영국 우체국 호라이즌 IT 스캔들: 컴퓨터가 항상 옳다고 믿었을 때

후지쯔의 호라이즌 소프트웨어가 어떻게 가짜 부족액을 생성하여, 무고한 수백 명의 우체국장들을 파산시키고 감옥에 보냈는가. 알고리즘에 대한 맹신이 낳은 대재앙.

소프트웨어 시스템은 그것을 구축한 조직의 거울입니다. 1990년대 후반 영국 우체국(Post Office)이 ICL(이후 후지쯔에 인수됨)에 호라이즌(Horizon) IT 시스템 구축을 의뢰했을 때, 그 목표는 철저한 현대화였습니다. 영국 전역에 퍼져 있는 수많은 지역 지점 우체국의 기존 종이 기반 원장 시스템은 너무 느리고, 수동적이었으며, 중앙에서 감사하기 어려웠습니다. 전자 판매 시점 관리(EPOSS)인 호라이즌은 수천 개의 원격 노드에 걸쳐 거래, 현금 신고 및 재고를 통합하도록 설계되었습니다. 1999년에 배포된 이 시스템은 유럽에서 가장 큰 비군사적 IT 인프라 프로젝트 중 하나였습니다.

하지만 그 뒤에 이어진 것은 효율성이 아니라, 기술적 부채, 조직의 오만함, 그리고 무너진 인간의 삶이 뒤섞인 수십 년에 걸친 연쇄적인 재앙이었습니다. 호라이즌은 근본적으로 고장난 시스템이었습니다. 데이터베이스의 회계 잔액을 은밀하게 변경하여 가상의 재정 부족을 만들어내는 수백 가지의 심각한 논리적 및 아키텍처적 결함이 포함되어 있었습니다. 우체국은 이 소프트웨어를 조사하는 대신, 호라이즌의 출력 결과를 지점의 부족액에 대한 권위 있는 증거로 취급했으며, 시스템 자체가 만들어낼 수 있는 불일치를 해명해야 할 책임을 우체국장들에게 반복적으로 떠넘겼습니다.

절도, 사기, 허위 회계를 포함하여 호라이즌 증거가 중요한 역할을 한 사건에서 900명이 넘는 사람들이 기소되었습니다. 집을 잃고, 가족이 파탄 나고, 사람들이 투옥되었으며, 스캔들의 영향을 받은 여러 사람들은 조사를 통해 기록된 극심한 재정적, 심리적, 사회적 결과 속에서 훗날 극단적인 선택을 하기도 했습니다. 영국 우체국 호라이즌 IT 스캔들은 단순히 ’나쁜 코드’에 대한 이야기가 아닙니다. 무조건적인 디지털 출력물에 의해 인간의 증언이 체계적으로 무효화되는 알고리즘 권위주의의 위험성에 대한 깊고도 뼈아픈 교훈입니다.

증거가 입증하는 것:

• 주요 규제 문서 및 법원 기록에 문서화된 기술적 실패 및 재무적 결과.

증거가 입증하지 않는 것 (What the evidence does NOT establish):

• 단일 작업자의 개인적 악의나 의도적 파괴.
• 공식 조사에서 확인되지 않은 추측성 기술적 메커니즘.

불일치 분석 (The Forensic Discrepancy Matrix)

호라이즌 시스템의 실패는 단 한 번의 파멸적인 충돌이 아니라, 데이터 무결성이 지속적이고 조용하게 출혈을 일으킨 사건이었습니다. 다음 매트릭스는 의도된 시스템 동작, 지점의 실제 물리적 현실, 그리고 소프트웨어에 의해 생성된 손상된 기술적 상태 사이의 문서화된 극심한 불일치를 보여줍니다.

: 분석적 재구성(Analytical reconstruction): 문서화된 동작은 트랜잭션 멱등성(idempotency), 상태 관리 및 조정의 실패와 일치합니다. 증거 자체가 각 결함을 유발한 정확한 내부 구현 메커니즘을 확립하는 것은 아닙니다.

