Viasat 해킹부터 발트해 GPS 스푸핑, 실제 위성을 대상으로 한 최초의 해킹 대회까지, 지난 4년의 사건들은 우주 사이버보안이 더 이상 이론적 시나리오가 아님을 보여준다. 다음 대형 공격은 피싱 이메일이 아니라 위성 지상관제국에서 시작될 수 있다.

몇 년 전만 해도 우주 사이버보안은 우주기관 엔지니어들이 비공개로 논의하던 니치 주제였지만, 오늘날은 글로벌 위협보고서의 상시 항목이 됐다. 위성은 더 이상 특수한 존재가 아니라 GPS 항법, 금융거래 동기화, 항공·해운 물류, 군사통신, 기상예보, 핵심 인프라 운영을 떠받치는 기반 시설이다. 공격자들이 과거에는 서버를 노렸다면, 이제는 우주 생태계 전체를 표적으로 삼고 있으며, 지난 3년은 이 생태계가 업계가 가정했던 것보다 훨씬 취약하다는 사실을 입증했다.

가장 잘 알려진 사례는 2022년 2월 발생한 Viasat 위성망 공격이다. 공격자들은 위성 자체를 해킹하려 하지 않고, 가장 저렴하고 효과적인 경로인 지상 관리 인프라를 노렸다. SentinelOne 연구팀의 기술 분석에 따르면 공격자들은 잘못 설정된 VPN 장비를 악용해 KA-SAT 네트워크의 신뢰된 관리 구간에 접근한 뒤, 운영·관리 담당 네트워크 구간으로 횡적 이동했다. 이후 사업자가 일상적인 펌웨어 업데이트를 배포할 때 쓰는 것과 동일한 메커니즘을 이용해 수만 대의 가입자 모뎀에 정상적인 관리 명령을 동시에 전송했다. 그러나 업데이트 대신 모뎀에 전달된 것은 AcidRain이라는 와이퍼 악성코드였다. 이 공격으로 프랑스·독일·헝가리·그리스·이탈리아·폴란드의 수만 명이 서비스를 잃었고, 독일에서는 5,800대의 에너콘(Enercon) 풍력발전기가 며칠간 원격 모니터링·제어 불능 상태에 빠졌다. 더 결정적으로, 이 공격은 러시아의 우크라이나 전면 침공 첫 시간대에 우크라이나군 지휘부의 통신 채널을 마비시켰다. MITRE ATT&CK와 우크라이나 CERT-UA는 이후 AcidRain을 러시아 GRU 소속 Sandworm과 연결지었으며, 2024년 3월에는 기업용 스토리지 시스템까지 파괴 범위를 넓힌 후속 변종 AcidPour가 발견됐다. Viasat 사건의 교훈은 단순하다. 대륙 단위 위성망을 마비시키는 데 궤도역학 지식은 필요 없으며, 잘못 설정된 VPN 장비 하나면 충분하다는 것이다.

Viasat 사건이 지상 구간 침해의 파급력을 보여줬다면, 발트해는 20232024년 내내 네트워크 침입 없이 GNSS 신호 자체를 직접 공격하는 또 다른 전선을 보여줬다. 상업용 항공기의 ADS-B 공개 데이터를 근거로 연구진은 2023년 8월부터 2024년 3월까지만 4만6천여 건의 잠재적 GPS 교란 사례를 발트해 상공에서 기록했으며, 스탠퍼드대와 텍사스대 연구팀은 교란원의 상당수를 칼리닌그라드 지역으로 추적했다. 단순 재밍보다 기술적으로 더 흥미로운 것은 스푸핑이다. 수신기가 신호를 잃는 대신 완전히 정상처럼 보이는 위조 신호를 받아들이는 방식으로, 콜로라도대 볼더캠퍼스와 그디니아 해양대 연구진은 항공기가 스몰렌스크 인근에서 폐쇄된 군용 비행장 주변을 정밀하게 원을 그리며 도는 이른바 원형 스푸핑 사례를 문서화했다. 2023년 12월 25일에는 포베다항공 여객기가 흑해 남부 상공에서 ADS-B 추적 신호를 거의 2시간 동안 잃었다가 재개될 때 크림반도 심페로폴 공항 활주로에 정확히 정렬된 좌표를 보고한 사례도 있었다. 그 여파로 에스토니아 타르투 공항은 2024년 45월 핀에어 운항을 중단해야 했고, 미 연방항공청(FAA)은 조종사들에게 GPS 없이 비행할 준비를 하라는 안전경보를 발령했다. NATO는 이에 대응해 발틱 센트리(Baltic Sentry) 순찰작전을 시작했다.

2023년 여름에는 처음으로 해커들이 정보기관의 지시가 아니라 해커 콘퍼런스에서 실제 궤도상 위성을 합법적으로 공격하는 일이 벌어졌다. 미 우주군, 공군연구소(AFRL), 에어로스페이스사가 2020년부터 운영해 온 Hack-A-Sat 대회의 네 번째 대회를 위해 Moonlighter라는 3U 큐브위성이 전용 제작·발사됐다. 700여 팀 중 선발된 5개 결선팀이 GPS 수신기에 위조 데이터를 주입해 위치를 속이는 등 궤도역학 챌린지를 새롭게 설계해 겨뤘고, 이탈리아팀 mHACKeroni가 우승했다. 이 프로젝트의 진짜 목적은 상금이 아니라 설계 단계부터의 보안 내재화(secure-by-design)가 소프트웨어 업계처럼 우주 업계의 표준이 돼야 한다는 메시지를 전하는 것이었으며, 주최 측은 이를 Viasat 사건에 대한 직접적 응답이라고 밝혔다.

