제29장 전력망은 새로운 전장이다

29.1 발전소와 변전소의 표적화

2026년 3월 1일 새벽 2시 47분(테헤란 현지 시간), 이스라엘 공군의 F-35I 아디르 편대가 테헤란 상공에 나타났습니다. 목표물은 이슬람혁명수비대(IRGC) 사령부가 밀집한 테헤란 서부 군사 구역이었습니다. 정밀 유도 폭탄이 건물을 관통해 폭발하는 순간, 인근 고전압 송전탑 세 기가 파편에 맞아 무너졌습니다. 카라지(Karaj) 방면으로 전력을 보내던 230킬로볼트 송전선이 끊어졌습니다. 테헤란 동부와 서부 일대의 변전소 보호 계전기가 연쇄적으로 차단 신호를 보냈습니다. 4분 뒤, 테헤란 광역권 인구 1,200만 명 가운데 약 400만 명이 암흑 속에 놓였습니다.

이란 에너지부는 이틀 뒤 공식 성명을 냈습니다. "파편이 고전압 송전탑과 변전소를 타격한 결과"라는 설명이었습니다. 폭탄이 직접 전력 시설을 겨냥한 것이 아니라 부수적 피해였다는 뜻입니다. 그러나 결과는 같았습니다. 테헤란의 밤은 꺼졌고, 병원의 비상 발전기가 돌아가기 시작했으며, 지하철은 멈췄습니다.

전력망은 발전, 송전, 배전이라는 세 단계로 이루어진 거대한 흐름입니다. 발전소에서 만들어진 전기는 수백 킬로미터를 달려 변전소에서 전압이 낮아진 뒤 가정과 공장에 도착합니다. 이 흐름에는 한 가지 치명적인 물리적 제약이 붙어 있습니다. 전기는 저장할 수 없다는 것입니다. 생산과 소비가 1초 단위로 균형을 맞춰야 합니다. 이 균형이 깨지면 주파수가 흔들리고, 보호 장치가 작동하면서 회로를 끊습니다. 하나의 변전소가 멈추면 그 부하가 이웃 변전소로 몰리고, 이웃 변전소마저 과부하로 꺼집니다. 연쇄 차단(Cascading Failure)입니다. 테헤란 서부의 송전탑 세 기가 무너졌을 때 벌어진 일이 정확히 이것이었습니다.

전력망을 전쟁의 표적으로 삼는 발상은 새로운 것이 아닙니다. 1943년 영국 공군은 독일 루르 공업지대의 뫼네 댐과 에데르 댐을 폭격했습니다. 댐이 무너지자 수력 발전이 멈추고, 루르의 군수 공장들이 전력 부족에 시달렸습니다. 1991년 걸프전에서 이 발상은 체계적인 교리로 완성되었습니다. 미 공군의 존 워든(John Warden) 대령은 적국을 다섯 개의 동심원으로 구성된 유기체로 봤습니다. 가장 안쪽 원이 지도부, 두 번째 원이 핵심 생산 시설, 세 번째 원이 인프라입니다. 워든은 인프라 가운데 전력망을 먼저 끊으면 나머지 네 개의 원이 동시에 마비된다고 주장했습니다. 미군은 이 이론을 실행에 옮겼습니다. 개전 첫 주에 이라크의 발전소와 변전소를 정밀 유도 무기로 집중 타격했고, 이라크군의 방공 레이더, 통신망, 지휘 체계가 한꺼번에 무너졌습니다.

2022년 러시아-우크라이나 전쟁은 이 교리가 35년이 지난 뒤에도 유효하다는 것을 증명했습니다. 러시아는 2022년 10월부터 우크라이나의 화력 발전소, 수력 발전소, 변전소를 순항 미사일과 샤헤드(Shahed) 자폭 드론으로 집요하게 타격했습니다. 영하 10도의 겨울에 난방이 끊겼습니다. 상수도 펌프가 멈춰 수돗물이 나오지 않았습니다. 통신 기지국이 꺼져 휴대전화가 먹통이 되었습니다. 병원에서는 수술 중 전기가 나가 수동 환기 장치로 환자의 숨을 유지해야 했습니다.