제1막: 이상 현상과 절도의 환상

영국 전역에 호라이즌 EPOSS가 배포됨에 따라, 우체국을 대신하여 지점을 운영하는 독립 사업자인 우체국장들은 모든 거래에 새 터미널을 의무적으로 사용해야 했습니다. 각 거래 기간이 끝날 때마다 그들은 호라이즌이 생성한 수치와 실제 현금 및 재고의 균형을 맞춰야 했습니다. 수치가 일치하지 않으면 시스템은 우체국장에게 그 부족액을 “보상(make good)“하도록 강요했습니다.

배포 직후 거의 즉시 징후가 나타나기 시작했습니다. 우체국장이 며칠 동안 수천 파운드의 현금을 처리하며 완전히 평범한 영업일을 마쳤다고 가정해 봅시다. 계산대의 물리적 현금을 세어보면 실제 영수증과 완벽하게 일치했습니다. 그러나 그들이 호라이즌의 정산 시퀀스를 실행하면 화면에는 £2,000, £5,000, 때로는 수만 파운드의 부족액이 떠올랐습니다.

가장 즉각적인 반응은 혼란이었습니다. 운영자는 계산을 다시 확인하고, 누락된 서류를 찾고, 우체국 헬프라인에 전화를 걸었습니다. 그러나 헬프라인의 답변은 항상 똑같았습니다. “이 문제를 겪고 있는 사람은 당신뿐입니다. 시스템은 강력합니다. 부족액은 당신이 채워 넣어야 합니다.”

계약상 모든 금전적 손실에 대한 재정적 책임이 있었기 때문에, 우체국장들은 계약을 잃을까 두려워 시스템의 균형을 맞추기 위해 자신의 개인 저축을 계산대에 쏟아 붓기 시작했습니다. 하지만 부족액은 계속해서 나타났습니다. 이 이상 현상은 공격적이었고 무작위로 보였으며, 작은 시골 우체국의 물리적인 방문자 수를 고려할 때 수학적으로 불가능한 수치였습니다. 현금은 도난당한 것이 아니었습니다. 애초에 존재한 적조차 없었던 것입니다. 그것은 순전히 손상된 데이터베이스 행이 만들어낸 환상이었습니다.

제2막: 덫의 아키텍처

소프트웨어 시스템은 대체 어떻게 수만 파운드의 환상적인 부채를 생성할까요? 그 답은 호라이즌의 심각하게 결함이 있는 아키텍처와 그 코드베이스를 괴롭힌 구체적인 결함들에 있습니다. 이후 고등법원 소송을 통해 후지쯔 엔지니어들이 내부적으로 문서화했지만 우체국장들과 법원에는 끈질기게 숨겼던 끔찍한 알려진 오류 로그(KELs) 목록이 폭로되었습니다.

특히 두 가지 버그가 이 시스템의 아키텍처적 무능함을 명백하게 보여줍니다.

달멜링턴(Dalmellington) 버그: 이 호라이즌 온라인 결함은 강제 로그아웃과 우편물(Pouch) 송금 프로세스의 동작이 결합된 문제였습니다. 특정 상황에서 송금 거래가 이미 처리된 후에도 송금 화면이 활성 상태로 유지되었습니다. Enter 버튼을 여전히 사용할 수 있었으므로 동일한 송금이 다시 처리될 수 있었습니다. 달멜링턴에서는 £8,000의 송금이 4번 기록되어 실제 물리적 현금 £8,000에 대해 호라이즌 상에서는 £32,000의 영수증이 생성되었고, 결과적으로 £24,000의 불일치가 발생했습니다. 이 결함은 나중에 다른 지점에도 영향을 미친 것으로 확인되었습니다.

