크라우드스트라이크, 서비스 중단 사과로 10달러 기프트 카드 제공

• CrowdStrike는 7월 19일 장애 대응에 투입된 팀원과 파트너에게 사과와 감사 표시로 10달러 상당의 Uber Eats 기프트 카드를 보냄
• 이메일은 장애로 인한 추가 업무를 인정하는 내용이었고, 영국에서는 £7.75 상당 바우처가 제공된 사례가 있음
• 일부 수신자는 수요일 바우처 사용 중 “발행자가 취소했으며 더 이상 유효하지 않다”는 오류를 봤고, CrowdStrike는 높은 사용률 때문에 Uber가 이를 사기로 표시했다고 밝힘
• 결함 있는 업데이트는 약 850만 대 Windows 기기를 사용할 수 없게 만들었고, BSOD와 함께 공항 지연·병원 수술 중단·기업 업무 마비로 이어짐
• CrowdStrike는 업데이트 검증 과정의 버그로 문제가 있는 콘텐츠 데이터가 검증을 통과했다고 밝혔으며, CEO George Kurtz와 CSO Shawn Henry가 공개 사과함

---

10달러 Uber Eats 바우처 사과

• CrowdStrike는 7월 19일 결함 있는 업데이트로 전 세계 수백만 대 컴퓨터에 장애를 일으킨 뒤, 파트너들에게 10달러 Uber Eats 기프트 카드를 보냄
• 한 수신자가 화요일 받은 이메일은 “7월 19일 사건이 초래한 추가 업무”를 인정하며 기프트 카드를 제공한다는 내용이었음
• 이메일에는 “불편에 대해 진심으로 감사와 사과를 보낸다”는 문구와 함께 “다음 커피 한 잔이나 야식은 우리가 내겠다”는 표현이 포함됨
• 발신자는 CrowdStrike 최고사업책임자 Daniel Bernard 명의의 CrowdStrike 이메일 주소였음
• 영국에서는 바우처 금액이 £7.75로, 당시 환율 기준 약 10달러였던 사례가 있음

바우처 취소 오류와 해명

• 수요일 일부 수신자는 바우처를 사용하려다 취소 오류를 확인함
• TechCrunch가 확인한 Uber Eats 페이지도 해당 기프트 카드에 대해 “발행자가 취소했으며 더 이상 유효하지 않다”는 오류 메시지를 표시함
• CrowdStrike 대변인 Kevin Benacci는 회사가 기프트 카드를 보낸 사실을 확인함
  • 대상은 이 상황에서 고객을 돕고 있던 팀원과 파트너였음
  • Uber는 높은 사용률 때문에 이를 사기로 표시함

7월 19일 업데이트 장애 규모

• 금요일 CrowdStrike의 결함 있는 업데이트로 Microsoft 기준 약 850만 대 Windows 기기를 사용할 수 없게 됨
• 영향을 받은 컴퓨터는 Windows가 충돌하거나 치명적 소프트웨어 오류로 로드되지 않을 때 표시되는 BSOD 상태에 머묾
• 장애는 암스테르담, 베를린, 두바이, 런던 및 미국 전역 공항 지연으로 이어짐
• 여러 병원은 수술을 중단했고, 전 세계 수많은 기업도 업무가 마비됨

원인 조사와 공개 사과

• CrowdStrike는 장애 이후 대규모 장애 원인을 파악하기 위한 업데이트를 정기적으로 게시함
• 수요일 업데이트에서 회사는 고객 기기에 배포할 준비가 됐는지 확인하는 과정의 버그 때문에 결함 코드가 문제 있는 콘텐츠 데이터를 포함하고도 검증을 통과했다고 밝힘
• CEO George Kurtz는 고객과 파트너가 CrowdStrike에 둔 신뢰와 확신보다 중요한 것은 없다고 밝힘
• Kurtz는 사건 발생 경위와 재발 방지 조치를 완전히 투명하게 제공하겠다고 약속함
• 최고보안책임자 Shawn Henry는 LinkedIn에서 “우리가 여러분을 실망시켰고, 그 점에 대해 깊이 사과한다”고 씀
• Henry는 12년 이상 동안 가장 어려웠던 48시간이었고, 수년간 쌓아온 신뢰가 몇 시간 만에 크게 사라졌다고 표현함

[GN⁺]