전력망 타격이 이토록 파괴적인 이유는 그 구성 요소 가운데 하나, 대형 전력 변압기(LPT, Large Power Transformer)의 물리적 특성에 있습니다. 변압기는 발전소에서 만들어진 345킬로볼트 이상의 초고압 전기를 가정에서 쓸 수 있는 전압으로 낮추거나, 송전을 위해 높이는 역할을 합니다. 무게는 수백 톤에 달합니다. 내부는 절연유로 채워진 구리 코일의 정밀 구조물입니다. 전 세계에서 이것을 만들 수 있는 기업은 손에 꼽힙니다. 국제에너지기구(IEA)의 2026년 보고서에 따르면, 2018년 이후 변압기 가격은 75퍼센트 올랐고, 지금 주문하면 납품까지 4년이 걸립니다. 미사일 한 발에 변압기가 불타면, 그 변전소가 담당하던 지역은 4년 동안 정상적인 전력 공급을 받지 못할 수 있다는 뜻입니다.

2026년 이란 전쟁에서 전력망 타격의 의미는 걸프전이나 우크라이나 전쟁과는 결이 달랐습니다. 이란만의 문제가 아니었기 때문입니다.

트럼프 대통령은 3월 21일 트루스소셜에 글을 올렸습니다. 이란이 48시간 안에 호르무즈 해협을 열지 않으면 "이란의 발전소를 가장 큰 것부터 폭격해 완전히 파괴하겠다(obliterate)"는 내용이었습니다. 이란 의회 의장 모하마드 바게르 갈리바프는 같은 날 X에 응답을 올렸습니다. 이란의 발전소와 인프라가 타격당하면 "사우디아라비아, 아랍에미리트, 쿠웨이트의 발전소와 해수 담수화 시설(Desalination Plant)을 제한 없이 보복 타격하겠다"는 경고였습니다.

이 위협이 왜 걸프 지역 전체를 공포에 몰아넣었는지를 이해하려면, 걸프 국가들의 물 사정을 알아야 합니다. 아라비아반도는 연간 강수량이 100밀리미터도 안 되는 극건조 지대입니다. 자연 담수 자원이 거의 없습니다. 쿠웨이트는 식수의 90퍼센트를, 바레인은 95퍼센트를, UAE는 42퍼센트를 해수 담수화 시설에서 얻습니다. 사우디아라비아는 세계 최대의 담수화 생산국입니다. 걸프협력회의(GCC) 6개국이 전 세계 담수화 용량의 60퍼센트를 차지합니다. 이 담수화 시설들은 바닷물을 끓이거나 역삼투막으로 걸러내는데, 두 방식 모두 막대한 전기를 소비합니다. 전력이 끊기면 담수 생산도 멈춥니다. 전기가 곧 물이고, 물이 곧 생존입니다.

실제로 피해가 발생했습니다. 3월 7일, 이란 외무장관 아바스 아라그치는 미국이 이란 남부 케슘(Qeshm) 섬의 담수화 시설을 타격해 30개 마을의 식수 공급이 중단되었다고 주장했습니다. 미국은 이를 부인했습니다. 그런데 그 직후, 바레인 당국은 이란 드론이 바레인의 담수화 시설에 물리적 피해를 입혔다고 발표했습니다. 쿠웨이트에서는 담수화 겸용 발전소의 부속 건물이 이란 공격에 피해를 입었고, 인도인 노동자 한 명이 사망했습니다. UAE의 푸자이라(Fujairah) 전력-담수 복합 시설 인근에도 이란 미사일이 떨어졌습니다. 두바이의 제벨 알리(Jebel Ali) 항구에 대한 이란의 3월 2일 공격은 연간 1,600억 갤런의 물을 생산하는 대형 담수화 단지에서 불과 20킬로미터 거리에 착탄했습니다.

마이클 크리스토퍼 로(Michael Christopher Low) 유타대 역사학 교수는 이 상황을 "소금물 왕국(Saltwater Kingdoms)"이라는 표현으로 요약했습니다. 걸프 국가들은 석유로 돈을 벌지만, 그 석유로 만든 전기로 바닷물을 식수로 바꿔서 살아남는 나라들이라는 뜻입니다. 석유 시대의 기적이 석유 시대의 치명적 약점이 된 것입니다.

