이란·친이란 진영, 디도스·심리전·ICS 공격 동시 전개
이스라엘, 정밀 첩보 기반 ‘보이지 않는 사이버전’ 수행
[데이터넷] 미국과 이란 간 전쟁이 최악의 국면으로 치닫는 가운데, 양 진영의 사이버전도 전방위적으로 격화되고 있다. 전통적인 군사 충돌과 병행해 정보전·심리전·기반시설 공격이 결합된 ‘하이브리드 전쟁’ 양상이 뚜렷해지는 모습이다.
이란 진영, 예측 불가…AI 기반 여론전까지 확대
이란 및 친이란 진영은 대규모 정보 수집과 여론 조작에 집중하는 한편, 디도스(DDoS) 공격 등으로 상대 진영의 시스템을 교란하는 전략을 펼치고 있다. 반면 이스라엘은 사이버와 물리 영역을 결합한 정밀 정보 수집과 첩보 활동 중심의 작전을 수행하는 것으로 분석된다.
사이버 위협 인텔리전스 기업 SOC레이더에 따르면, 전쟁 발발 후 첫 2주 동안 이란 및 친이란 진영 위협 그룹은 100개 이상의 텔레그램 채널을 통해 600건 이상의 공격을 수행했다고 주장했다. 이들은 이스라엘 방위산업체 라파엘의 방공 시스템과 드론 탐지 서비스 ‘비질 에어’, 텔아비브 소재 호텔의 전기·수도 시스템, 이란의 모바일 종교 앱 ‘바데사바 달력’ 등을 해킹했다고 밝혔다.
SOC레이더는 이란 및 친이란 진영의 공격 양상이 중국·러시아 계열 조직과 달리 예측이 어렵다는 점을 특징으로 지목한다. 이들은 15년 이상 사이버 스파이 활동, 피싱, 허위 정보 유포 캠페인을 지속해 왔으며, 수도·전기·에너지 관리 시스템을 제어할 수 있는 악성코드까지 개발해 공격에 활용해왔다.
특히 허위 정보 유포 역량도 고도화되고 있다. AI로 조작된 영상과 이미지를 활용해 전쟁 상황을 왜곡하고 내부 결속을 강화하는 한편, 미국과 이스라엘을 사칭한 계정을 통해 서방 진영의 여론을 혼란시키는 심리전을 병행하고 있다.
한달라 위협 행위자 카드/ SOC레이더
‘한달라’ 등 위장 조직 전면 등장
이번 전쟁에서 이란 연계 조직의 대표적 사례로는 ‘한달라(Handala)’의 공격이 꼽힌다. 한달라는 미국 의료기기 기업 스트라이커를 공격해 마이크로소프트 엔드포인트 관리 시스템 ‘인튠(Intune)’을 악용, 전 세계 지사의 서버와 노트북, 모바일 기기 등 약 20만 대를 원격 초기화했다고 주장했다. 이로 인해 주문 처리, 제조, 배송 등 핵심 업무가 중단되는 피해가 발생한 것으로 알려졌다. 한달라는 해당 공격을 미국과 이스라엘의 이란 공습에 대한 보복이라고 밝혔다.
이와 함께 한달라는 이스라엘 국방군(IDF) 및 정부 관련 인사 약 190명의 이름과 민감한 개인정보(PII)를 다크웹에 공개하고, “거주지를 파악해 감시 중”이라는 메시지를 게시하며 심리전을 전개했다. 또한 이스라엘 내 산저 하시딤 공동체로부터 851GB 규모의 데이터를 탈취했다고 주장하며, 금융 문서와 베냐민 네타냐후 총리와의 비밀 교신 내용이 포함돼 있다고 주장해 내부 혼란을 유도했다. 더불어 미국 내 이란 반체제 인사와 기자들에게 살해 협박 이메일을 발송하는 등 공격 범위를 확장하고 있다.
