퍼펙트 웨폰

핵보다 파괴적인 사이버 무기와 미국의 새로운 전쟁

데이비드 E. 생어 지음 | 정혜윤 옮김

미래의창 2019년 08월 30일 출간 종이책 : 2019년 09월 02일 출간

작품소개

책소개

“오직 핵무기를 가진 나라만이 미국에 위협이 될까?”
이제 펜타곤은 거의 70년을 이어온 그 생각에 의문을 제기하고 있다.

이보다 더 완벽한 무기는 없다
미국 대선캠프 이메일 유출, 이란의 핵무기시설 교란, 북한 미사일 발사 방해, 우크라이나 대정전, 소니영화사 해킹사건, 화웨이발 신(新)냉전, 중국의 61398부대, 이터널 블루, 워너크라이, 페이스북 가짜뉴스와 푸틴의 댓글부대, 글로벌 사이버전의 새로운 강자로 떠오른 북한…….
핵무기 이후, 글로벌 지정학을 이토록 크게 흔든 무기는 없었다. 사이버 무기는 값싸고, 발뺌하기 쉬우며, 갖가지 사악한 용도로 쓰기에 안성맞춤이다. 한 나라의 기간산업을 무너뜨릴 수도 있고 사회 내의 불신과 갈등을 조장하기도 한다. 민주국가의 지도자와 독재자, 테러리스트가 공히 쓰는 무기이기도 하다. 사이버 전쟁에서 강대국과 약소국의 구분은 무의미하다. 끊임없는 전쟁과 혼란, 공포는 그 누구도 예외를 두지 않는다. 국가와 기업, 개인 모두가 지금 사이버 무기의 타겟이다.

▶ 21세기에 접어들면서 전쟁과 평화 상태의 구분이 점점 모호해지고 있다. 이제 전쟁은 선전포고도 없이 시작되며 완전히 낯선 방식으로 치러진다. - 발레리 게라시모프 러시아 연방군 총참모장

▶ 미국 대기업에는 두 부류가 있다. 중국에 해킹을 당한 기업과 아직 해킹 사실을 알아차리지 못한 기업.
- 제임스 코미 연방수사국 국장

▶ 나는 러시아가 선거에 개입하지 않았다고 말한 적이 없다. “러시아일 수도, 중국일 수도, 다른 나라나 단체의 소행일 수도 있고, 온종일 침대에 앉아 자판을 두드리는 몸무게가 200킬로그램쯤 되는 천재일 수도 있다”고 했지. - 도널드 트럼프 대통령 트위터

▶ 북한은 이상하고 부조리하고 전근대적인 나라이긴 하지만 고도로 발달된 측면이 있는 곳인데도 사람들은 그들의 사이버 공격 능력을 심각하게 받아들이지 않는다. 그처럼 후진적이고 고립된 나라가 과연 이런 능력을 가질 수 있을지 의구심을 품는다. 그렇다면 그처럼 후진적이고 고립된 나라가 핵무기 제조 능력은 대체 어떻게 가질 수 있었을까? - 로버트 해니건 영국 정보통신부 국장

목차

머리말 006
서문 024
1. 원죄 033
2. 판도라의 상자 077
3. 100달러짜리 습격 103
4. 중간 개입자 137
5. 중국식 게임의 법칙 167
6. 김정은의 반격 199
7. 푸틴의 시험대 237
8. 헛발질 265
9. 코츠월드의 경고 299
10. 뒤늦은 깨달음 329
11. 실리콘밸리에 닥친 세 차례의 위기 365
12. 발사의 왼편 405
13. 결산 441
에필로그 473
감사의 말 493
주 500