캘린더 스퀘어(Callendar Square) 버그: 이 결함은 호라이즌 카운터 간의 거래 데이터 복제와 관련이 있었습니다. 영향을 받는 상황에서는 거래가 기록되지 않은 것처럼 나타날 수 있었습니다. 거래가 실패했다고 믿은 우체국장들은 이를 다시 입력할 수 있었습니다. 이후 원본 거래가 표시되면 계정에 중복 거래가 존재하게 되었습니다. 근본적인 문제는 복제 실패 및 ‘잠금 시간 초과(Timeout waiting for lock)’ 이벤트와 관련이 있었습니다.

┌─────────────────────────────────────────────────────────────────────────┐
│ 재구성(RECONSTRUCTION): 달멜링턴 송금 실패                                │
├─────────────────────────────────────────────────────────────────────────┤
│ 1. [물리적] £8,000가 핵심 지점에서 원격 지점으로 이체됨.                │
│                                                                         │
│ 2. [호라이즌] 송금 거래가 처리됨.                                       │
│                                                                         │
│ 3. [호라이즌] 시스템 상태와 우편물 처리 동작이 결합되어                 │
│    거래 화면이 다시 사용 가능한 상태로 남음.                            │
│                                                                         │
│ 4. [사용자] 운영자가 인터페이스의 안내에 따라 다시 Enter를 누름.        │
│                                                                         │
│ 5. [호라이즌] 동일한 우편물/송금이 다시 기록됨.                         │
│                                                                         │
│ 6. [원장] 궁극적으로 £8,000의 송금이 4번 기록됨.                        │
│                                                                         │
│ 7. [현실] 이체된 실제 현금: £8,000.                                     │
│                                                                         │
│ 8. [원장] 호라이즌 기록: £32,000.                                       │
│                                                                         │
│ 9. [피해] 인위적인 부족액: £24,000.                                     │
└─────────────────────────────────────────────────────────────────────────┘

이 시스템에는 기본적인 안전 한계치, 중복 제거 제약, 원자적 트랜잭션 보호 장치가 없었습니다. 더 결정적인 것은 후지쯔 인력이 해당 영역에서 “무제한적이고 감사되지 않은(unrestricted and unaudited)” 것으로 문서에 묘사된 특권을 포함하여 호라이즌 환경 내에서 강력한 원격 액세스 권한을 보유하고 있었다는 점입니다. 진상 조사 위원회는 이러한 기능이 지점 계정 내의 데이터에 접근하고 데이터를 추가하거나 변경하는 데 사용될 수 있었으며, 이는 감사 가능성과 증거의 무결성에 심각한 우려를 제기한다는 증거를 조사했습니다. 그러나 우체국 조사부는 호라이즌의 출력을 독립적인 검증이 필요한 하나의 증거 출처로 취급하는 대신, 시스템의 수치에 비정상적인 무게를 두고 설명할 수 없는 불일치를 잘못의 증거로 반복해서 취급했습니다.

제3막: 파열의 시퀀스와 조직적 은폐

영국 우체국의 파멸은 단순한 기술적 오류가 아니었습니다. 그것은 ’편차의 정상화(normalization of deviance)’에 의해 주도된 체계적인 조직의 실패였습니다. 버그가 계속해서 막대한 부족액을 생성함에 따라 우체국 조사부는 수사 노력을 강화했습니다. 그들은 수백만 파운드짜리 IT 프로젝트가 철저한 실패작임을 인정해야 하는 소프트웨어 조사를 피하기 위해, 대신 사람을 조사하기로 결정했습니다.

파멸의 시퀀스는 일반적으로 엄격하고 관료적인 경로를 따랐습니다.

