싱가포르, 대규모 사이버 공격에 직면…중국 연계 간첩 조직 UNC3886, 핵심 인프라 겨냥

싱가포르, 핵심 인프라에 전례 없는 사이버 위협 직면

전문가들이 중국과 연계된 것으로 보는 정교한 간첩 조직 UNC3886이 도시국가 싱가포르의 핵심 인프라를 겨냥하면서, 싱가포르는 현재 가장 심각한 사이버보안 위기 중 하나에 직면해 있다. 당국이 심각하고 지속적인 공격이라고 묘사한 이번 공격은 정부와 산업계, 시민사회 전반에 경각심을 불러일으켰으며, 갈수록 디지털화되는 세상에서 고도화된 사이버 위협 세력이 초래하는 위험이 커지고 있음을 보여준다.

K. 샨무감 국가안보조정장관은 UNC3886이 싱가포르 국가안보에 중대한 위협이 된다고 공개적으로 밝혔다. 그는 이 조직의 활동이 필수 서비스를 약화시키고 수백만 명의 일상을 방해할 수 있다고 경고했다. 보안상의 이유로 공격에 관한 구체적인 내용은 기밀로 남아 있지만, 정부가 이례적으로 조직의 이름을 공개한 것은 상황의 심각성과 동남아시아에서 변화하는 사이버전 양상을 보여준다.

UNC3886은 누구인가? 공격 배후의 간첩 조직 이해하기

UNC3886은 지능형 지속 위협(APT) 행위자다. 사이버보안 분야에서 APT는 장기간 은밀한 사이버 작전을 수행하는 고도의 기술력과 풍부한 자원을 갖춘 조직을 가리킨다. 사이버보안 업체 맨디언트가 2022년 처음 포착한 UNC3886은 기술적 정교함과 미국 및 아시아 전역의 국방·기술·통신 분야 고가치 표적에 집중하는 활동으로 빠르게 악명을 얻었다.

‘UNC’는 ‘미분류’ 또는 ‘미확인’을 뜻하며, 이 조직의 활동이 잘 기록돼 있지만 아직 알려진 국가 단위 해킹 조직으로 공식 분류되지 않았음을 나타낸다. 그러나 맨디언트와 다른 사이버보안 전문가들은 작전 양상과 표적 선정, 기술적 지표를 근거로 UNC3886을 지속적으로 중국과 연계해 왔다.

UNC3886은 인내심과 적응력, 고도화된 기술 활용으로 알려져 있다. 이 조직은 소프트웨어나 하드웨어의 보안 결함 가운데 공급업체가 알지 못하고 패치도 없는 이른바 제로데이 취약점을 악용하는 데 특화돼 있다. 주니퍼 네트웍스, 포티넷, VMware 등의 라우터·방화벽·가상화 플랫폼 같은 네트워크 장비를 노려 네트워크에 침투하고 맞춤형 악성코드를 심은 뒤 장기간 탐지되지 않은 채 머물 수 있다. 이를 통해 민감한 정보를 탈취하고 통신을 감시하며 필수 서비스를 교란할 가능성도 있다.

지능형 지속 위협(APT)은 어떻게 활동하나?

UNC3886과 같은 APT는 다음과 같은 몇 가지 측면에서 일반적인 사이버 범죄자와 다르다.

• 장기적인 접근 권한: APT는 표적 시스템에 수개월, 때로는 수년간 무단 접근을 확보하고 유지하려 하며, 이 과정에서 탐지되지 않는 경우가 많다.
• 은폐와 탐지 회피: 맞춤형 악성코드와 피해자 시스템에 이미 설치된 정당한 도구, 정교한 기법을 활용해 보안 소프트웨어의 탐지를 피한다.
• 전략적 표적 선정: 빠른 금전적 이득을 노리기보다 정보 수집과 간첩 활동, 핵심 인프라 교란 또는 파괴 능력 확보에 집중한다.
• 제로데이 취약점 악용: 이전에 알려지지 않은 취약점을 악용해 최신 보안 방어 체계도 우회할 수 있다.

UNC3886의 작전은 이러한 특징을 잘 보여주며, 사이버 대응 역량이 뛰어난 국가에도 강력한 위협이 되고 있다.

싱가포르의 핵심 인프라: 무엇이 위태로운가?

싱가포르의 핵심정보인프라(CII)는 국가 필수 서비스의 근간을 이룬다. 정부가 공식 지정한 CII 분야는 다음 11개를 포함한다.

• 에너지
• 수자원
• 은행 및 금융
• 보건의료
• 교통(육상·해상·항공)
• 정부
• 정보통신
• 미디어
• 보안 및 긴급 서비스

이들 분야 가운데 어느 한 곳에서든 서비스가 중단되면 사회와 경제 전반에 연쇄적인 영향을 미칠 수 있다. 예를 들어 전력망에 대한 공격이 성공하면 전력 공급이 중단돼 병원과 교통 시스템, 금융기관이 타격을 입을 수 있다. 마찬가지로 보건의료 또는 정부 데이터베이스가 침해되면 민감한 개인정보가 유출될 수 있다. 2018년 싱헬스 데이터 유출 사건에서는 당시 총리를 포함해 환자 150만 명의 정보가 영향을 받았다.