전략국제문제연구소(CSIS)의 데이비드 미셸(David Michel)은 이런 사실을 지적했습니다. 40년 전 CIA가 이미 걸프 국가들의 담수화 의존이 만드는 안보 취약성을 비밀 보고서로 경고한 바 있다는 것입니다. 2026년의 전쟁은 그 취약성이 40년 동안 해소되기는커녕 더 깊어졌음을 드러냈습니다.

전력망 타격은 두 가지 차원에서 작동합니다. 직접적 군사 차원에서, 전력이 끊기면 방공 레이더와 통신망과 지휘 체계가 먹통이 됩니다. 현대 군사 작전은 고도로 네트워크화되어 있어서 안정적인 전력 공급 없이는 미사일 하나 발사할 수 없습니다. 간접적 사회경제적 차원에서, 전력이 끊기면 물이 끊기고, 물이 끊기면 생존이 위협받습니다. 걸프 지역처럼 여름 기온이 50도에 육박하는 곳에서 에어컨과 식수가 동시에 사라지면, 며칠 안에 인도주의적 재앙이 시작됩니다.

테헤란이 암흑에 잠겼을 때, 시민들은 길거리로 나와 휴대전화 플래시라이트를 켜고 구호를 외쳤습니다. 이스라엘과 미국은 IRGC 사령부를 파괴하려 한 것이지만, 결과적으로 이란 정권에게 "왜 수백만 시민이 칠흑 속에 방치되느냐"를 해명해야 하는 정치적 부담을 안겼습니다. 전력을 끊는 것은 적의 군대를 마비시키는 동시에 적의 정부에게 통치 능력의 위기를 안기는 이중 타격입니다.

2026년 3월 말, 트럼프는 이란 정부의 요청을 받아들여 전력망 공격의 유예 기한을 4월 6일까지 10일 연장한다고 발표했습니다. 이 결정 자체가 전력망의 전략적 위상을 보여줍니다. 핵 시설이나 미사일 기지가 아니라 발전소가 협상의 지렛대가 된 것입니다. 발전소와 변전소의 냉각탑과 철탑은 이제 최전방의 참호만큼이나 치열한 공방의 중심에 서 있습니다.

29.2 코드 한 줄이 송전망을 멈출 때

2026년 2월 28일 오전 9시 45분 테헤란 시간, 첫 번째 토마호크 순항미사일이 이란 영공에 진입하기 전에 전장은 이미 열려 있었습니다. 미국 합참의장 댄 케인(Dan Caine) 대장은 3월 2일 기자 브리핑에서 이렇게 말했습니다. 미 사이버사령부(USCYBERCOM)와 우주사령부가 "최초 투입 전력(First Movers)"이었다고. 이들이 "비운동적 효과를 겹겹이 쌓아(Layering Non-kinetic Effects)" 이란의 "보고, 소통하고, 대응하는 능력을 교란하고 약화시키고 눈멀게 만들었다"고.

케인 대장은 구체적인 내용은 밝히지 않았습니다. 그러나 결과는 숫자로 나타났습니다. 팔로알토 네트웍스의 유닛42(Unit 42) 분석팀에 따르면, 2월 28일 오전부터 이란의 인터넷 접속률이 1~4퍼센트 수준으로 추락했습니다. 3월 25일 기준으로 이란은 27일 연속 사실상의 인터넷 암흑 상태에 놓여 있었습니다. 물리적 폭격이 시작되기도 전에, 이란의 통합 방공망(IADS)은 이미 눈이 멀어 있었습니다.

사이버 공격이 에너지 인프라를 물리적으로 파괴할 수 있다는 사실이 처음 입증된 것은 2010년이었습니다. 그해 여름, 벨라루스의 보안 업체가 이란 나탄즈(Natanz) 우라늄 농축 시설의 컴퓨터에서 이상한 악성 코드를 발견했습니다. 스턱스넷(Stuxnet)이라는 이름이 붙은 이 코드는 500킬로바이트짜리 컴퓨터 웜이었습니다. 세 단계로 작동했습니다. 먼저 윈도우 시스템에 침투했습니다. 다음으로 지멘스(Siemens)의 스텝7(Step7) 소프트웨어를 찾아 감염시켰습니다. 이 소프트웨어는 산업용 제어 장치를 운영하는 데 쓰이는 것이었습니다. 마지막으로 프로그래머블 로직 컨트롤러(PLC)를 장악해 우라늄 가스를 분리하는 원심분리기의 회전 속도를 조작했습니다.