1. 시스템적 이상 현상: 호라이즌이 £30,000의 부족액을 생성합니다.
2. 감사: 우체국 감사관이 예고 없이 들이닥칩니다. 그들은 우체국장의 물리적 원장이나 시스템 오작동에 대한 호소를 완전히 무시하고 오직 호라이즌 출력물만 쳐다봅니다.
3. 심문: 조사관은 우체국장을 심문하며 이 문구를 반복해서 사용합니다. “컴퓨터가 돈이 사라졌다고 말합니다. 어디에 숨겼습니까?”
4. 강압: 우체국장들은 오직 자신만이 이 문제를 겪고 있다는 거짓말을 듣습니다(문서로 확인된 거짓말). 그들은 더 무거운 절도죄 기소를 피하기 위해 “허위 회계”에 대한 허위 자백에 서명하도록 압력을 받습니다.
5. 기소: 사립 검찰관의 역할을 수행하는 우체국은 우체국장들을 형사 법정에 세웁니다. 그들은 컴퓨터 증거가 반증되지 않는 한 신뢰할 수 있다고 가정하는 당시 영국의 결함 있는 법적 원칙에 기대어, 호라이즌 데이터를 절대적인 진실로 제시합니다.
6. 파멸: 우체국장들은 유죄 판결을 받고, 감옥에 가고, 재정적으로 파산하며, 지역 사회에서 사회적으로 매장당합니다.

이 사이클은 900번 이상 반복되었습니다. 이것은 나쁜 코드에 의해 작동하고, 물리적 현실과 완전히 분리된 맹목적인 관료제에 의해 집행된, 기계화된 인간 파괴의 현장이었습니다. 이 거대한 조직이 돌아올 수 없는 강을 건넌 지점은, 그들이 형사 재판을 받는 우체국장들에게 호라이즌의 신뢰성에 관한 관련 내부 오류 로그 및 기타 증거들을 제출하지 않거나 의도적으로 보류하기로 결정했을 때입니다.

재정적 및 법적 심판의 시간

이 끔찍한 진실은 앨런 베이츠(Alan Bates)가 이끄는 ’정의를 위한 서브포스트마스터 연합(JFSA)’의 끊임없는 캠페인이 있기 전까지 거의 20년 동안 묻혀 있었습니다. 마침내 2019년, 집단 소송인 Bates & Ors v Post Office Ltd 재판이 고등법원에서 정점에 달했습니다. 프레이저(Fraser) 판사는 우체국의 모든 서사를 산산조각 내는 1,000페이지 분량의 파괴적인 판결문을 발표했습니다.

법적 심판은 기술적 실패와 재정적 결과의 교차점을 깊이 분석할 것을 요구했습니다. 아래 표는 우체국의 공식적인 법적 주장과 조사를 통해 드러난 실제 기술적 현실 사이의 거대한 괴리를 요약합니다.

스캔들에 따른 재정적 비용은 어마어마하며, 영국 정부는 보상금으로 10억 파운드 이상을 책정했습니다. 하지만 인간적인 희생과 비용은 전적으로 계산이 불가능합니다. 호라이즌 스캔들 동안 900명이 넘는 사람들이 기소되었으며, 이 사건에는 우체국장과 기타 우체국 인력이 포함되었습니다. 수백 건의 유죄 판결이 뒤집혔고, 이후 정부는 법정 취소 프레임워크에 따른 평가를 위해 대략 1,000건의 사례를 확인했지만 많은 사람들에게 그 무죄 판결은 너무 늦게 찾아왔습니다. 가정이 파괴되고, 집이 압류되고, 평생 쌓아온 평판이 망가졌으며, 여러 피해자들은 자신의 이름이 씻겨지는 것을 보지 못한 채 세상을 떠났습니다.

시스템 예방 플레이북 (Systems Prevention Playbook)

호라이즌 스캔들은 알고리즘에 대한 맹신과 책임지지 않는 소프트웨어 시스템의 위험성을 보여주는 궁극적인 사례 연구입니다. 재정적 또는 법적 현실을 통제하는 시스템을 구축할 때, 엔지니어링 팀은 완벽하고 방어적인 아키텍처를 구현해야 합니다.

인식론적 경계 (The Epistemic Boundary)

호라이즌은 지점의 물리적 내용을 관찰하지 않았습니다. 그것은 단지 그것들에 대한 계산적(computational) 표현을 유지했을 뿐입니다.

