APT35: 이란의 미사일 공격 전 사이버 정찰

미사일 공격의 기반으로서 사이버 스파이 활동: 이란 APT35 사례

요약: 이란 해킹 그룹 APT35는 2026년 2월 미사일 공격에 앞서 중동 지역 인프라에 대한 장기적인 디지털 정찰을 수행했다. 이는 군사 작전에서 목표물 선정을 위한 사이버 작전의 전략적 통합을 보여주는 사례다.

디지털 표적 준비의 단계

2026년 2월 28일, 이란이 미국과 이스라엘의 작전 '에픽 퓨리(Epic Fury)'에 대응해 사우디아라비아, UAE, 쿠웨이트, 이스라엘 등 지역 7개국을 상대로 대규모 미사일 및 드론 공격을 감행하기 직전, APT35 소속 해커들은 핵심 시스템을 체계적으로 침투했다. 요르단 민간항공 데이터, 두바이 내부 네트워크, 사우디 정부 문서 접근을 통해 잠재적 타격 목표에 대한 정보를 수집했으며, 이를 통해 방어력을 약화시키고 실제 공격 좌표를 정교하게 조정할 수 있었다.

이러한 전술은 전통적인 첩보 활동에 제한된 자원을 가진 이란의 현실에서 비롯됐다. 인간 요원을 위험에 빠뜨리지 않고도 저비용·고효율로 인프라를 지속 감시할 수 있는 디지털 방법이 선택된 것이다. 그 결과 사우디아라비아 에너지 및 물류 부문에서 샤무니(Shamoon) 악성코드가 1만 5천 대의 워크스테이션을 파괴하며 공급망과 방위 협조 체계를 마비시켰다.

APT35와 이란 국가 기구의 연계

APT35는 이란 이슬람혁명수비대(IRGC) 산하 정보 부문과 연결되어 있다. 유출 정보 분석을 통해 기존에는 독립적 존재로 여겨졌던 모세스-스태프(Moses-Staff), 알카삼 사이버 전사단(Al-Qassam Cyber Fighters) 등 다른 그룹들과의 협력 관계가 확인됐다. 자금 출처가 동일한 점은 테헤란이 사이버 전쟁을 중앙집중식으로 운영하고 있음을 시사한다.

• 정찰: 항공, 에너지, 정부 등 주요 인프라에 대한 장기 모니터링
• 방해: 실제 무력 공격 이전에 물류 및 산업 시스템 공격
• 통합: 미사일 발사와의 시간적·전술적 연계를 통한 최대 효과 도모
• 확장: 사전에 파악된 취약점을 활용해 7개국에 걸쳐 동시 다발 공격 실행

이러한 모델은 과거 사이버 공격이 단순히 주의 분산용으로 사용되던 사례에서 진화해, 이제는 실질적인 전투 작전의 한 단계로 자리잡고 있다.

지역 안보에 미치는 영향

사이버 공격과 실제 무력 공격의 융합은 중동 지역의 갈등 구도를 근본적으로 변화시키고 있다. 각국은 군사 자산만큼이나 디지털 인프라를 철저히 보호해야 하는 새로운 과제에 직면했다. 사우디아라비아와 UAE는 이후 네트워크 세분화 및 트래픽 모니터링을 강화했지만, 핵심 시스템의 완전한 격리는 여전히 어려운 과제로 남아 있다.

산업적 영향 또한 명확하다. 에너지 및 물류 인프라가 주요 타깃이 되며 글로벌 사이버 보안 투자 규모가 증가하고 있다. 전문가들은 이러한 사이버 정찰 덕분에 실제 공격 준비 기간이 수개월에서 수주로 단축될 수 있으며, 이는 갈등의 예측 불가능성을 더욱 높인다고 분석한다.

핵심 요약

• APT35의 사이버 스파이 활동은 7개국에 걸친 미사일 공격 이전에 정밀 타격을 가능하게 했다.
• 샤무니 악성코드는 사우디 에너지 기업의 1만 5천 대 워크스테이션을 파괴하며 방어 준비 상태를 약화시켰다.
• IRGC 및 관련 그룹과의 연계는 국가 차원의 전략적 조율을 의미한다.
• '디지털 우선 + 미사일' 전술은 하이브리드 전쟁의 새로운 표준으로 자리잡고 있다.
• 지역 방어력은 강화되고 있으나, 민간 인프라는 여전히 취약하다.

— Editorial Team