나탄즈 시설은 인터넷과 완전히 단절된, 이른바 '에어 갭(Air Gap)' 환경이었습니다. 스턱스넷은 USB 메모리를 통해 이 장벽을 넘었습니다. 시설 내부의 엔지니어가 외부에서 감염된 USB를 들고 들어간 것으로 추정됩니다. 코드는 안으로 들어간 뒤 인내심 있게 기다렸습니다. 지멘스 스텝7 컨트롤러가 연결된 정확한 하드웨어 구성을 감지할 때까지 아무것도 하지 않았습니다. 표적을 찾으면 원심분리기의 회전 속도를 한계치 이상으로 올렸습니다. 동시에 관제실의 모니터에는 모든 수치가 정상으로 표시되게 조작했습니다. 이란 기술자들은 원심분리기가 하나둘 고장나는 것을 지켜보면서도 원인을 알 수 없었습니다. 국제원자력기구(IAEA) 사찰관들이 비정상적으로 높은 원심분리기 교체율을 눈치채기 시작했을 때, 이미 약 1,000기가 파괴된 뒤였습니다. 당시 가동 중이던 5,000기의 5분의 1이었습니다.

스턱스넷은 미국과 이스라엘의 합작으로 추정됩니다. 에드워드 스노든은 2013년 이것이 사실이라고 밝혔습니다. '올림픽 게임즈(Olympic Games)'라는 작전명이 붙어 있었고, 부시 행정부에서 시작되어 오바마 행정부에서 가속되었습니다. 이란의 핵 프로그램을 최소 2년 지연시킨 것으로 평가됩니다.

스턱스넷은 선례를 만들었습니다. 코드가 물리적 장비를 파괴할 수 있다는 선례. 그 선례 위에 이후의 공격들이 쌓였습니다.

2015년 12월 23일, 우크라이나 이바노프란키우스크 지역의 전력 배전 회사에 러시아 해커 그룹(샌드웜으로 추정)이 침투했습니다. 피싱 메일이 시작이었습니다. 직원 한 명이 첨부 파일을 열었고, 해커들은 내부망에 발판을 마련했습니다. 몇 달에 걸쳐 시스템 권한을 탈취한 뒤, 공격 당일 발전소 운영자들은 자기 화면의 마우스 커서가 스스로 움직이는 것을 지켜봐야 했습니다. 커서가 송전망 차단기를 하나씩 '오프' 위치로 클릭했습니다. 해커들은 정전을 일으킨 뒤 복구까지 방해했습니다. 무정전 전원장치(UPS)의 전원을 원격으로 꺼버렸고, 콜센터에 전화 폭탄을 날려 시민들의 신고를 차단했으며, 서버의 데이터를 삭제하는 와이퍼(Wiper) 악성코드를 실행해 제어 시스템 자체를 먹통으로 만들었습니다. 역사상 최초로 사이버 공격에 의한 대규모 정전이 확인된 사건이었습니다.

2021년 5월, 미국 동부 해안의 석유 공급 45퍼센트를 담당하는 콜로니얼 파이프라인(Colonial Pipeline)이 랜섬웨어에 감염되었습니다. 다크사이드(DarkSide)라는 해커 집단이 IT 시스템을 암호화하자, 회사는 안전을 우려해 송유관 밸브를 물리적으로 닫았습니다. 며칠 만에 수천 개 주유소에 기름이 떨어졌고, 항공편이 취소되었으며, 시민들은 플라스틱 봉지에 휘발유를 담아가는 패닉 바잉에 나섰습니다. 악성코드가 직접 밸브를 건드린 것이 아니었습니다. IT 시스템이 감염되었을 뿐인데, 운영자가 스스로 밸브를 잠근 것입니다. 사이버 공격의 실제 파괴력은 기술적 침투 능력뿐 아니라, 운영자의 불안과 시스템의 상호 의존성이 증폭시키는 연쇄 반응에 있습니다.