그 표현이 현실과 엇갈렸을 때 시스템은 어느 쪽이 틀렸는지 독립적으로 판단할 수 없었습니다. 따라서 우체국의 운영상 실수는 단순히 결함이 있는 소프트웨어를 배포한 것만이 아니었습니다. 그것은 소프트웨어의 현실 표현을 물리적 현실 자체보다 더 강력한 증거로 취급한 것이었습니다.

원장의 불일치는 불일치의 증거일 뿐입니다. 그것 자체로 도난의 증거는 결코 될 수 없습니다.

엔지니어링 방어선 (Engineering Defenses)

1. 절대적 추적성의 원칙 (The Principle of Absolute Traceability): 암호화되고 불변하는 감사 추적 없이 데이터베이스 상태를 변경할 수 있는 시스템을 절대 설계하지 마십시오. 문서화되지 않은 후지쯔의 원격 액세스 백도어의 존재는 전체 원장의 근본적인 무결성을 파괴했습니다. 사용자, 동기화 스크립트 또는 데이터베이스 관리자에 의한 모든 상태 변경은 기록되고, 속성이 지정되며, 버전 관리가 되어야 합니다.
2. 멱등성 및 비동기 피드백 제약 (Idempotency and Asynchronous Feedback Constraints): 달멜링턴 버그는 UI가 잠긴 상태에서 시스템이 비동기 입력을 대기열에 넣고 복원 시 눈먼 상태로 실행했기 때문에 발생했습니다. 재무 거래 입력은 엄격하게 멱등성을 지녀야 하며(완전히 동일한 요청을 여러 번 제출하더라도 단일 제출과 동일한 결과를 산출해야 함) 명시적이고 검증된 사용자 피드백 루프에 묶여 있어야 합니다.

아키비스트의 판결

아키비스트의 분석:

1. 무엇이 실수처럼 보였는가: 피상적인 트리거는 수천 명의 독립적인 우체국장들이 갑자기 자신들의 계산대에서 돈을 훔치기로 단체로 결심하여 전체 네트워크에 걸쳐 막대한 현금 부족액을 생성한 것처럼 보였습니다.
2. 실제로 실패한 것은 무엇인가: 진정한 근본 원인은 후지쯔가 개발한 근본적으로 결함이 있는 EPOSS 아키텍처(동기화 버그, 비동기 대기열 오류, 데이터베이스 손상으로 가득 찬)와, 소프트웨어의 오류 가능성을 완강히 인정하지 않으려는 법적 및 기업적 프레임워크의 결합이었습니다.
3. 왜 합리적인 사람들이 이런 일이 일어나도록 내버려 두었는가: 우체국 경영진과 후지쯔 엔지니어들은 편차의 완전한 정상화(normalization of deviance)의 희생양이 되었습니다. 소프트웨어가 완벽하다는 가정은 조직의 흔들리지 않는 교리가 되었습니다. 시스템이 고장 났다고 인정하는 것은 수백만 파운드 규모의 정부 계약과 고위 임원들의 명성을 위태롭게 할 수 있었으며, 진실을 억압하려는 유독한 인센티브를 만들어냈습니다.
4. 돌아올 수 없는 강 (The Point of No Return): 재앙이 완전히 락인(lock-in) 된 정확한 순간은, 우체국이 사립 검찰관의 역할을 하기로 결정하고, 우체국장들의 형사 변호에 호라이즌의 신뢰성에 관한 관련 문서(알려진 오류 로그 등) 및 증거를 제출하지 않거나 보류했을 때입니다. 그 순간, 이것은 단순한 IT 실패를 넘어 적극적이고 치밀한 범죄적 은폐 공작이 되었습니다.
5. 누가 최종적으로 책임을 졌는가: 후지쯔가 이 망가진 소프트웨어를 만들었지만, 우체국의 조사 및 기소 과정은 궁극적으로 호라이즌의 권위를 지점 운영자들을 향한 무기로 삼아, 시스템 자체가 그러한 불일치를 생성할 수 있다는 증거가 쌓여감에도 불구하고 시스템이 생성한 불일치를 잘못의 절대적인 증거로 취급했습니다.
6. 가장 불편한 교훈: 투명성과 불변의 감사 추적이 결여된 소프트웨어 시스템은 그 자체로 흉기가 될 수 있습니다. 만약 기업이 독점적인 내부 데이터베이스를 무조건적이고 절대적인 진실로 취급하도록 법적으로 허용된다면, 인간의 증언은 항상 가차 없이 폐기될 것입니다. 우리는 절대로 맹목적인 복종을 요구하는 시스템을 구축해서는 안 됩니다. 왜냐하면 ’컴퓨터가 항상 옳다’고 허용되는 순간, 결국 인간은 반드시 파괴되기 때문입니다.

