UAE “이란의 물리적 타격과 사이버공격은 한 세트였다”

UAE 정부의 사이버보안 책임자인 모하메드 알 쿠와이티 박사는 2026년 분쟁 당시 UAE의 한 표적을 겨냥한 이란의 미사일 또는 드론 공격이 있을 때마다, 같은 표적을 향한 사이버공격도 뒤따랐다고 밝혔다. 이 주장의 핵심은 단순한 공격량이 아니다. 물리적 타격, 디지털 교란, 공적 정보에 대한 신뢰 훼손을 동시에 노린 하이브리드전이었다는 설명이다. 6

항공·에너지 등 기반시설을 겨냥한 동시 압박

UAE 사이버보안위원회는 전투가 시작된 2월 이후 항공, 에너지, 교육 부문을 상대로 한 조직적 사이버공격을 탐지하고 차단했다고 밝혔다. 2

당국이 언급한 수법에는 네트워크 침투 시도, 랜섬웨어 배포, 국가 플랫폼과 핵심 부문을 겨냥한 체계적 피싱 캠페인이 포함된다. 14 알 쿠와이티 박사는 위협이 데이터 탈취에만 머물지 않는다고도 경고했다. 조작된 콘텐츠와 AI를 활용한 기만은 개인·공동체·필수 서비스에 영향을 주며, 신뢰할 수 있는 정보에 대한 믿음을 흔들 수 있다는 것이다. 5

따라서 네트워크 침입을 차단했다고 해서 위기가 끝나는 것은 아니다. 공격자는 가짜 서사나 조작 영상·이미지를 함께 퍼뜨려 혼란, 공포, 불신을 키우려 할 수 있다.

하루 80만 건과 64만 건, 어떻게 읽어야 하나

보도에 따르면 UAE는 분쟁 정점에 하루 약 80만 건의 사이버공격 시도를 보고했다. 이는 전쟁 전 수준의 약 4배다. 2 별도로 알 쿠와이티 박사는 9월의 한 화요일에 64만 건의 사이버공격이 기록됐다고 밝혔다. 1

다만 이 숫자를 80만 건 또는 64만 건의 침해 성공 사례로 해석해서는 안 된다. 탐지된 적대 행위 또는 공격 시도에는 차단된 탐색 활동, 피싱 시도, 실패한 접근 등도 포함될 수 있다.

IRGC 연루 주장은 UAE 정부의 판단

알 쿠와이티 박사는 이란 이슬람혁명수비대(IRGC)가 UAE를 겨냥한 공격 가운데 “많은” 공격의 배후라며, 이란을 이번 공세의 주요 행위자 중 하나로 지목했다. 1

이는 UAE 당국자의 귀속 판단이다. 공개된 자료만으로는 각 사이버 사건이나 모든 ‘물리 타격-사이버공격’ 연계 사례를 IRGC가 직접 수행했다는 사실이 독립적으로 입증된 것은 아니다. 사이버작전은 제3자를 경유하거나, 공용 도구를 쓰거나, 국가와 연계된 집단이 수행할 수 있어 행위 주체를 개별 사건마다 특정하기가 특히 어렵다.

정부와 민간의 공동 대응이 중요했던 이유

알 쿠와이티 박사는 방어의 핵심을 ‘집단 방어’로 설명한다. 정부 기관과 UAE 국내외 민간 사업자가 위협 정보를 공유하고, 서로 연결된 시스템 전반에서 함께 대응해야 한다는 뜻이다. 그는 사이버보안을 정부만의 일이 아닌 정부·산업계·공동체가 함께 책임져야 할 과제로 강조해 왔다.

항만, 공항, 에너지 설비, 통신망처럼 공공과 민간의 소유·운영·기술 의존성이 얽혀 있는 분야에서는 더욱 그렇다. 한 조직에서 시작된 사고가 다른 기업이나 부문으로 번지기 전에, 신속한 정보 공유와 공조 대응 체계가 필요하다는 것이 실무적 교훈이다.

‘사이버 제네바 협약’이 필요한 이유

알 쿠와이티 박사는 사이버전의 규칙을 마련하고 디지털 자산을 보호하며, 핵심 기반시설에 대한 대규모 사이버공격을 언제 전쟁 행위로 볼지 정하는 **‘사이버 제네바 협약’**을 제안했다. 3

이 제안은 현실적인 법적 공백을 겨냥한다. 민간 서비스를 마비시키는 사이버작전을 당해도 공격 주체를 두고 논란이 남을 수 있고, 대응 작전은 국경을 넘어 비전투원에게 영향을 미칠 가능성이 있다. 더 명확한 국제 규범이 이런 문제를 없애지는 못하더라도, 민간 기반시설 보호·책임성·국가 대응의 기준선에 관한 공통 기대를 만들 수 있다는 취지다.

UAE는 이 같은 규범 논의와 국제 표준화 활동을 병행하고 있다. 국제전기통신연합(ITU)은 2026년 7월 알 쿠와이티 박사를 ITU-T 연구반 17의 아랍 지역 그룹 의장으로 임명했다. 연구반 17은 정보보안 표준화, 사이버보안, 디지털 신원, 프라이버시, 신기술 분야의 국제 표준을 다루는 기구다. UAE는 AI와 신흥 기술의 악용에 대응하기 위한 국제 공조도 공개적으로 지지해 왔다.

CHOSEN BRICK은 UAE 기반시설 공격과 별개 사안

영국 국가사이버보안센터(NCSC), 미국 연방수사국(FBI), 네덜란드 정보기관 AIVD는 별도의 공동 권고문에서 이란 국가 사이버 행위자들이 최소 2025년부터 CHOSEN BRICK 스파이웨어를 반체제 인사, 활동가, 언론인에게 사용해 왔다고 경고했다. 이 악성코드는 연락처, 이메일, 소셜미디어 메시지를 수집할 수 있으며, 표적의 이동 추적에도 악용될 가능성이 있다.

이 캠페인은 왓츠앱과 텔레그램 등을 통한 스피어피싱과 사회공학 기법을 사용했다. NCSC는 이 스파이웨어가 화면 캡처와 메시지 기록을 수집할 수 있다고 밝혔다.

인용된 공개 자료에는 CHOSEN BRICK이 UAE의 기반시설 공격에 사용됐다는 증거는 없다. 이 사례의 의미는 같은 위협 환경 안에서 핵심 시스템을 교란하는 작전과 개인을 표적 감시하는 작전이 함께 존재할 수 있음을 보여주는 데 있다. 두 작전은 임무, 피해자, 기술적 맥락이 다르므로 동일시해서는 안 된다.

AI 국가를 지향하는 UAE가 마주한 과제

UAE가 ‘센테니얼 2071’ 비전 아래 AI 활용 확대를 추진하는 상황에서, 과제는 네트워크 무단 접근을 막는 데 그치지 않는다. 디지털 시스템에 의존하는 신뢰, 통신, 필수 서비스를 함께 지키는 일이 중요해지고 있다.

알 쿠와이티 박사의 ‘동시 타격’ 주장은 물리 보안, 사이버 방어, 위기 소통, 허위정보 대응이 별개로 움직여서는 안 된다는 점을 시사한다. 하이브리드 분쟁에서는 한 층위만 방어해서는 충분하지 않을 수 있다. 65