[보안 비상] ③ 의료기기부터 전기차까지…세계는 '보안 전쟁'

미국 의료기기 생산 차질·프랑스 냉장설비 공격…사이버 위협에 실물경제 흔들

미군, 중국산 BYD 차량 출입 금지…EU·일본도 AI 방어·공급망 보안 강화

이미지 확대

(서울=연합뉴스) 한상용 기자 = 전 세계적으로 사이버 공격이 개인정보 탈취를 넘어 의료기기 생산과 식품 유통 등 실물경제까지 위협하면서 각국 정부와 글로벌 기업들이 인공지능(AI)을 활용한 방어체계 강화와 공급망 통제에 나서고 있다.

미국에서는 의료기기 업체가 해킹으로 생산·출하에 차질을 빚고 프랑스에서는 슈퍼마켓 냉장설비가 공격받는 등 사이버 위협이 일상생활과 산업 현장으로 확산하는 양상이다.

특히 주일미군 기지의 BYD 전기차 출입 제한을 계기로 중국산이 주류인 로봇청소기와 서빙로봇 등 인터넷 연결 기기의 정보 수집·전송 방식에 대한 보안 검증 필요성도 부각되고 있다.

글로벌 빅테크 기업들은 AI 기반 보안과 접근권한 통제를 강화하고 있으며, 각국 정부도 제품 제조사의 보안 책임과 사고 신고 의무를 확대하는 추세다.

전문가들은 한국 역시 AI를 활용한 취약점 사전 점검과 침해사고 대응 역량을 높이는 동시에 연결형 기기의 정보 처리 투명성과 제조사 책임을 강화해야 한다고 제언한다.

◇ 의료기기 생산·식품 유통까지…사이버 공격에 실물경제 흔들

올해 해외 각지에서 발생한 대규모 사이버 공격은 기업 내부 전산망의 문제가 실제 제품 생산과 생활 서비스에 영향을 줄 수 있다는 점을 보여줬다.

미국 의료기기업체 스트라이커(Stryker)는 3월 사이버 공격으로 주문 처리와 생산, 출하에 차질을 겪었다. 당시 회사 시스템에 장애가 발생하면서 전 세계 사업 운영에 영향을 미쳤다.

스트라이커 시스템에 접속한 기기의 자료가 삭제되는 현상이 발생하면서 사측은 직원들에게 회사 네트워크에 접속하지 말라는 지시까지 내렸다.

프랑스에서는 이달 슈퍼마켓 냉장·냉동설비가 공격받는 사건이 발생했다. 수백개 매장의 냉장설비 온도가 조작돼 식품이 상하는 등 피해가 잇따랐다.

프랑스 사이버보안 당국은 코플랜드와 딕셀의 냉장설비도 공격 대상에 포함됐다고 밝혔다.

글로벌 기업들이 사용하는 서비스와 소프트웨어를 경유하는 공급망 공격도 중대한 사이버 위협으로 떠올랐다.

마이크로소프트(MS)는 지난 21일 중국 국가 연계 해킹 조직이 AI 기반 침투시험 도구 '아르텍스'(ARTEX)를 활용해 전 세계 수백개 조직을 겨냥했다고 발표했다. 이 과정에서 IT 서비스업체 커넥트와이즈의 클라우드 백업 서비스가 침해됐다. 일부 조직에서는 공격자가 높은 권한으로 접근을 유지한 것으로 분석됐다.

최근 국내 금융권을 겨냥한 연쇄 해킹 공격에서도 AI가 단순 보조 수단을 넘어 실제 침입 활동의 속도를 높이는 도구로 활용된 정황이 드러났다.

공격자가 아르텍스에 딥시크 등 여러 AI 모델을 결합하고, 홍콩의 통제 서버와 별도 공격 서버, 우회 접속 경로를 활용해 국내 금융기관 7곳을 잇달아 겨냥한 것으로 분석됐다.

일본에서는 지난주 웹 프로그래밍 언어 PHP의 치명적 취약점이 공개된 뒤 금융·항공·철도 기업과 정부기관이 일부 인터넷 서비스를 일시 중단했다.

위정현 중앙대 가상융합대학 학장은 "한국과 일본뿐 아니라 미국과 유럽도 정도의 차이는 있지만 같은 문제에 직면해 있다"며 "미국조차 사이버 위협에서 안전하다고 볼 수 없다"고 진단했다.

◇ BYD 차량 군기지 출입 제한…전기차·로봇도 보안 관리 대상

보안 대응의 범위는 서버와 소프트웨어에서 자동차와 로봇, 드론 등 물리적 기기로 확대되고 있다.

주일미군 가데나 공군기지는 보안 우려를 이유로 26일부터 중국 전기차업체 BYD 차량의 출입을 금지하기로 했다. 미군은 구체적 보안 위험 내용은 공개하지 않았지만 차량 카메라와 센서 기능이 군사시설 보안에 영향을 줄 수 있다는 우려가 실제 출입 제한으로 이어진 사례로 해석된다.

미국은 특정 시설의 출입 통제를 넘어 연결형 자동차의 공급망도 규제하고 있다.

