트로픽 등 MS에 의존하는 다른 회사의 연동 기능도 영향을 받았다고 합니다.

익스체인지에 의존하지 않는 기능은 계속 작동했다는 것이 MS의 설명입니다.

그래서 "전부 마비"라기보다 "메일을 거치는 기능이 막혔다"고 이해하는 쪽이 정확합니다.

시간 순서

미국 동부시간 기준 보도를 한국시간으로 바꾸면 이렇습니다. 시간 환산은 제 계산입니다.

 

한국시간 사건

11/13(금) 01:20경	MS가 관리자용 장애 공지 개설(미 동부 11/12 오전 11:20)
11/13 02:54경	첫 공개 게시, 미주 지역 메일함 접속 실패 언급
11/13 03:35경	MS가 인프라 일부의 "높은 부하"를 원인으로 지목
11/13 07:09경	조치로 기대한 만큼 개선되지 않았고 핵심 처리 과정이 과부하라고 밝힘
11/13 23:17경	메일 대기열이 정상 수준에 근접
11/14(토) 02:50경	광범위한 복구를 발표했으나 장애 건 자체는 아직 닫지 않음

시작 시점은 알자지라 보도 기준으로 11월 12일 오후 4시(그리니치)경입니다. 그 시점부터 광범위한 복구 발표까지는 제 계산으로 약 26시간입니다. 브리핑의 "약 18시간"은 한 인도 매체가 "거의 18시간 접속이 안 됐다"고 쓴 것을 따온 숫자로 보이는데, 지역과 서비스에 따라 체감 시간이 다릅니다. 다른 자료는 "하루 넘게 걸려 점진적으로 복구했다"고 설명했습니다. 그래서 18시간은 확정 수치가 아니라 일부 보도의 표현으로 보시는 것이 맞습니다.

원인: MS가 밝힌 것

MS 쪽 설명을 모으면 다음과 같습니다.

• 일부 서버가 예상치 못하게 응답하지 못하게 되면서 남은 서버에 부하가 몰렸고, 전체 트래픽이 늘어난 것은 아니었다고 합니다.
• 서버들이 자동 건강 점검(헬스 체크)에 실패해 서비스에서 빠졌고, 남은 서버가 과부하를 일으키는 연쇄가 생겼다는 설명입니다.
• 앞선 네트워크 용량 증설 작업에서 생긴 문제가 최근 네트워크 변경 이후 드러났다고 MS가 밝혔습니다.
• 복구 과정에서는 서버 재시작, 최근 네트워크 설정 되돌리기, 헬스 체크를 우회하는 임시 방법, 새 헬스 체크 방식 적용 등이 동원됐습니다.
• MS는 원인과 재발 방지책을 담은 사후 보고서를 낼 예정이라고 밝혔습니다.

버지(The Verge)는 취재원을 인용해 애저 가상 네트워크 설정 변경과 연결됐다고 전했지만, MS가 확인한 내용은 아닙니다.

해킹이나 DDoS는 아닌가

이 질문에 답하기 위해 확인한 내용입니다.

• MS 부사장 찰스 라마나는 X에 "악의적이거나 사이버 활동의 결과라는 징후가 없다"고 썼습니다. MS 상태 페이지에도 "악의적 활동 증거가 없다"고 올라왔습니다.
• 호주 내무장관 토니 버크는 MS와 국가 사이버보안 조정관의 브리핑을 받은 뒤 두 곳 모두 사이버 사건으로 보지 않는다고 밝혔고, 이를 크라우드스트라이크 사태처럼 "잘못된 업데이트" 유형에 비유했습니다.
• 한 기술 분석가는 서버가 몰리는 부하는 보통 외부 공격이나 내부 업데이트 오류에서 나오는데 MS는 공격은 없었다고 한다고 설명했습니다.
• DDoS는 트래픽이 폭주하는 형태인데, MS는 정상 수요에서 서버 수가 줄어서 문제가 생긴 것이라고 했습니다. 이 점에서 DDoS 설명과는 맞지 않습니다.

"인증 설정 문제와 DDoS"를 원인으로 쓴 곳은 브리핑이 가리킨 사이트 한 곳뿐이었고, 그 페이지에는 공격 규모나 출처가 없었습니다. 제 추정으로는 장애 초기에 MS가 말한 "높은 부하"라는 표현이 DDoS로 잘못 옮겨졌을 가능성이 있습니다. 이건 추정입니다.

그렇다면 중국의 해킹이 아니라고 단정할 수 있을까요? 단정은 어렵습니다. 제가 확인한 것은 이렇습니다.

• 특정 국가나 단체를 지목한 자료는 없었습니다.
• MS와 호주 정부는 사이버 사건이 아니라고 밝혔습니다.
• 다만 최종 사후 보고서가 나오지 않았기 때문에 "공격이 아니었다고 확정됐다"기보다 "지금까지 공격 증거가 없고 MS가 부인했다"가 정확합니다.

장애 뒤에 조심할 것

보도들은 장애 직후 피싱이 늘 수 있다고 경고했습니다. "메일함 복구" 같은 문구로 비밀번호 재설정이나 링크 클릭을 유도하는 문자와 메일이 올 수 있고, MS는 이런 요청을 하지 않는다는 설명입니다. 한 은행은 고객에게 장애를 고쳐 주겠다는 사기범을 조심하라고 안내했다고 합니다.