우크라이나 전쟁은 위성통신이 단순한 통신 수단을 넘어 지속적인 전자전(EW) 경합의 대상이 되는 군사 인프라임을 보여줬다. 스타링크는 이 대립의 상시적 표적이 됐다. 러시아는 신호 재밍과 단말기 위치 삼각측량을 시도했고, 이에 맞서 스페이스X는 전통 우주산업이 필요로 하지 않았던 능력, 즉 수년이 아니라 며칠 단위로 새로운 위협 벡터에 대응해 네트워크를 실시간에 가깝게 갱신하는 능력을 보여줬다.

2025년은 이 모든 개념 증명이 확인된 추세선으로 전환된 해였다. 우주정보공유분석센터(Space ISAC)에 따르면 2025년 1~8월 공개 보고된 우주 관련 사이버 사건은 전년 동기 대비 118% 급증해 약 117건이 기록됐는데, 이마저도 실제 규모를 상당히 과소평가한 수치로 추정된다. 가장 두드러진 사례는 중국 국가 배후 조직 솔트 타이푼(Salt Typhoon)으로, 버라이즌·AT&T·T모바일 등 미국 통신사 핵심망을 침해해온 이 캠페인이 2025년 중반 위성통신 부문으로 확장됐고, 표적 중 하나가 다시 Viasat이었다. 이는 지상 통신 인프라를 겨냥하던 동일한 공격자와 기법이 이제 SATCOM 사업자를 향해 의도적으로 조준되고 있음을 보여준다. 업계의 대응도 구체화됐다. 2025년 3월 딜로이트는 온보드 사이버 방어 페이로드 Silent Shield를 실증하는 위성 Deloitte-1을 스페이스X 팰컨9으로 발사했으며, 후속 위성들은 위성 간 링크를 통한 횡적 이동 공격 시나리오를 검증할 예정이다.

2025년 말부터 2026년에 걸쳐 각국 정부는 그간의 자율 권고를 강제 규정으로 전환하기 시작했다. 미 국가안보시스템위원회(CNSS)는 국가안보 우주시스템 정책을 개정해 정보·군사용 위성에 실시간 온보드 침입탐지·방어 능력을 의무화했는데, 이는 기존 텔레메트리 기반 감시로는 다수의 온보드 침해 유형을 포착할 수 없다는 탐지 공백에 대한 대응이다. 동시에 EU 우주법(Space Act) 초안과 2025년 12월 재도입된 초당적 미국 위성 사이버보안법(Satellite Cybersecurity Act)은 수년간의 임시 모범관행을 상업 부문의 강제 기준선으로 전환하려 하고 있다. 업계 분석가들은 글로벌 우주 사이버보안 시장이 2026년 말까지 약 52억 달러 규모에 이를 것으로 전망한다.

업계가 직면한 가장 근본적인 과제는 위성 자체 방어나 전자전 대응이 아니라 공급망이다. 하나의 우주 임무에는 수십 개국 수백 개 기업이 참여해 온보드 비행 소프트웨어, 전자부품, 암호화 모듈, FPGA 칩, 통신 하드웨어, 텔레메트리 처리용 클라우드 서비스를 각각 만든다. 각 구성요소는 저마다의 개발 주기와 취약점을 가지며, 최종 운영자조차 이를 다 파악하지 못하는 경우가 많다. 이는 2020년 솔라윈즈(SolarWinds) 사건에서 이미 목격된 패턴으로, 단일 공급업체 침해가 서로의 존재조차 모르는 수십 개 우주 프로그램에 영향을 미칠 수 있다는 우려를 낳는다. 인공지능 또한 방어와 공격 양쪽을 동시에 가속화하고 있다. 텔레메트리 이상 탐지와 위성군 운영 최적화에 쓰이는 동일한 AI 기술이, 공격자에게는 펌웨어 취약점 자동 발굴이나 정교한 피싱 캠페인 생성 도구로 활용된다.

우크라이나는 지상 인프라 침해, GNSS 교란, 전자전, 무인체계, 상업 우주서비스가 하나의 분쟁 속에서 어떻게 얽히는지를 실전으로 보여준 첫 사례다. GRU 산하 Sandworm(APT44)은 파괴 공격에서 우크라이나군을 겨냥한 표적 첩보 활동으로 전환했고, FSB 연계 조직 Gamaredon은 2025년 한 해에만 정부·군 기관 대상 35건의 스피어피싱 캠페인을 벌였다. 2026년에는 FPV 드론 조종사를 표적으로 한 UAC-0247 클러스터가 시그널 메신저를 통한 가짜 업데이트로 AGINGFLY 백도어를 유포한 사례도 CERT-UA에 의해 포착됐다.

사이버보안은 개별 컴퓨터 방어에서 기업 네트워크, 클라우드·산업시스템·핵심 인프라 방어로 순차 발전해왔다. 우주 시스템 방어는 그 다음 논리적 단계이며, 지난 4년은 업계가 이 단계를 사전 대비가 아니라 실제 사건의 압박 속에서 밟아나가고 있음을 보여준다. 앞으로 가장 위험한 대형 APT 공격은 악성 이메일 첨부파일이 아니라, 텔레메트리 서버 침해나 도난당한 엔지니어 계정, 제3자 펌웨어 공급업체의 감염된 업데이트, 혹은 지상관제국 VPN 장비의 눈에 띄지 않는 설정 변경에서 시작될 수 있다. 이는 2022년 2월 24일 이미 실제로 벌어졌던 일이기도 하다. 우주가 통신·항법·경제·국방의 연속성 그 자체를 좌우하게 된 만큼, 우주 사이버보안은 더 이상 데이터 보호 문제가 아니라 현대 문명이 의존하는 신뢰 인프라 전체의 문제가 되고 있다.

출처: The Sign