2026년의 전쟁은 이 모든 선례를 하나의 무대 위에 올려놓았습니다. 물리적 공격과 사이버 공격이 동시에 벌어졌습니다. 미 사이버사령부는 개전과 동시에 이란의 통신망과 방공 센서를 무력화했습니다. 이란 쪽에서는 60개 이상의 해커 그룹이 개전 수 시간 만에 활동을 개시했습니다. '사이버 이슬람 저항(Cyber Islamic Resistance)'이라는 이름 아래 텔레그램 채널 100개 이상에서 조직되었고, 개전 2주 만에 600건 이상의 공격을 주장했습니다.

이란 연계 해커 그룹 한달라(Handala)는 3월 11일 미국 의료기기 회사 스트라이커(Stryker)를 공격했습니다. 79개국에 걸친 직원들의 로그인 화면에 한달라의 로고가 떴습니다. 마이크로소프트의 클라우드 관리 플랫폼 인튠(Intune)을 악용해 20만 대 이상의 기기를 원격으로 초기화했다고 주장했습니다. 스트라이커는 3월 27일까지 17일째 시스템 복구 중이었고, 전·현직 직원들이 개인정보 유출을 이유로 4건의 집단 소송을 제기했습니다.

이슬람혁명수비대 산하 사이버Av3nger(CyberAv3ngers) 그룹은 미국의 수처리 시설과 산업 제어 시스템을 노렸습니다. 이들은 프로그래머블 로직 컨트롤러(PLC)에 기본 비밀번호로 로그인해 악성코드를 설치하는 방식을 썼습니다. APT33은 미국 에너지 기업의 계정에 흔히 쓰이는 비밀번호를 대입하는 방식으로 접근했습니다. APT55는 미국 에너지·국방 분야 관계자들에 대한 사이버 첩보 활동을 벌였습니다.

한달라는 3월 23일 이스라엘 전력망과 발전소의 설계도 아홉 장을 자체 웹사이트에 공개했습니다. 이란의 준관영 타스님 통신은 마이크로소프트, 구글, 아마존, 오라클 등 미국 빅테크 기업이 중동에 보유한 수십 개 데이터센터를 "적의 기술 인프라(Enemy Technology Infrastructure)"로 지정한 목록을 텔레그램에 올렸습니다.

브레이킹 디펜스(Breaking Defense)의 보도에 따르면, 전직 사이버 작전 요원은 이렇게 설명했습니다. 사이버 공격과 물리적 타격의 결정적 차이가 있다고. 발전소를 미사일로 부수면 복구에 수개월에서 수년이 걸리지만, 사이버 공격은 켜고 끌 수 있다고. 통신망을 사이버로 마비시키면 긴급 서비스에 영향을 주지만, 공격을 중단하면 곧 복원된다고. 이 차이가 사이버 무기에 독특한 전략적 유연성을 부여합니다. 적의 방공 레이더를 물리적으로 파괴하는 대신 사이버로 일시적으로 눈멀게 만들고, 그 틈에 스텔스 전투기가 진입하는 하이브리드 전쟁의 문법이 2026년 이란 전쟁에서 실전으로 증명되었습니다.

그러나 동시에 다른 교훈도 있었습니다. 같은 전직 요원은 이렇게 덧붙였습니다. 러시아가 우크라이나 침공 초기에 미국 위성통신 회사 비아셋(Viasat)을 사이버 공격한 것은 단기적 혼란은 만들었지만, 그 대가로 귀중한 정보 수집 거점을 태워버린 셈이라고. 사이버 접근권은 한 번 드러나면 적이 차단하므로, 쓰는 순간 사라집니다. 언제 쓸지, 무엇을 위해 쓸지의 판단이 미사일 발사보다 어려울 수 있습니다.