별개로 11월 정기 보안 패치에서 고쳐진 아웃룩 스푸핑 취약점이 있고 MS가 공격에 악용됐다고 밝혔다는 보도가 있었습니다. 하지만 MS의 장애 공지는 이 취약점과 장애를 연결하지 않았습니다. 두 사안은 따로 보셔야 합니다.

확인하지 못한 것들

• MS 주가 -0.4%(검색에서 해당 날짜의 변동폭을 확인하지 못했습니다)
• 최종 사후 보고서의 원인 설명과 재발 방지책
• 정확한 피해 규모(다운디텍터 신고는 최대 13만 건 이상이었지만 실제 영향받은 이용자 수는 MS가 밝히지 않았습니다)
• 오픈AI와 앤트로픽 커넥터 피해의 구체적 범위
• 한국 내 영향 사례
• 버지가 전한 애저 가상 네트워크 설정 변경설의 사실 여부

일반 상식: 대형 클라우드 장애는 왜 연쇄적으로 번지나

여기서부터는 이번 사건과 별개로 알아두면 좋은 일반적인 내용입니다.

클라우드 서비스는 서버 수천 대가 서로 역할을 나눠 맡습니다. 그중 일부가 건강 점검에서 탈락해 빠지면 남은 서버가 그 일을 떠안고, 그 서버도 과부하로 빠지면 연쇄적으로 무너질 수 있습니다. 이를 흔히 연쇄 장애라고 부릅니다. 복구도 서버를 한꺼번에 살리면 다시 몰려서 쓰러질 수 있어 단계적으로 진행됩니다.

기업 입장에서는 한 업체에 메일, 메신저, 문서가 몰려 있으면 장애 때 모두 같이 멈추는 단일 장애점이 생깁니다. 그래서 대체 연락 수단을 미리 정해 두는 것이 권장됩니다.

장애 때 개인과 팀이 할 수 있는 일

여기서도 일반적인 내용입니다.

• 메일이 막혔을 때 쓸 보조 연락 수단(전화, 다른 메신저)을 미리 팀에 공유해 둡니다.
• 중요한 문서는 한 곳에만 두지 말고 오프라인 복사본을 일부 보관합니다.
• 장애 중 "복구 링크"는 클릭하지 말고 관리자 공지로만 확인합니다.
• 장애 상태는 서비스 공식 상태 페이지에서 확인합니다. 이번에는 상태 페이지 자체도 잠시 열리지 않았다고 합니다.

JS의 생각

개인적인 의견은 따로 전달받지 못해서 분석만 적겠습니다.

저는 이번 사건에서 "원인"만큼 중요한 것이 "처음 퍼진 설명과 나중에 확인된 설명이 달랐다"는 점이라고 봅니다.

장애 초기에는 DDoS, 인증 문제, 특정 국가의 공격 같은 말이 쉽게 퍼지지만, 시간이 지나 MS의 공식 설명이 나오면 내용이 달라지는 경우가 많습니다.

그래서 대형 장애 때는 공식 상태 페이지와 사후 보고서가 나오기 전까지 원인을 단정하지 않는 태도가 필요하다고 생각합니다.

 

자주 묻는 질문

Q. 이번 MS 장애는 중국 해킹인가요? A. 제가 확인한 자료에서 중국이나 특정 국가를 지목한 내용은 없었고, MS는 사이버 활동의 징후가 없다고 밝혔습니다. 다만 최종 보고서는 아직 나오지 않았습니다.

Q. DDoS 공격이 원인인가요? A. 한 사이트만 그렇게 썼고, MS와 다른 보도는 네트워크 증설 문제와 서버 과부하로 설명했습니다.

Q. 장애는 언제 끝났나요? A. 11월 13일(미 동부 시간대) 광범위한 복구가 발표됐고, MS는 사건을 아직 닫지 않은 상태였습니다.

Q. 주가에 영향이 있었나요? A. 브리핑의 -0.4%는 확인하지 못했습니다. 이 글은 투자 권유가 아닙니다.

결론

장애는 11월 12일에 시작해 13일까지 이어진 사건이고, MS가 밝힌 원인은 네트워크 증설과 서버 과부하 쪽입니다.

해킹이나 DDoS, 특정 국가 연루를 뒷받침하는 자료는 찾지 못했습니다.

다만 최종 사후 보고서가 나오면 설명이 달라질 수 있으니 그때 다시 확인하시길 권합니다.

오늘도 끝까지 읽어주셔서 감사합니다.

📌 참고 링크 모음

• forbes.com/sites/kateoflahertyuk/2026/11/13/microsoft-outage-what-happened-and-what-to-do-next/ (MS 설명·사과)
• aljazeera.com/news/2026/11/13/microsoft-hit-by-global-outages-what-happened-and-why (원인·호주 정부 발언·전문가 의견)
• techradar.com/news/live/outlook-outage-nov-2026 (타임라인·상태 페이지 문구)
• securityweek.com/microsoft-365-outage-disrupts-outlook-exchange-online-and-teams/ (서비스·기술 설명)
• ransomnews.com/microsoft-365-outage-cyberattack-november-2026/ (사이버 공격 여부·타임라인)
• aienews.org/news.html (18시간 표현)
• kimkj.com/en/ai-board-en/?mod=document&uid=21545 (DDoS 언급이 있었으나 다른 자료와 달라 근거로 쓰지 않음)