미 상무부 규정은 중국·러시아와 연계된 특정 차량 통신·자율주행 소프트웨어 등을 탑재한 연결형 자동차의 수입·판매를 2027년형부터 제한한다.

위정현 중앙대 가상융합대학 학장은 중국산 전기차를 "움직이는 스마트폰"에 비유하며 "카메라와 센서로 어떤 정보를 수집하고 어떤 경로로 통신하는지 확인하기 어렵다는 것이 문제"라고 지적했다.

중국산 로봇청소기와 서빙로봇 등 인터넷 연결 기기에 대해서도 보안 우려가 제기된다. 카메라와 센서로 실내 공간을 파악하고 인터넷을 통해 외부 서버와 통신하는 제품이 늘면서 영상·위치정보 등의 수집 범위와 외부 전송 여부가 주요 점검 대상으로 떠오르고 있다.

특히 가정뿐 아니라 식당과 호텔, 사무실 등에서 사용하는 로봇은 실내 구조와 이용자의 이동 경로 등 민감한 정보를 수집할 수 있어 제조사나 유지보수 업체의 원격접속 권한에 대한 검증도 필요하다는 지적이다.

이미지 확대

다만 이 같은 위험이 중국산 제품에만 국한되는 것은 아니다. 제조국과 관계없이 연결형 기기의 정보 수집·저장·전송 방식과 보안 수준을 객관적으로 검증해야 한다는 의미다.

보안 업데이트 제공 기간과 사고 발생 시 공급업체의 책임도 확인할 필요가 있다.

위정현 학장은 특히 군과 정부기관 등 보안이 중요한 시설은 기기 도입과 사용에 더욱 신중해야 한다고 주문했다.

구체적인 검증 대상으로는 기기가 수집하는 영상·음성·위치정보의 범위와 전송 목적지, 제조사나 유지보수 업체의 원격접속 권한 등이 꼽힌다.

◇ EU는 사고 신고 의무화·일본은 AI 모의공격…각국 대응 강화

사이버 공격이 산업 현장과 연결형 기기로 확대되면서 각국 정부도 보안 규제를 강화하고 있다.

유럽연합(EU)은 사이버복원력법에 따라 올해 9월 11일부터 적용 대상 제조사에 실제 악용 중인 취약점과 제품 보안에 영향을 주는 심각한 사고를 신고하도록 했다. 인지 후 24시간 이내 조기 경보에 이어 72시간 이내 통보하도록 하는 체계다.

EU 사이버보안청은 이를 위한 단일 신고 플랫폼도 출범시켰다. 제품 보안 설계 등 법의 주요 의무는 내년 12월 11일부터 적용되지만, 위험을 조기에 공유하는 신고 의무는 먼저 시행한 것이다.

EU는 중대한 사고에 대해 인지 후 24시간 이내 조기 경보, 72시간 이내 사고 통보 등의 체계를 두고 있다.

미국 증권거래위원회(SEC)는 관련 의무가 적용되는 기업에 중대한 사이버보안 사고를 원칙적으로 중요성 판단 후 4영업일 이내 공시하도록 하고 있다.

일본 정부는 이달 23일 AI로 사이버 공격을 모의해 시스템의 약점을 찾는 팀을 신설하겠다고 밝혔다. 공격자 관점에서 취약점을 미리 확인하고 방어에도 AI를 활용하겠다는 구상이다.

◇ 전문가 "AI로 취약점 사전 점검…연결기기 제조사 책임 강화해야"

한국 역시 사이버 공격이 실제 산업 현장의 운영 차질로 이어지는 상황에 대비해 취약점 관리와 침해사고 대응 역량을 강화해야 한다는 지적이 나온다.

국내 보안 전문가들은 기업들도 고성능 AI를 보안에 활용하는 미국 빅테크의 대응 방식을 참고할 필요가 있다고 조언했다.

AI가 공격 수단으로 활용되는 만큼 방어적 측면에서도 취약점을 미리 찾아 보완하고, 내부망에 접속한 사용자나 기기를 무조건 신뢰하지 않는 보안 체계를 적용해야 한다는 것이다.

보안업계에서는 외부에 노출된 서비스와 내부망 접근 경로를 함께 점검해야 한다는 분석도 나온다.

안랩[053800]은 외부에 노출된 미사용 서비스를 줄이고 취약점을 신속히 보완하는 기본 조치와 함께 단말·네트워크·인증 기록을 연계해 공격 흐름을 조기에 파악하는 대응이 필요하다고 밝혔다.

위정현 학장은 전기차와 로봇청소기, 서빙로봇 등 연결형 기기에 대해서는 이용자가 정보 수집·전송 방식에 의구심을 갖고 제조사 책임도 강화해야 한다고 제언했다.

그는 "개인도 경각심을 갖고 자신의 정보가 외부로 흘러갈 가능성을 생각하고 제품을 선택할 필요가 있다"고 강조했다.

gogo213@yna.co.kr

제보는 카카오톡 okjebo <저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지> 2026년10월27일 06시14분 송고