책 속으로

핵무기는 전쟁에서 압도적인 승리를 거두기 위한 목적으로 만들어진 무기다. 따라서 ‘상호확증파괴’ 전략이 핵전쟁을 억지할 수 있었다. 양측 모두 자기 나라가 끔찍하게 파괴될 수 있음을 알았기 때문이다. 그러나 사이버 무기는 엄청난 물리적 파괴력을 지닌 것에서부터 심리적 조작에 이르기까지 그 종류가 매우 다양하다. 최근까지도 미국은 가장 파괴적인 종류의 사이버 무기에 집착했다. 이를테면 나라 전체의 전기를 끊어놓거나 핵 명령ㆍ통제 시스템에 개입할 수 있는 무기에 초점을 맞추었다. 물론 그런 위험도 없지는 않다. 그러나 그것은 극단적인 시나리오이고, 차라리 방어하기가 더 쉬운 종류인지도 모른다. 오늘날 훨씬 더 흔히 볼 수 있는 종류의 공격은, 민간 시설을 목표로 삼아 보다 구체적인 임무를 수행하는 것이다. 사우디아라비아 석유 화학 공장의 작동을 멈추게 한다든지, 독일의 제철 공장을 마비시킨다든지, 애틀랜타 시나 키예프 시의 컴퓨터 시스템을 마비시킨다든지, 미국이나 프랑스나 독일의 선거 결과를 조작하겠다고 위협하는 식으로 말이다. 이와 같은 ‘저강도’ 사이버 무기는 이제 많은 나라들이 일상적으로 사용하고 있다. 적을 파괴하려는 목적보다는, 주로 적을 좌절시키고 방해하고 적의 제도를 약화시키고 적국의 시민들을 분노케 하거나 혼란스럽게 만들려는 목적에서다. 그리고 언제나 그 공격의 강도는 보복을 불러오기에는 약간 못 미치는 정도로 이루어진다. - 15P

사실 화웨이에 관한 미국인들의 걱정은 일리 있는 것이었다. 중국만큼 미국 네트워크 깊숙이 들어가려는 노력을 기울인 나라도 없는 탓이다. “중국은 다른 나라들 전부를 합친 것보다도 사이버 첩보활동을 더 많이 하는 나라다.” 샷자이언트에 대한 조사가 한창 진행 중일 때 사이버 전문가 제임스 루이스가 나에게 한 말이다. “이제 더 이상 중국이 어느 산업을 해킹하고 있느냐가 문제가 아니다. 중국의 해킹에서 자유로운 산업은 없다.”따라서 화웨이가 우려의 대상이 되는 것은 자연스러운 일이었다. 정부가 전권을 휘두르는 권위주의 국가의 기업이라면 정부가 요구하는 어떤 데이터도 다 넘길 것이기 때문이다. - 124P

김정은은 자기만의 왕국에서 빈털터리로 살고 있었지만, 2014년에는 새롭게 국력을 키워나갈 가능성을 제대로 파악하고 있었다. 사이버 무기가 엄청나게 저렴하고 평등한 도구라는 것을 간파한 것이다. 심지어 이 무기는 자신의 나라 밖에서 쏠 수도 있었다. 핵무기와는 달리 북한의 가장 큰 적인 미국을 상대로 사용하면서도 50분 뒤에 자기네 영토가 방사성 잿더미가 될 걱정을 할 필요도 없었다. 김정은은 북한의 악의적인 사이버 행동에 대해서 추가적인 경제 제재를 가하겠다는 미국의 위협이 사실상 빈말에 가깝다는 것을 알아챘다. 요컨대 사이버 무기는 북한의 상황에 최적화된 무기였다. 애초에 국제 사회에서 고립되어 있는 나라이므로 잃을 것이 별로 없었고, 연료가 극도로 부족한 탓에 강국들과 싸워나갈 다른 뾰족한 방법이 없었으며, 기반시설도 미미하기 짝이 없어서 치명적인 보복 공격을 염려할 필요도 없었기 때문이다. - 216P