한달라는 공식적으로는 독립적인 민간 해킹 조직을 표방하고 있으나, 실제로는 이란 정보부(MOIS)와 연계된 ‘보이드 맨티코어(Void Manticore)’의 위장 조직일 가능성이 제기된다. 이란은 MOIS 및 이란 혁명수비대(IRGC) 지원 조직과의 연계를 숨기기 위해 이러한 위장 조직을 활용하는 것으로 알려져 있다.
ICS·에너지망 노린 공격 급증…비전문 조직까지 참전
IRGC 지원을 받는 조직들의 활동 역시 활발하다. 사이버어벤저스(CyberAv3ngers), APT33, APT55 등은 미국의 주요 기반시설을 겨냥한 공격을 지속하고 있다. 싱가포르 보안기업 클라우드섹은 이들이 에너지, 수자원, 전력망, 제조업 등 핵심 산업을 대상으로 침투를 시도하고 있다고 분석했다.
특히 이들은 외부에 노출된 산업제어시스템(ICS), 기본 비밀번호를 사용하는 장비, 취약한 인증 체계를 가진 산업용 엔드포인트를 집중 공략해 시스템 접근 권한을 확보하고, 제어용 악성코드를 설치하는 방식으로 공격을 수행하고 있다.
주목할 점은 ICS 해킹 경험이 부족한 신생 공격 그룹까지 전쟁에 가세하고 있다는 것이다. 이들은 AI 기반 정찰 파이프라인을 활용해 전문 지식 없이도 침투를 시도하며, 시스템 중단, 파괴, 정보 유출 등 고위험 공격을 수행할 가능성이 높다. IRGC의 중앙 통제를 받지 않는 이들 조직은 종교·이념 중심으로 움직이며 규율이 낮아 민간 피해를 고려하지 않는 공격을 감행할 위험이 크다.
이와 함께 러시아, 시리아, 이라크, 북아프리카, 동남아시아, 파키스탄 등지에서 활동하는 친이란 성향 사이버 조직들도 전쟁에 참여해 서방 진영을 겨냥한 공격을 확대하고 있다.
계정 탈취 기반 ‘로그인 공격’ 확산…장악 후 파괴 전략 진화
팔로알토 네트웍스는 이란 및 친이란 세력의 공격이 단순 교란을 넘어 물리적 파괴와 시스템 장악 단계로 진화하고 있다고 경고했다. 이들은 상대 진영에 직접적인 피해를 입히기 위한 파괴적 공격뿐 아니라, 주요 기업과 기관의 시스템을 장악해 지속적으로 영향을 미치는 전략까지 병행하고 있다.
특히 계정 탈취를 통한 ‘로그인 기반 침투’를 주요 전술로 활용하고 있다. 관리자 권한을 확보한 뒤 시스템을 파괴하거나, 원격접속 시스템을 장악해 데이터를 삭제하는 등 최고 수준의 파괴력을 가진 공격을 수행하고 있다는 분석이다.
이스라엘, 8200부대·모사드 중심 정밀 정보전
이란의 사이버 작전이 ‘게릴라전’에 가깝다면, 이스라엘의 작전은 ‘정규군형’에 가깝다. 이스라엘은 국가 차원의 체계적인 사이버 작전을 수행하며, 8200부대와 모사드 등 정보기관이 주도하는 고도로 정밀한 작전을 통제·실행한다. 이들의 침해 활동은 대부분 외부에 거의 드러나지 않는 것이 특징이다.
이스라엘의 정보 수집 능력은 이란 최고지도자 아야톨라 알리 하메네이 사망 사건을 통해서도 드러난다. 이스라엘은 이란 전역의 CCTV를 활용해 주요 인사의 이동 경로를 실시간으로 파악하고, 현지 정보망을 통해 내부 정보까지 확보한 것으로 알려졌다.
현재도 이스라엘과 미국의 정보망은 이란 전역을 감시하며 요인 암살, 주요 시설 타격, 무기 이동 추적 등을 위한 정보를 지속적으로 수집하고 있는 것으로 전해진다.
이처럼 양 진영의 사이버전은 단순한 네트워크 공격을 넘어 정보전, 심리전, 물리적 타격까지 결합된 형태로 진화하며 전쟁의 양상을 근본적으로 바꾸고 있다.
Tag
댓글
0