공식 1차 출처

• 소프트웨어 결함에 대한 결정적이고 파괴적인 사법적 분석은 Bates & Ors v Post Office Ltd 의 고등법원 판결문을 참조하십시오.
• 기업의 은폐와 기술적 실패에 관한 지속적인 청문회 기록 및 증거는 Post Office Horizon IT Inquiry 공식 페이지에서 확인할 수 있습니다.
• 인적 피해와 기술적 백도어에 대한 종합적인 심층 보도와 분석은 Computer Weekly의 Horizon 스캔들 아카이브를 참조하십시오.

자주 묻는 질문 (FAQ)

영국 우체국 호라이즌(Horizon) IT 스캔들이란 무엇인가요?

후지쯔가 개발한 우체국 회계 소프트웨어 호라이즌의 시스템 결함으로 인해 지점 원장에 가짜 현금 부족액이 생성되었음에도, 우체국 본사가 소프트웨어의 무결성을 맹신하고 900명 이상의 무고한 서브포스트마스터(지점장)들을 절도 및 분식회계 혐의로 형사 기소한 영국 역사상 최악의 사법 피해 사건입니다.

호라이즌 소프트웨어의 어떤 버그가 가짜 결손금을 만들었나요?

달멜링턴(Dalmellington) 버그는 UI가 멈춘 상태에서 지점장이 버튼을 누른 입력을 비동기 큐에 쌓아두었다가 중복 실행하여 수초 만에 수만 파운드의 인위적 적자를 생성했습니다. 캘린더 스퀘어(Callendar Square) 버그 역시 트랜잭션을 중복 생성하여 장부 불일치를 유발했습니다.

몇 명의 피해자가 발생했으며 어떤 고통을 겪었나요?

900명 이상의 지점장이 유죄 판결을 받았고, 수백 명이 파산하거나 실형을 살았습니다. 극심한 누명과 사회적 낙인으로 인해 최소 4명 이상의 지점장이 극단적 선택으로 목숨을 잃었습니다.

후지쯔와 우체국은 시스템 오류를 알고도 숨겼나요?

예. 프레이저 판사의 2019년 고등법원 판결과 공공조사 청문회를 통해, 후지쯔 엔지니어들과 우체국 고위 경영진이 수백 건의 ’알려진 오류 로그(Known Error Logs)’와 원격 데이터베이스 수정 권한(백도어)의 존재를 사전에 인지하고 있었음에도 형사 재판에서 이를 고의로 은폐한 사실이 밝혀졌습니다.

이 비극이 소프트웨어 엔지니어링 및 법률계에 주는 교훈은 무엇인가요?

불변의 암호화 감사 추적(Audit Trail)이 없는 시스템은 법적 증거로서의 신뢰성을 가질 수 없다는 점입니다. ’컴퓨터는 항상 옳다’는 법적 추정을 맹신해서는 안 되며, 분산 금융 원장에서 멱등성(Idempotency)과 투명한 오류 공개는 생명과도 같습니다.