Hacker News 의견들

• 수요일에 기프트카드 얘기를 올린 일부 사람들이 쿠폰을 쓰려 하자 취소됐다는 오류를 받았다고 함
  TechCrunch가 확인했을 때 Uber Eats 페이지도 기프트카드가 발급자에 의해 취소되어 더 이상 유효하지 않다는 오류를 보여줬음

  • CrowdStrike는 구제 불능이라는 걸 보여줌
  • CrowdStrike, 왜 그걸 써버렸어?!
  • 공개적으로 공유된 뒤 다회용 코드를 취소한 것으로 이해하면 맞나? 그렇다면 꽤 합리적이고, 고객 컴퓨터를 망가뜨리는 코드를 배포하거나 그 보상으로 10달러를 제시한 것에 비하면 사소한 잘못이라고 봄
  • CrowdStrike가 카드 값을 null로 업데이트한 셈임

• 기프트카드를 안 주는 것보다 확실히 더 나쁨. 모욕적임
  큰일이 벌어졌다면 대응은 불만보다 더 크게 보여야 하는데, 10달러는 “우린 이게 별일 아니라고 본다”는 신호임. 이제 모두가 왜 별일인지 정확히 설명하게 될 테니 홍보 기본기부터 실패한 것

  • “10달러”는 “우리는 도덕적·윤리적·아마 법적으로도 피해를 바로잡고 보상할 의무가 있음을 인정하지만, 하지 않겠다”에 더 가까움
  • “죄송합니다. 이번 배포는 정말 크게 망쳤습니다. 사실 우리가 살아 있어야 하는지, 애초에 태어났어야 했는지까지 고민했습니다. 어쩌면 이 모든 것이 존재하지 말았어야 했을지도 모릅니다.”
    지금 시점에서 비판자들을 압도하려면 이 정도밖에 상상이 안 됨
  • 예전 직장에서 우리 매장이 온갖 수익 기록을 깨고 지역 내 다른 매장들을 압도했는데, 회사가 팀 전체에 25달러 기프트카드 하나를 보냈음
    각자 하나도 아니고 8명 팀에 하나였고, 그해 매출은 300만 달러를 훌쩍 넘겼음. 잘한 일에 대한 보상치고는 뺨 맞은 느낌이었음
  • 더 나쁜 건 그걸 실제로 쓰려고 했을 때 사용 실패하는 경우일 수 있음

• 예전 직장에서 있었던 일이 떠오름. 몇 년 일한 뒤 HR이나 법무 쪽 누군가가 프로그래머들이 “우리가 쓴 코드는 회사 소유”라는 합의서에 서명한 적이 없다는 걸 알아차림
  그래서 그런 취지의 서류에 서명해 달라고 하면서 각자 20달러 수표를 줬음. 원래도 회사 코드라고 생각했지만, 돈을 주고 사겠다면 20달러는 너무 적다고 느꼈음. 그래도 20달러를 받고 서명한 뒤 다시 일했지만, 늘 웃긴 기억으로 남아 있음

  • 아마 이런 일이었을 것 같음: 모든 계약에는 약인이 필요하고, 없으면 유효한 계약이 아님
    공정한 대가일 필요는 없어서 많은 계약에서 1달러 같은 조항이 흔함. 거기서 친절하게 20달러로 올려준 것일 수 있음
    실제로 그 작업물은 이미 직무저작 원칙상 회사 소유였을 가능성이 높지만, 명시적 계약은 모호함을 없애줌. 모호함은 소송뿐 아니라 감사에서도 매우 비싸질 수 있고, 인수·투자·대출 같은 실사에서 이런 게 성가시게 튀어나옴. 코드 값을 지불했다기보다 준법 상태를 맞추려던 것으로 보이고, 아마 어떤 거래를 위한 감사가 계기였을 가능성이 큼
  • 미국 계약은 대체로 약인 없이는 유효하지 않음. 기본적으로 모든 당사자가 가치 있는 무언가를 받아야 함
    https://www.nolo.com/legal-encyclopedia/consideration-every-...
    소액 현금 지급이 붙은 계약 요청은 더 주의 깊게 봐야 함
  • 2004년에 친구들과 함께 한 회사와 계약해 문자 메시지 시스템을 만들었는데, 그 회사가 마지막 달 청구서를 내기 싫어했음
    고객 경품용 맞춤형 Harley를 사느라 돈을 다 써서 남은 돈이 없다는 이유였음. CEO+CFO+변호사들과 우리 변호사들이 만났고, 그들은 마지막 대금을 절대 못 내겠다고 버텼음. 우리가 계약서를 꺼내 지식재산권 양도 조항이 없어서 그들이 코드 소유권을 갖지 않는다고 보여주자 “잠깐 시간이 필요하다”고 했고, 방을 나갔다가 돌아오니 테이블 가운데 미지급 잔액 수표가 놓여 있었음
  • 계약의 특이성 때문임. 서명하라고만 하고 아무것도 주지 않았다면 법정에서 다툴 수 있고, 법원은 종종 “일방적인 계약”은 유효하지 않다고 봐 왔음
    예를 들어 내가 저작권을 넘기는데 상대는 아무것도 주지 않는 경우임. 20달러는 “정당한 약인”이고, 어떤 거래에서 물건을 1달러에 파는 것과 비슷함