총알이 날아다니는 전선만이 전장이 아닙니다. 전력 회사의 관제실, 엔지니어의 키보드, 보이지 않는 네트워크의 라우터 하나하나가 2026년의 새로운 전장이 되었습니다. 이란의 인터넷 접속률이 1퍼센트로 추락한 것은 미사일이 아니라 코드가 만든 결과였습니다.

29.3 에너지 시설의 사이버전 취약성

2023년 11월, 미국 펜실베이니아주 앨리퀴파(Aliquippa)의 수도 공사에서 이상한 화면이 떴습니다. 수처리 시설의 부스터 펌프를 제어하는 이스라엘제 유니트로닉스(Unitronics) PLC 화면에 "모든 이스라엘제 장비는 사이버Av3ngers의 합법적 표적"이라는 문구가 표시되었습니다. IRGC 산하 해커 그룹이 인터넷에 노출된 산업 제어 장치에 기본 비밀번호로 로그인한 것이었습니다. 기본 비밀번호. 한 번도 바꾸지 않은 출고 시 기본값이었습니다.

이 사건은 에너지 시설과 인프라가 왜 사이버 공격에 취약한지를 단적으로 보여줍니다. 그 취약성의 뿌리는 세 곳에 있습니다.

첫 번째는 산업 제어 시스템(ICS)과 스카다(SCADA, Supervisory Control and Data Acquisition)의 태생적 한계입니다. 발전소의 터빈을 돌리고, 변전소의 차단기를 여닫고, 송유관의 밸브를 조절하는 장비들의 설계 철학은 1970년대와 1980년대에 만들어졌습니다. 당시 엔지니어들의 유일한 목표는 가동률이었습니다. 24시간 365일 멈추지 않는 것. 외부 인터넷이라는 개념이 없던 시절이었으므로, 데이터 암호화나 다중 인증 같은 보안 개념은 설계도에 존재하지 않았습니다. 내부망에 접근한 사람은 누구든 신뢰받는 사용자로 간주되었습니다. 비밀번호 없이 평문으로 제어 명령이 오갔습니다. 앨리퀴파 수도 공사의 유니트로닉스 PLC에 기본 비밀번호가 그대로 남아 있었던 것은, 이 시대의 유산이 30년이 지난 뒤에도 바뀌지 않았다는 증거입니다.

수십 년 수명을 가진 고가의 산업 장비를 보안이 취약하다는 이유만으로 하루아침에 교체할 수는 없습니다. 전력 회사 입장에서 변전소의 PLC를 교체하려면 해당 구역의 전력 공급을 일시 중단해야 합니다. 이는 수만 가구와 공장에 영향을 줍니다. 교체 비용도 막대합니다. 결과적으로 전력 회사들은 이 낡은 시스템을 덧대고 이어붙여 쓸 수밖에 없었습니다. 시러큐스대 전기공학과 알렉스 존스(Alex K. Jones) 교수의 설명이 정확합니다. 수처리, 전력망, 산업 제어 시스템은 안전성과 실시간 작동을 위해 설계된 것이지, 빈번한 소프트웨어 업데이트나 빠른 보안 패치를 위해 만들어진 것이 아니라는 것입니다. 소비자용 노트북이나 스마트폰은 매주 보안 업데이트를 받지만, 산업 환경에서는 작은 변경 하나가 물리적 공정을 중단시킬 수 있기 때문에 패치 주기가 훨씬 느립니다. 장비 수명은 길고, 연결성은 늘어나고, 업데이트 주기는 느린 이 조합이 산업 인프라를 일반 IT 시스템보다 방어하기 훨씬 어렵게 만듭니다.

두 번째 취약성의 원천은 '에어 갭의 붕괴'입니다. 과거 에너지 기업들은 물리적 장비를 제어하는 운영 기술(OT) 망이 이메일과 웹서핑을 하는 정보 기술(IT) 망과 물리적으로 분리되어 있어 안전하다고 믿었습니다. 스턱스넷이 이 신화에 금을 갔지만, 그것은 국가 차원의 초정밀 작전이었으므로 일반적 위협으로 받아들여지지 않았습니다. 진짜 붕괴는 효율성의 이름으로 찾아왔습니다.