샨무감 장관은 이러한 공격이 광범위한 혼란을 일으킬 가능성을 강조했다.

우리 시스템과 인프라에 대한 공격은 우리가 사업을 하는 방식, 거래할 공급업체, 공급망에 영향을 미칠 것입니다. 이 모든 것을 다시 검토해야 하며, 신뢰할 수 없다고 판단하면 이용하지 않기로 할 수도 있습니다.

사이버 공격은 즉각적인 서비스 중단을 넘어 대중의 신뢰를 약화시키고, 글로벌 비즈니스 허브로서 싱가포르의 평판을 훼손하며, 전략 정보 탈취나 공공 서비스 파괴의 기회를 만들 수 있다.

기술적 분석: UNC3886의 침투와 잠복 방식

UNC3886의 작전 방식은 네트워크 내부 구조에 대한 깊은 이해와 은밀성에 초점을 맞춘 것이 특징이다. 이 조직은 널리 사용되는 네트워크 장비와 가상화 기술의 제로데이 취약점을 악용한 것으로 관측됐다. 예를 들어 2023년에는 포티넷 방화벽 취약점(CVE-2022-41328)을 이용해 맞춤형 백도어를 설치하면서 정부 기관을 표적으로 삼았다. 2025년 3월에는 주니퍼 네트웍스의 Junos OS 라우터를 겨냥한 공격을 벌여 시스템 로그를 변조하고 최초 탐지 이후에도 지속적으로 잠복하는 기술을 보여줬다.

네트워크에 침투한 UNC3886은 경보를 울리지 않고 원격 접근을 허용하는 악성 소프트웨어인 수동형 백도어를 심는 경우가 많다. 피해자 시스템에 이미 설치된 정상적인 관리 도구를 능숙하게 활용해 활동이 일반적인 운영에 섞여 보이게 하기도 한다. ‘리빙 오프 더 랜드’로 불리는 이러한 방식은 탐지와 제거를 어렵게 한다.

사이버보안 업체 테너블의 선임 연구원인 사트남 나라ン은 다음과 같이 설명했다.

UNC3886과 같은 APT 조직은 인내심이 강하고 적응력이 뛰어나며 고도의 기술을 갖추고 있습니다. 가상화 플랫폼과 방화벽, 라우터의 제로데이 취약점을 악용해 시스템에 침투하고 악성코드와 루트킷을 심으며, 자격 증명을 탈취하고 탐지가 어려운 방식으로 네트워크 내에서 이동합니다.

싱가포르 사이버보안청(CSA)은 UNC3886의 활동이 자국 CII 일부에서 탐지됐으며, 해당 기관이 피해 조직과 함께 조사와 모니터링을 진행하고 위협 정보를 공유하고 있다고 밝혔다.

싱가포르의 대응: 정부 조치와 산업계 공조

싱가포르 정부는 긴급성과 투명성을 갖고 위협에 대응하고 있다. 사이버보안청은 관련 당국과 함께 CII 운영 주체들과 긴밀히 협력해 공격을 억제하고 취약점을 평가하며 방어 체계를 강화하고 있다. 당국은 침해의 전체 범위나 결과를 공개하지 않았지만, 상황의 심각성과 지속적인 경계의 필요성을 강조했다.

데이비드 코 사이버보안청장은 싱가포르의 사이버 공간을 지키기 위해 민첩성과 책임감이 중요하다고 강조했다. 싱가포르 조직의 약 80%가 어떤 형태로든 사이버 공격을 경험했다며 위협이 광범위하게 퍼져 있음을 지적했다. 정부는 잠재적으로 침해된 기술에 의존할 경우 시스템 전반에 위험이 생길 수 있다는 점을 고려해 공급업체 신뢰와 공급망 보안 정책도 재검토하고 있다.

싱가포르의 대응에는 다음이 포함된다.

• 분야 전반에 걸친 지속적 모니터링과 위협 정보 공유
• 국제 사이버보안 업체 및 파트너와의 협력
• 정기적인 보안 감사와 사고 대응 훈련
• 사이버 위생 개선을 위한 대중 인식 제고 캠페인

과거의 사건들도 비슷한 대응을 촉발했다. 2014년 외교부 침해 사건, 2017년 현지 대학 공격, 2018년 싱헬스 데이터 유출 사건 등이 대표적이다. 2024년에는 글로벌 봇넷 감염으로 싱가포르 내 기기 2,700대가 영향을 받았지만 CII 침해는 발생하지 않았다. 이러한 경험은 견고하고 적응력 있는 방어 체계와 모든 분야에 걸친 사이버보안 문화의 필요성을 더욱 분명히 했다.