오바마 후보가 대통령으로 당선되기 직전인 2008년 어느 가을날, 포트미드의 플렁킷 팀은 펜타곤의 비밀 네트워크 안에 러시아 해커들이 들어와 있는 것을 발견했다. 이것은 시퍼넷(SIPRNet: Secret Internet Protocol Router Network)이라는 이름의 국방부 네트워크 방어벽에 구멍이 뚫렸다는 뜻이었다. 국방부로서는 처음 당하는 일이었다. 시퍼넷은 단순한 내부 통신망이 아니라 그보다 훨씬 더 중요한 시스템이다. 군과 백악관 고위급 관료 그리고 모든 정보기관을 연결하는 통신망이기 때문이다. 요컨대, 만약 러시아 정보 요원들이 그 통신망에 들어와 있다면 중요한 모든 정보에 다 접근할 수 있는 상태라는 말이다. 플렁킷은 곧장 당시 국가안보국 국장 키스 알렉산더에게 달려갔고, 그 즉시 러시아 측이 어떻게 방어벽을 뚫고 들어왔는지 알아내기 위한 조사가 긴박하게 진행되었다. 그 결과 매우 충격적인 사실이 밝혀졌다. 그들은 중동 지역에 있는 미군기지 내의 주차장과 공공장소 여기저기에 이동식저장장치(USB) 드라이브를 놓아두었다. 누군가 그중 하나를 주워서 시퍼넷과 연결된 노트북에 그 드라이브를 꽂는 순간 러시아 해커들이 네트워크 안으로 들어오게 된 것이다. 플렁킷의 팀이 이 사실을 발견했을 때는 미 중부사령부를 비롯하여 다른 곳까지 버그가 다 퍼진 상태였고, 데이터는 마구잡이로 복사되어 러시아로 보내지고 있었다. - 29P

그가 저 멀리 우크라이나에서 펼쳐진 사이버 공격의 의미를 이해하느라 분투하는 동안 러시아에서는 이미 세 단계의 사이버 공격에 골몰하고 있었다. 첫 번째 단계는 미국의 수도 및 전력 시스템만이 아니라 원전 시설에까지 악성코드를 심어두는 것이었다. 나중에 자기들이 원하는 시점에 이들 시설의 작동을 방해하거나 멈추게 만들기 위해서였다. 두 번째 단계는 민주당 전국위원회를 공격하는 일이었다. 나중에 정보 당국은 일련의 공격들이 블라디미르 푸틴이 직접 지시한 것이라고 결론지었는데, 민주당 전국위원회가 최초의 희생양이었다. 세 번째 단계에서는 미국 혁신의 심장부인 실리콘밸리를 조준했다. 10년 동안 페이스북, 애플, 구글의 경영진들은 자신들에게 수십억 달러를 벌어다준 기술이 민주주의의 전파 속도마저 앞당길 것이라고 확신해왔다. 그러나 푸틴은 이 가정이 틀렸음을 증명했다. 그는 같은 도구를, 민주주의를 망가뜨리고 자신의 권력을 확장하는 데 사용할 수 있음을 보여주었다. - 29P

올림픽 게임 작전은 이란의 핵개발을 방해하는 데 몰두한 이스라엘이 전쟁을 일으키는 것을 막을 단 하나의 방법이었다. 하지만 핵시설에 악성코드를 심는 것이 그리 쉬운 일은 아니었다. 나탄즈의 컴퓨터 시스템은 외부와의 인터넷 연결이 완전히 차단된 ‘에어 갭(airgap)’ 시스템이었기 때문이다. 중앙정보국과 이스라엘은 알게 모르게이란 엔지니어들을 조력자로 삼아 다수의 이동식저장장치 드라이브에 악성코드를 슬쩍 심어 넣었다. 문제가 없었던 것은 아니었지만 몇 년 동안 이 계획은 대체로 제대로 굴러갔다. 이란의 핵 시설 관련자들은 일부 원심분리기의 속도가 어째서 빨라졌다 느려지기를 반복하다가 결국에는 저절로 망가져 버리는지 어리둥절했다. 공포에 빠진 그들은 나머지 원심분리기가 손상되기 전에 모든 작동을 중지시키고 의심스러운 엔지니어들을 해고하기 시작했다. - 54P