• 부당 사망 소송에서 가족에게 손해배상 4달러가 인정된 일이 떠오름. 거의 아무것도 없는 것보다 더 나쁜 수준임
  [0] https://hotair.com/jazz-shaw/2018/06/01/jury-awards-family-f...

  • 나중에 4센트로 줄었고, 이후 뒤집혔음
    https://www.tcpalm.com/story/news/local/st-lucie-county/2022...
    모두 배심원단 의견이 크게 갈렸던 사건이라, 낮은 금액은 각 사건에서 일종의 타협이었던 것 같음
  • 오히려 더 나쁠 수 있음. “우리가 망쳤고 빚진 것도 인정하지만, 신경 안 쓴다”는 뜻이니까
    https://en.wikipedia.org/wiki/Peppercorn_(law)
  • 간접·직접 사망자 규모 추정이 언제쯤 나오기 시작할지 궁금함
    이번 일로 여러 911류 서비스와 병원이 멈췄고, 영상의학 장비가 내려갔다거나 응급실이 다시 종이와 펜으로 돌아갔다는 보고도 있었음
  • 적어도 그 사이트 도메인은 설명적임. 그 기사는 별것 아닌 일을 크게 다룬 쪽에 가까움
    민사 사건은 형사 사건처럼 참/거짓 결과가 아니고, 배상액은 생명이 4달러 가치라는 인정이 아니라 피고가 거의 잘못하지 않았다는 판단에 가까움

• 보안만 모르는 게 아니라 고객 관계도 모르는 듯함. 광고도 멍청하니 마케팅도 모르는 셈임
  CrowdStrike라는 이름이 대인 살상용 수확 드론처럼 들리는 게 웃긴데, 이제 은유적으로도 맞아떨어짐

  • 50년 뒤 비밀 해제 문서에서 CrowdStrike가 사실 CIA 통제 기업이었고, 예상된 사이버전용 공격 봇넷을 운영하면서 평시에는 자동 업데이트 보안 소프트웨어라는 위장 이야기를 내세웠다는 게 드러나는 상상이 됨
    모두가 눈을 굴리며 이름부터 대놓고 그런 뜻인데 어떻게 속았냐고 묻겠지. 아마 헛소리겠지만, 솔직히 그 이름은 대체 뭔가 싶음
  • 군중을 이만큼 잘 타격한 회사가 있었나? 이름이 완벽함
  • 요즘은 이들을 ClownStrike라고 부르기 시작했음. 지금까지 실제로 아는 조직이라기보다 서커스 광대 무리처럼 행동해 왔기 때문임
    이번 눈치 없는 제안은 그들이 그냥 광대 무리라는 인상을 더 굳혀줌
  • CrowdStrike는 거의 웃길 정도로 끔찍한 이름임

• Uber Eats에서는 한 끼 식사도 안 될 만큼이라 맛있게 모욕적인 금액임

  • “거의 부족” 정도가 아님. 마지막으로 Uber Eats 할인 쿠폰을 썼을 때 15달러짜리 식사에 수수료가 너무 많이 붙어서 30달러 할인을 받고도 35달러를 더 내야 했음. 취소했음
  • Amazon 기프트카드는 그래도 거의 현금 가치에 가깝지만, 음식 배달의 가격 인상을 감안하면 그 10달러는 4달러 정도 가치임
  • 영국 돈으로는 7.75파운드인데, Uber Eats는 가격이 미쳐서 몇 년간 안 써봤지만 배송비 이상을 커버할지도 모르겠음
    그리고 먹을 수 있는 상태가 끝난 지 20분 지난 McDonalds를 원격으로 받아서 오토바이 뒤에서 흔들린 채 먹고 싶은 사람들은 대체 누구인지 궁금함. 자전거는 어디서나 보이는데 현실에선 그런 사람을 만나본 적이 없음

