대규모 DDoS 공격으로 보안 메신저 ‘Threema’ 서비스 중단

대규모 DDoS로 스위스 보안 메신저 ‘Threema’ 서비스 일시 중단, 가용성만 타격된 사건의 정책적 함의

스위스 보안 메신저 서비스 ‘Threema’는 2026년 8월 11일 화요일 저녁부터 12일 수요일 오전까지 다수의 분산서비스거부(DDoS) 공격을 동시다발적으로 받으며 메시지 전송과 통화 기능이 장시간 마비되었고, 공격은 Threema 자체 인프라와 스위스 콜로케이션 파트너 ‘Nine’를 함께 겨냥해 중앙 서비스와 기업용 ‘Threema Work’까지 영향을 미쳤다.
Threema는 8월 14일자 공식 블로그 ‘DDoS Attacks on Threema’에서 이번 사건을 공개하며 8월 11일 19시 30분부터 23시 30분까지 중앙 서비스가 완전 불능 상태였고 8월 12일 오전에도 간헐적 중단이 이어졌으나, 12시 23분에 정상 운영으로 복구됐다고 구체적 시점을 제시하고, 공격이 메시지·파일·음성·영상 통화 가용성에만 영향을 미쳤으며 암호화된 사용자 데이터와 키 관리 구조는 침해되지 않았다고 설명했다.
Threema는 이번 공격이 자사와 데이터센터 사업자 Nine를 동시에 겨냥한 대규모 트래픽 남용으로, 기존 방어 장비와 네트워크 설계만으로는 충분히 대응하기 어려운 수준이었다고 평가하면서, 일부 고객이 자체적으로 운영하는 온프레미스 버전 ‘Threema OnPrem’ 설치는 별도의 네트워크 경로에 있어 영향을 받지 않았다고 언급해, 서비스형(SaaS) 메신저와 독립 설치형 메신저 간 위험 노출 차이를 드러냈다.
Threema는 공격 직후 상류 통신망에서 악성 트래픽을 걸러내는 전용 DDoS 방어 체계를 구축하겠다고 밝혀, 트래픽 필터링을 담당하는 별도의 보호 인프라를 도입하고 수 시간 내 안정성 테스트를 거쳐 운영 환경에 투입하겠다는 계획을 제시했으며, 추가로 상태 페이지에 사건 이력과 RSS 구독 기능을 도입해 이용자가 장애 여부와 복구 경과를 실시간으로 파악할 수 있도록 투명성을 높이겠다고 했다.
이번 사건은 종단간 암호화와 스위스 데이터 보호법 준수로 신뢰를 쌓아온 보안 메신저도 네트워크 과부하 공격으로 수 시간 동안 완전히 접근 불능 상태에 이를 수 있다는 점을 보여주며, 국가·기업·언론이 의사소통을 특정 해외 보안 메신저나 단일 데이터센터 사업자에 의존하면 정치적 위기나 재난 상황에서 동시에 통신이 막힐 수 있다는 공급망·인프라 집중 리스크를 정책 차원에서 관리해야 한다는 문제를 제기한다.
Threema와 Nine를 겨냥한 DDoS 공격으로 4시간 이상 완전 불통과 그 이후 간헐적 서비스 중단이 발생한 사례는 한국에서도 공공 메신저, 군·치안 통신 및 국내 기업용 협업 도구를 설계할 때 다중 데이터센터, 온프레미스 대안, 상류망 기반 DDoS 보호와 위기 시 우회 경로를 의무화하는 규범을 검토해야 한다는 함의를 주며, 동시에 국내 보안 산업이 고성능 DDoS 보호, 상태 모니터링 플랫폼, 독립형 보안 메신저 솔루션을 개발·수출할 기회가 있음을 시사한다.