러시아 경제 잡지 《RBC》의 조사에 따르면, 댓글부대는 2015년 중반에 (소셜 미디어에 개입하는 방법을 완전히 통달한 뒤에) 새로운 전술을 시험했다. 미국에서 생중계 행사를 조직하는 것이었다. 그들은 상트페테르부르크에 기반을 둔 페이스북 계정으로 미국인인 척 가장하여 뉴욕에서 무료 핫도그 행사를 연다고 글을 올렸다. 물론 상트페테르부르크의 댓글부대는 약속한 음식을 내놓지 않았다. 그저 타임스퀘어에 설치된 공유 웹캠을 통해서, 공짜 핫도그를 먹기 위해 모인 뉴욕 시민들의 모습을 지켜보았다. 이를 통해 그들은 러시아에 있는 컴퓨터 화면으로 물리적 세상을 마음대로 지휘할 수 있음을 확신했다. 언뜻 하찮아 보이는 이 작은 실험의 성공은 곧 그보다 훨씬 더 큰 영역으로, 즉 그때까지 러시아가 학습한 ‘경합주’의 정치 집회에서 경쟁 집단들 간에 충돌이 일어나도록 부추기는 영역으로 발전해나갔다. 《RBC》 기사에는 다음과 같이 쓰여 있었다. “미국 대통령 선거가 실시되기 1년 반 전부터 ‘댓글부대’가 미국 사회에서 본격적인 암약을 시작했다.” - 287P

결국 푸틴에게 어떤 제재도 이루어지지 않은 채 선거가 치러지고 종료됐다. 투표와 관련된 의심스러운 사이버 염탐의 증거가 거의 드러나지 않았으며 어쩌면 해킹이 아예 일어나지 않았거나 설령 일어났다고 해도 그것이 러시아 소행은 아닐 것이라고 주장하는 후보자가 대통령으로 당선됐다. 그리고 러시아를 압박하기 위해 내린 결정들은 모두 재검토 대상이 되었다. 한 고위 관계자는 “힐러리 후보가 선거에 이길 것이므로 다음 정부에서 대처 방안을 논의하면 된다는 생각이었다. 갑자기 우리는 절대 되돌릴 수 없는 방안을 생각해내야만 했다”고 말했다. - 355P