• 미국 남부에서 같이 학교 다닌 여자애가 지금은 중서부에서 기자로 일함. 가족을 잠깐 보러 고향에 가기로 했는데, CrowdStrike 장애 때문에 Delta가 항공편을 취소했음
  며칠 뒤 그녀의 아버지가 고향의 보석상에서 일하다가 불만을 품은 고객에게 살해당했음. 기이한 기술 사고 때문에 아버지를 마지막으로 볼 기회를 잃는다는 게 어떤 기분일지 상상도 안 됨

  • 그런 일은 정말 무엇 때문이든 생길 수 있음. 버스가 늦어서 비행기를 놓치거나, 날씨가 나빠서 항공편이 지연되거나, 외식했다가 식중독에 걸려 못 타는 식임
    무엇이든 원인이 될 수 있었음. 여전히 매우 안타깝지만, 때로는 인생이 그런 것 같음
  • 지금 기자라면 언론 보도에서 더 안 좋게 번질 여지가 있음
    다만 ClownStrike의 사고 규모가 워낙 커서 그들은 알아차리지도 못할 수 있음

• 생각해 보면 누군가 이 아이디어를 냈고, 아마 여러 사람이 승인했으며, 또 누군가가 그 카드를 구매하거나 고객에게 보내는 작업을 설정했을 것임
  그 과정 어디에서도 “이건 적절한 대응이 아닌 것 같은데, 위쪽에 알려야겠다”고 생각한 사람이 없었다는 뜻임. 아마 아이디어가 더 위에서 나왔기 때문일 수 있음
  Uber Eats/DoorDash/Grubhub 카드도 10달러로는 아무것도 못 사고 30달러를 더 써야 해서 가치가 없음. 그래서 회사들이 그런 걸 사는 듯한데, 실제 구매 비용은 10달러보다 훨씬 낮을 것 같음
  완전한 clown strike임

• 이건 CrowdStrike를 더 나쁘게 보이게 하려는 장난이나 농담이어야 할 것 같음. 아마 주가 때문일 수도 있음
  이렇게 많은 사용자를 둔 상장사가 이 정도로 멍청한 일을 한다고는 바로 믿기 어려움

• 우리 시대에 이 정도에 가까운 브랜드 재난은 Deepwater Horizon 기름 유출일 것 같음
  그때 BP는 사실상 미국 소비자 브랜드를 버렸고, 모든 BP 주유소를 당시 자회사이자 “저품질” 브랜드였던 Arco로 바꿨음. 이후 법률 비용을 마련하려고 사업의 큰 부분을 매각하거나 축소했음
  CrowdStrike가 지금 어떤 다른 선택지가 있는지 모르겠음. 회사가 떠안을 법적 책임은 엄청날 것이고, 브랜드 평판은 무가치보다 더 나쁜 상태임

  • CrowdStrike가 떠안을 법적 책임에 대한 근거가 있나?
    평판에 관해서는 실제 경제적 영향을 준 여러 성가신 사건마다 이런 얘기를 읽었지만, 이번 일로 CrowdStrike가 무가치해질 거라고는 의심스러움
    MS가 Code Red나 Slammer, 90년대 말~2000년대 초 여러 침해 이후 무가치해지지 않았고, Apple도 특정 방식으로 잡아야 통화가 되던 iPhone 이후 무가치해지지 않았음. Toyota도 급발진 문제 이후, Facebook도 인터넷을 하루 망친 뒤, Amazon도 US-EAST 장애로 모두를 오후 내내 망친 뒤, Norfolk Southern도 East Palestine 탈선 이후 무가치해지지 않았음. 그 밖에도 수없이 많음
    이번 문제는 그중 많은 사건만큼 영향이 크지도 않았음. 일부 컴퓨터가 몇 시간 내려가고 혼란을 만든 정도였음. 회사나 브랜드 평판을 파괴하려면 훨씬 더 큰 일이 필요함. 괜찮은 지역 광 ISP와 경쟁이 있는 곳에서도 얼마나 많은 사람이 Comcast를 선택하는지 보면 됨
  • BP가 미국 소비자 브랜드를 버렸다는 건 오래가지 않았던 것 같음
    그 재난 중에도 이후에도 BP 주유소가 없던 시절은 기억나지 않음