2025년을 'DDoS의 Tbps 시대 원년'이라 부르는 것은 과장이 아니다. Cloudflare의 2025 연간 DDoS 위협 보고서에 따르면 연간 공격 총수는 4,710만 건(2024년 대비 2배, 2023→2025 236% 증가)에 달했고, 시간당 평균 5,376건을 자율 완화했다. 이를 주도한 핵심이 Aisuru(및 그 Aisuru-Kimwolf 변종)라 불리는 초대규모 봇넷이다. 본문은 이 보고서 이면의 '규모'와 '경제학'을 해독한다.
1. Aisuru: 100만 노드의 '봇넷 클라우드'
Aisuru는 100만~400만 대의 감염 호스트로 구성된 것으로 추정되며 주력은 Android TV 박스와 HiSilicon 기반 IoT 기기다. 그가 발동하는 '초대규모(hyper-volumetric)' 공격은 1 Tbps와 10억 PPS(Bpps)를 일상적으로 돌파한다.
더 불안한 것은 그의 임대 경제다. Aisuru의 '블록'은 판매업자에 의해 Botnet-as-a-Service로 팔린다. 불과 수백~수천 달러면 한 국가의 백본 네트워크를 마비시키고 수백만 사용자를 핵심 서비스에서 차단할 수 있다. 공격은 완전히 표준화된 상품이 되었다.
2. 계속 깨지는 기록의 숫자
- 2025 Q3: Aisuru가 사상 최대 29.7 Tbps UDP 카펫 폭격과 14.1 Bpps를 기록. 단일 공격이 초당 평균 약 1.5만 개 목적 포트를 무작위 폭격.
- 2025 Q4(12월 19일 '크리스마스 전야 작전'): Cloudflare 인프라와 고객 대상 HTTP DDoS에서 피크 2억 500만 RPS(205 Mrps).
- 2025 말: 한 공격이 단 35초 만에 경이로운 31.4 Tbps에 도달——공개 시점 기업이 공개한 최대 공격 트래픽.
205 Mrps를 어떻게 이해할까? 이는 영·독·서 세 나라 인구가 바로 그 1초에 같은 URL에 Enter를 누르는 것과 거의 같다.
3. 놓친 진실: 부수 피해(collateral damage)
Aisuru의 트래픽 규모는 어느 정도인가. Krebs on Security 보도에 따르면 일부 미국 ISP를 단순히 통과한 것만으로 '미국 내 광범위한 인터넷 중단'을 일으켰다——그 ISP들은 표적조차 아니었다. 이것이 초대규모 DDoS의 가장 위험한 측면이다: 공격이 한 국가의 백본을 포화시킬 규모에 이르면 공격의 '튀김'만으로도 제3자를 마비시킨다. 이 트래픽이 제대로 보호되지 않은 ISP, 중요 인프라, 의료·긴급 서비스에 직접 향한다면 어떻게 될지 상상해 보라.
4. 공격 출처 규명: 클라우드 남용
Cloudflare는 공격 트래픽 대다수가 클라우드 플랫폼과 관련된 IP에서 왔음을 발견했다: DigitalOcean, Microsoft, Tencent, Oracle, Hetzner 등이 상위에 올랐다. 위협 행위자가 세계에서 가장 구하기 쉽고 강력한 인프라(쉽게 배포되는 VM)를 대규모 트래픽 공격에 이용하고 있다는 시사점이다. 한 번의 공격에 수천 개의 서로 다른 ASN에서 온 트래픽이 섞이는 것은 드물지 않으며, 봇 노드는 진정으로 글로벌하게 분산되어 있다.
5. 왜 '인간 대응'으로는 더 이상 부족한가
보고서의 핵심 수치: HTTP DDoS의 71%, 네트워크 계층 공격의 89%가 10분 이내 종료. 짧은 공격은 수초밖에 안 갈 수도 있지만 업무 중단과 복구 비용은 공격 시간을 훨씬 초과한다. 공격이 어떤 운영자의 반응보다 빠를 때, 자동화·자율화된 완화는 '보너스'가 아니라 생존의 바닥선이다.
6. 방어 측에 대한 시사점
- Tbps를 흡수하는 전 세계 분산 아키텍처 필요: 로컬 장비나 온디맨드 스크러빙 센터는 30 Tbps급 홍수 앞에서 턱없이 부족하다.
- 오리진 IP 은닉이 전제: 공격자는 스크러빙을 우회해 실제 IP를 직격한다. 은닉이 첫걸음.
- 자율 완화: 초 단위로 식별·우회하고 사람이 출근하기를 기다리지 않는다.
- 로컬/온디맨드 스크러빙에 의존하는 조직은 전략을 재평가해야——이는 Cloudflare 보고서가 기업에 직접 권고하는 내용.
결론
2025년 데이터는 명확한 신호를 보낸다: DDoS의 규모와 정교함은 우리 상상을 초월했다. 모든 중요 비즈니스에 문제는 '공격받는가'가 아니라 '공격받을 때 몇 초 만에 씻어낼 수 있는가'다. Keep DDoS Away는 운이 아니라 지구를 덮고 자율적으로 결정하는 방어망이다.