출판사 서평

‘발사의 왼편’에서 ‘올림픽 게임 작전’까지
2016년 북한은 자체 기술로 개발했다고 자랑하는 무수단 미사일을 자랑스럽게 쏘아 올렸지만 수차례 불발에 그치고 말았다. 사정거리가 미국령 괌에 이르는 것으로 알려진 북한의 이 자랑거리는 발사대에서 폭발하거나 조금 올라가다가 공중에서 폭발하는 등 번번이 북한에 수모를 안겼다. 도무지 알 수 없는 노릇이었다. 하지만 미국 국방부는 발사하자마자 그 추락을 알리는 뉴스를 속보로 내보냈다. 마치 그럴 줄 알았다는 듯이. 어느 누구도 실패 원인에 대해 공식적으로 말하지 않았지만 저자는 ‘발사의 왼편’을 의심한다. 이는 미사일 발사 자체를 ‘선제’적으로 방해하는 사이버 공격 프로그램 이름이다. 이렇게 미국은 앞선 사이버 기술을 이용해 북한을 억제할 수 있었지만, 오래지않아 김정은은 문제를 해결했다. 그리고 그의 반격이 시작되었다.
북한의 사이버 부대는 이미 세계 수준급이다. 암호화폐 거래소를 공격해 비트코인을 비롯한 암호화폐를 해킹하고, 미국 정부와 대기업 깊숙이 침투해 고급정보를 빼오거나, 대한민국 금융기관의 온라인 거래를 일시 정지시키는 가공할 위력을 뽐내기도 한다. 김정은을 희화화한 영화의 제작자를 응징하고 그 배급을 막기 위해 소니 영화사에 대한 대대적인 사이버 공격이 벌어지자 모두들 그 배후로 북한을 지목한 것은 당연했다.
오늘날 사이버 무기를 마음껏 활용하는 대표적인 국가는 러시아와 북한, 중국 그리고 이란이다. 중국 상하이 허름한 건물에서 하루 종일 컴퓨터와 씨름하는 흰색 셔츠의 남자들은 일명 61398부대 소속인 것으로 알려져 있다. 중국의 공식 군 조직 어디에도 속하지 않은 이 별동대는 미국의 대기업과 정부기관의 컴퓨터 시스템 내부를 거의 제집처럼 들락거린다. 한편, 이란은 미국의 스턱스넷 공격으로 핵시설의 가동이 멈춘 과거가 있기에 미국과의 사이버 대전에 결사적이다. 이란은 북한과 협력 관계인 것으로 보인다.
한편, 러시아와 미국은 새로운 사이버 냉전 상태에 돌입했다. 사이버 무기는 오래 전부터 푸틴이 가장 즐겨 사용하는 무기였다. 이런 푸틴에게 글로벌 네트워크를 자랑하는 페이스북과 구글은 너무나 반가운 선물이 아닐 수 없다. 구글과 페이스북의 모든 기술원칙과 알고리즘, 사용자 행태를 꿰고 있는 러시아 사이버부대는 푸틴의 명령에 따라 미국 선거 캠프를 휘저으며 후보자들의 정보를 빼오고, 페이스북에 버젓이 가짜뉴스를 올리며, 엄청난 댓글작업을 통해 선거를 교란시킨다. 그 결과가 트럼프의 승리로 이어졌는지에 대해서는 심증만 있고 물증은 없는 상태에서 계속 논란이 이어지고 있다.
그렇다면 미국은 왜 맞대응을 하지 않는 걸까? 미국은 북한 미사일 발사를 방해한 ‘발사의 왼편’, 이란의 핵시설을 멈추게 한 ‘올림픽 게임 작전’에 대해 한 번도 시인한 적이 없다. 맞대응을 하고 공격을 시인하는 순간 미국의 사이버 전력이 노출되고 오히려 역공을 당할 가능성이 있음을 걱정하는 것일 수도 있다. 아무튼 오바마 정부를 비롯해 미국의 역대 정부는 누구나 다 아는 미국의 사이버 공격을 한 번도 공식 시인한 적이 없으며 이를 철저히 기밀에 부치고 있다. 저자는 이런 전략이 언제까지 유효할지에 대해 의문을 제기한다. 저자는 이란 핵시설에 대한 미국의 사이버 공격인 ‘올림픽 게임 작전’을 집요하게 취재하고 정부의 끈질긴 방해에도 불구하고 〈뉴욕타임스〉 특집 기사를 통해 그 전모를 공개해 큰 파장을 불러온 인물이다. 그 과정에서 미국 정부는 국가 기밀을 유출했다는 이유로 저자와 인터뷰한 정부 인사를 기소하기도 했다.