재생에너지의 확산이 결정적이었습니다. 풍력과 태양광은 바람이 불고 해가 뜰 때만 전기를 만듭니다. 이 불규칙한 발전량을 실시간으로 전력망에 연동시키려면 현장 변전소의 장비가 중앙 관제 센터의 IT 시스템과 끊임없이 데이터를 주고받아야 합니다. IEA의 2026년 보고서에 따르면, 전 세계적으로 1,650기가와트에 달하는 태양광 및 풍력 설비가 연결할 전력망이 부족해서 가동되지 못하고 있습니다. 전력망을 확장하고 스마트하게 만들라는 압력은 거셉니다.

유지보수 비용을 줄이기 위해 외부 협력업체 직원들이 원격으로 현장 장비에 접속할 수 있는 통로(VPN 등)도 뚫렸습니다. IT 망과 OT 망 사이의 에어 갭은 효율성과 경제성의 논리에 밀려 구멍이 뚫렸습니다. 해커들은 이 구멍을 정확히 노립니다. 굳이 보안이 두터운 OT 망을 직접 공격하지 않습니다. 상대적으로 보안이 허술한 협력업체의 이메일이나 직원의 개인 노트북을 먼저 해킹합니다. 그 뒤 합법적인 원격 접속 통로를 타고 IT 망을 거쳐 OT 망의 심장부로 걸어 들어갑니다. 이른바 '망 이동(Lateral Movement)' 전략입니다. 시스템을 연결하면 편리해지지만, 가장 취약한 고리 하나가 끊어지면 전체가 무너지는 거대한 공격 표면(Attack Surface)이 만들어집니다. 연결성의 역설입니다.

세 번째 취약성은 공급망(Supply Chain)의 구조에서 옵니다. 에너지 인프라는 전 세계 수백 개 기업의 하드웨어와 소프트웨어 부품으로 조립된 구조물입니다. 해커들은 보안이 두터운 전력 회사를 직접 공격하는 대신, 그 전력 회사에 제어 소프트웨어를 납품하는 중소 벤더사의 업데이트 서버를 해킹합니다. 전력 회사가 정상적인 보안 패치라고 믿고 다운로드하는 순간, 악성코드가 들어갑니다. 글로벌 공급망 속에서 특정 부품이나 펌웨어에 백도어(Backdoor)가 심어져 있는지를 완벽하게 검증하는 것은 불가능에 가깝습니다.

그리고 이 세 가지 취약성 위에, 2026년의 전쟁이 새롭게 노출시킨 네 번째 층이 있습니다. 데이터센터입니다.

3월 1일 늦은 밤, 이란 혁명수비대의 샤헤드(Shahed) 드론이 UAE에 있는 아마존 웹 서비스(AWS) 데이터센터 두 곳과 바레인의 AWS 시설 한 곳을 타격했습니다. 군사 역사상 주요 하이퍼스케일러의 데이터센터가 의도적으로 공격받은 최초의 사례였습니다. 아마존은 구조적 피해, 전력 공급 중단, 화재, 소화 과정에서의 수해를 확인했습니다. UAE 리전(ME-CENTRAL-1)의 가용 영역 세 곳 가운데 두 곳이 손상되었고, 바레인 리전(ME-SOUTH-1)에서도 서비스가 중단되었습니다.

이란 국영 파르스 통신은 텔레그램을 통해 바레인 시설을 의도적으로 타격한 이유를 밝혔습니다. "이 센터들이 적의 군사 및 정보 활동을 지원하는 역할을 확인하기 위해서"라는 것이었습니다. 미국 군은 AWS를 통해 일부 작전 워크로드를 운용하고 있었고, 언론 보도에 따르면 앤스로픽의 AI 모델 클로드(Claude)를 정보 분석과 전투 시뮬레이션에 사용하고 있었습니다. 상업용 클라우드와 군사 작전 사이의 경계가 사라진 것입니다. 펜타곤의 합동전투클라우드역량(JWCC)과 합동전영역지휘통제(JADC2) 네트워크는 은행과 배달 앱이 쓰는 것과 같은 상업용 인프라 위에서 돌아갑니다.

