인도 최대 원자력발전소인 쿠단쿨람 원전 관련 자료가 해킹돼 다크웹에 공개된 것으로 알려지면서 핵심 기반시설의 사이버 보안 문제가 다시 도마 위에 올랐다. 발전소의 핵심 원자로 시스템 자료는 포함되지 않은 것으로 전해졌지만, 설계도와 공급업체 관련 문서가 외부에 노출됐다는 점만으로도 보안상 의미가 작지 않다는 평가가 나온다.
17일 연합뉴스가 로이터 통신을 인용해 보도한 내용에 따르면 해킹 조직 ‘월드 리크스’는 쿠단쿨람 원전 건설에 참여한 릴라이언스 그룹 자료 85만8천개를 해킹해 지난달부터 다크웹에 올렸다. 이 가운데 기밀 자료는 1만9천개로 파악됐으며, 쿠단쿨람 원전 3·4호기의 환기·냉각 시스템 설계도와 공용 제어실 평면도로 추정되는 내용이 포함된 것으로 전해졌다.
핵심 시스템은 아니어도 위험은 작지 않다
이번 사안에서 눈에 띄는 대목은 자료의 성격이다. 로이터는 러시아 국영 원자력 기업 로사톰이 공급하는 원자로 핵심 시스템 관련 내용은 유출 자료에 없는 것으로 보인다고 전했다. 그러나 원전 프로젝트에 접근할 수 있는 업체와 인력, 주변 설비의 구조와 연결 관계가 드러날 경우 공격자는 다음 침투 경로를 설계하는 데 활용할 수 있다.
유출 자료에는 공급업체 제안서로 보이는 문서, 승인된 공급업체 목록, 인도 원자력공사와 릴라이언스의 합동점검 회의 기록 등이 포함된 것으로 알려졌다. 이런 정보는 단독으로는 발전소 운영을 직접 위협하지 않더라도, 사회공학 공격이나 협력사 계정 탈취, 유지보수망 침투 같은 후속 공격의 단서가 될 수 있다.
릴라이언스 그룹은 인도 데이터센터 서비스 제공업체 요타의 서버에 저장된 자사 데이터가 부분적으로 유출됐고 이를 정부에 보고했다고 설명했다. 이는 핵심 기반시설 보안이 발전소 내부 시스템만의 문제가 아니라는 점을 보여준다. 설계, 시공, 데이터 보관, 협력사 관리 등 공급망 전반에서 같은 수준의 보안 기준이 유지되지 않으면 가장 약한 지점이 전체 프로젝트의 위험으로 이어질 수 있다.
반복되는 인도 데이터 유출
인도는 디지털 전환과 대형 인프라 투자가 빠르게 진행되는 국가다. 네덜란드 사이버 보안 회사 서프샤크에 따르면 인도는 전 세계에서 미국과 프랑스에 이어 데이터 유출 건수가 많은 국가로 꼽힌다. 경제 규모와 디지털 서비스 이용자가 커질수록 공격 표면도 넓어지고, 공격자가 노릴 수 있는 데이터의 가치도 커진다.
쿠단쿨람 원전 관련 사이버 사고는 이번이 처음이 아니다. 2019년에도 이 원전의 관리 네트워크에서 북한 해킹조직과 관련된 악성 소프트웨어가 발견된 바 있다. 당시 인도 원자력공사는 발전 시스템에는 영향이 없었다고 밝혔지만, 원전 같은 시설에서는 운영망과 관리망, 협력사망 사이의 경계를 얼마나 엄격히 통제하느냐가 지속적인 과제로 남는다.
이번 사건에 거론된 월드 리크스는 기업 정보를 빼낸 뒤 금전을 요구하고, 요구가 받아들여지지 않으면 자료를 공개하는 방식의 랜섬웨어 조직으로 알려져 있다. 지난달에도 인도 기업 타타 일렉트로닉스 전산망에서 애플과 테슬라 부품 설계 자료 등 20만건을 탈취한 뒤 금전을 요구했고, 거부되자 관련 정보를 공개한 것으로 전해졌다.
원전의 안전은 물리적 설비와 운전 절차만으로 지켜지지 않는다. 설계 자료의 접근 권한, 협력사 보안 인증, 데이터센터 저장 정책, 사고 발생 후 통지와 차단 절차까지 모두 안전 체계의 일부다. 인도 정부와 관련 기업이 이번 유출 범위와 실제 위험도를 얼마나 투명하게 점검하느냐가 향후 국제 원전 프로젝트의 신뢰에도 영향을 줄 것으로 보인다.
댓글