개인과 기업, 정부를 가리지 않는 무차별 공격
사이버 전쟁은 나라만의 대결구도에서 그치지 않는다. 거대 IT 기업은 이제 개인정보 보호를 놓고 정부와 힘겨루기를 하고 있다. 미국 정부는 구글과 애플, 페이스북에 대놓고 개인정보를 내놓을 것을 요구했으나 모두 거절당했다. 미 국가안보국의 무차별적인 개인정보 수집을 폭로한 스노든 스캔들 이후, 사용자들은 개인정보 보호에 매우 민감해졌고 휴대폰 제조사와 네트워크 기업들은 정부보다 소비자들의 요구를 들어주는 쪽을 택했다. 테러리스트 용의자를 검거하기 위해 미국 정부가 요청한 휴대폰 잠금 해제 기술을 끝내 내어주지 않은 애플의 팀 쿡은 소비자들의 신뢰를 얻었다. (미국 정부는 모처에 130만 달러를 주고 결국 잠금해제에 성공했다. 그러나 그 ‘모처’가 어디인지는 끝내 밝히지 않았다. - 본문 165P)
반면 페이스북의 창업자 마크 저커버그는 자신이 하버드 대학 기숙사에서 새로운 소셜 서비스를 만들 때는 상상도 못했던 어려움에 봉착했다. 자신의 서비스가 공정한 선거와 궁극적으로 올바른 민주주의의 실현을 방해한다는 비난에 직면한 것이다. 그는 난생 처음 양복을 차려입고 의회 청문회 앞에 서야 했다. 그는 날카로운 예상 질문에 대한 답을 철저히 준비해서 나갔으나 IT 기술과 SNS 생태를 1도 모르는 의원들은 엉뚱한 질문만 해대는 바람에 저커버그는 웃음을 보이지 않기 위해 안간힘을 써야 하는 지경에 이르렀다. 의회를 피했다고 해서 페이스북의 고민이 줄어드는 것은 아니다. 한때 ‘아랍의 봄’을 실현한 기적의 미디어로 칭송받던 페이스북이 이제 독재자와 정부 전복자들이 가장 선호하는 무기로 돌변한 것이다. 푸틴의 댓글부대는 이미 페이스북의 작은 영토를 차지하고 있으며, 페이스북은 본의 아니게 민주주의를 위협하는 거대한 소용돌이의 한복판에 서게 되었다.
전세계의 개인들과 기업 그리고 정부기관들이 서로 긴밀하게 연결되어 있는 상황에서 사이버 공격은 핵 공격에 버금가는 위력을 행사할 수 있다. 사회 인프라를 먹통으로 만드는 것만으로도 충분히 공격적이다. 또한 공정한 사회질서를 교란시킴으로써 서서히 사회 내의 신뢰를 저하시키고 끊임없는 공포와 증오를 야기시킨다.
푸틴의 사이버 공격으로 인한 우크라이나 대 정전, 미국 대선캠프의 이메일 유출, 국가 기간시설의 가동을 멈추게 하는 악성코드 공격, SNS를 통한 유언비어와 가짜뉴스 범람, 이 모든 유형의 사이버 공격은 지금 이 순간에도 벌어지고 있다. 사이버 무기는 개인과 기업, 정부, 약소국과 강대국, 민주국가와 독재국가를 가리지 않고 누구나 마음만 먹으면 손에 넣을 수 있는 평등한 도구가 되었다. 이 새로운 무기가 불러오는 가공할 파괴력은 지금 시작일 뿐이다.

작가정보

저자(글) 데이비드 E. 생어

(David E. Sanger)
하버드대를 졸업한 데이비드 생어는 근 30년 동안《뉴욕 타임스》의 워싱턴 특파원을 지내며 외교안보, 세계화, 핵문제, 백악관에 대한 기사를 쓰고 있다. 미국의 국방과 외교, 특히 핵과 사이버 무기에 대한 집요한 취재로 유명한 그는 자신이 취재한 결과를《The Inheritance(오바마의 유산)와《Confront and Conceal(대결과 은폐)》두 책에 담았으며, 모두 베스트셀러가 되었다. 생어가 속한 보도 팀은 2017년 국제보도 등을 포함해서 세 차례 퓰리처상을 수상했으며 국가 안보와 외교 정책에 대한 심층 보도로 다수의 상을 수상했다. CNN에 정기 출연하고 있으며 하버드 케네디 스쿨에서 국가안보 정책 강의를 하고 있다.

번역 정혜윤

이화여자대학교에서 영어영문학을, 서울대학교 대학원에서 정치학을 공부했다. 지금은 미국 뉴욕 주 롱아일랜드에 거주하며 전문 번역가로 활동한다. 《예정된 전쟁》, 《전문가와 강적들》, 《작가의 책》, 《지금, 호메로스를 읽어야 하는 이유》, 《나는 당당한 페미니스트로 살기로 했다》를 우리말로 옮겼다.