결과는 즉각적이었습니다. 아부다비 커머셜 뱅크, 에미리츠 NBD, 퍼스트 아부다비 뱅크 등 주요 은행의 온라인 서비스가 중단되었습니다. 결제 플랫폼 알란(Alaan)과 허브페이(Hubpay), 데이터 클라우드 기업 스노우플레이크, 대형 차량호출 플랫폼 카림(Careem)이 영향을 받았습니다. AWS는 수일간 UAE 서비스를 "장애 중(Disrupted)"으로 표시했고, 바레인 리전 고객에게는 다른 AWS 리전으로 핵심 데이터를 복제할 것을 권고했습니다.

카네기 국제평화재단의 샘 윈터레비(Sam Winter-Levy) 연구원은 이렇게 경고했습니다. AI가 갈수록 중요해지면서 물리적 공격은 "앞으로 더 흔해질 수밖에 없다"고. "이제 데이터센터를 보호하는 것은 최고 보안 등급의 정부 청사를 보호하는 것과 같다"고.

킹스칼리지 런던의 재커리 캘런본(Zachary Kallenborn) 연구자는 포춘 인터뷰에서 이렇게 말했습니다. 전쟁이 드론과 로봇 시스템으로 치러지는 시대에는 지역 분쟁이 훨씬 넓은 범위로 확산될 수 있다고. 적이 무인 시스템을 통제하는 원격 지휘소와 데이터센터 인프라를 타격하려 할 것이기 때문이라고.

호르무즈 해협 폐쇄와 데이터센터 공격이 동시에 벌어진 2026년 3월의 상황은, 석유의 초크포인트와 데이터의 초크포인트가 같은 지리적 공간에 겹쳐 있다는 사실을 드러냈습니다. 17개의 해저 케이블이 홍해를 통과하고, 중동의 데이터센터는 유럽과 아시아를 잇는 디지털 트래픽의 중계점입니다. 네트워크 분석 기업 켄틱(Kentik)의 더그 매데이리(Doug Madory)는 이렇게 말했습니다. 호르무즈 해협과 홍해가 동시에 막히는 것은 "전 세계적으로 파괴적인 사건"이 될 것이며, "이런 일이 일어난 적은 없다"고.

걸프 국가들이 수조 달러를 쏟아부은 AI 데이터센터 투자 전략은 한 가지 전제 위에 서 있었습니다. 이 지역이 안전하다는 전제. 3월 1일의 드론 공격은 그 전제를 박살냈습니다. 유로뉴스에 따르면, UAE의 데이터센터 시장은 2026년 32억 9천만 달러에서 2031년 77억 달러로 성장할 것으로 전망되었습니다. 공격 이후 그 전망은 재검토 대상이 되었습니다.

에너지 시설이 사이버전에 취약한 이유는 바이러스 백신이 없어서가 아닙니다. 1980년대에 설계된 장비를 인터넷에 연결한 구조적 모순, 파괴되면 4년을 기다려야 교체할 수 있는 변압기의 공급망 병목, AI 혁명으로 폭증하는 전력 수요가 전력망의 물리적 여유를 완전히 소진시킨 상황, 그리고 상업용 클라우드와 군사 작전이 같은 서버를 쓰는 현실. 이것들이 겹쳐서 전력망과 디지털 인프라를 동시에 노출시켰습니다.

방어자와 공격자 사이에는 극단적인 비대칭이 존재합니다. 에너지 기업은 한정된 예산과 인력으로 수만 개의 송전탑, 수천 개의 변전소, 수백만 줄의 코드를 365일 방어해야 합니다. 공격자는 단 한 번만 성공하면 됩니다. 국가의 지원을 받는 해킹 그룹은 실패를 두려워하지 않으며, 제로데이(Zero-day) 취약점을 찾을 때까지 무한정 시도할 시간과 자본을 가지고 있습니다.

2026년 3월의 이란, 그 암흑의 테헤란과 서비스가 멈춘 두바이의 은행 앱은 같은 질문을 던지고 있습니다. 전기화 시대에 전력망을 지키지 못하는 나라는 무엇을 지킬 수 있는가. 코드 한 줄이 터빈을 세우고 서버를 날리는 시대에, 방화벽은 미사일 요격 시스템만큼이나 중요한 국방 자산이 되었습니다.