중국의 대응과 지정학적 맥락

중국은 UNC3886에 귀속된 활동을 포함해 사이버 간첩 활동에 관여했다는 의혹을 일관되게 부인해 왔다. 싱가포르 주재 중국대사관은 해당 조직을 중국과 연계한 언론 보도에 강한 불만을 표하며, 중국은 모든 형태의 사이버 공격에 반대하고 국제 해킹 작전의 피해국이기도 하다고 밝혔다.

이러한 부인에도 사이버보안 전문가와 서방 정보기관은 중국 연계 APT 조직이 전 세계 정부와 기업, 핵심 인프라를 표적으로 삼아 온 활동을 오랫동안 기록해 왔다. 최근에는 볼트 타이푼 등 중국과 연계된 다른 조직들도 싱가포르 최대 이동통신사 싱가포르 텔레커뮤니케이션즈(Singtel)를 포함한 싱가포르 기업에 대한 공격에 연루된 것으로 지목됐다.

더 넓은 지정학적 맥락에서는 특히 아시아·태평양 지역에서 사이버 경쟁과 간첩 활동이 심화되고 있다. 싱가포르는 글로벌 기술·금융 허브로 자리매김하면서 전략적 우위와 경제 정보를 얻거나 외교 협상에서 지렛대를 확보하려는 국가 지원 해커들의 매력적인 표적이 되고 있다.

더 큰 파장: 거세지는 사이버전

싱가포르 핵심 인프라에 대한 공격은 단발성 사건이 아니라 전 세계적으로 사이버 갈등이 고조되는 더 큰 흐름의 일부다. 2021년부터 2024년까지 싱가포르를 겨냥한 것으로 추정되는 APT 공격은 네 배 이상 증가했으며, 이는 전 세계적으로 사이버 공격이 늘어나는 양상과 맞닿아 있다. 대만과 일본, 한국, 홍콩 등 역내 다른 국가와 지역도 전략 산업과 공공 서비스를 겨냥한 유사한 공격을 보고했다.

사이버보안은 이제 국가안보와 경제 안정, 대중 신뢰의 핵심 축이다. 디지털 기술이 일상에 더욱 깊이 자리 잡으면서 사이버 공격의 잠재적 영향도 기하급수적으로 커지고 있다. 전력망과 수자원 시스템, 보건의료 네트워크, 금융기관에 대한 공격은 시민의 삶에 즉각적이고 실질적인 영향을 줄 수 있으며, 장기간에 걸친 간첩 활동은 경쟁 우위와 국가 주권을 약화시킬 수 있다.

전문가들은 사이버 공간에서 평화와 분쟁의 경계가 갈수록 흐려지고 있다고 경고한다. 기존 전쟁과 달리 사이버 공격은 익명으로 이뤄지고 순식간에 국경을 넘으며, 단 한 발의 총성 없이 피해를 줄 수 있다. 이 새로운 ‘보이지 않는 전쟁’의 시대에는 새로운 전략과 국제 협력, 회복력 및 대비 태세에 대한 흔들림 없는 관심이 필요하다.

교훈과 향후 과제

싱가포르의 UNC3886 대응 경험은 전 세계 정부와 기업, 개인에게 몇 가지 중요한 교훈을 준다.

• 경계가 필수적이다: 기술적으로 가장 앞선 국가도 정교한 사이버 위협 세력에 취약하다. 지속적인 모니터링과 위협 정보 공유, 신속한 대응이 중요하다.
• 공급망 보안이 중요하다: 널리 쓰이는 제품의 취약점은 대규모로 악용될 수 있으므로 기술 공급업체와 서비스 제공업체에 대한 신뢰를 지속적으로 평가해야 한다.
• 민관 협력이 필요하다: 효과적인 사이버보안을 위해서는 정부 기관과 민간 부문 파트너, 국제 동맹국 간의 공조가 필요하다.
• 사이버 위생과 인식 제고: 정기적인 소프트웨어 업데이트와 강력한 비밀번호, 직원 교육 등 기본적인 보안 관행은 여전히 여러 공격에 맞서는 핵심 방어책이다.
• 서비스 중단에 대비해야 한다: 조직은 견고한 사고 대응 계획을 갖추고 공격을 받는 상황에서도 필수 서비스를 유지할 수 있어야 한다.

싱가포르가 현재의 위협을 계속 조사하고 대응하는 가운데, 이번 사건은 디지털 전환과 사이버 위험의 복잡성에 대처하는 모든 국가에 경종을 울리고 있다.

요약

• 싱가포르는 전문가들이 중국과 연계된 것으로 보는 조직 UNC3886의 주요하고 지속적인 핵심 인프라 사이버 공격에 직면해 있다.
• UNC3886은 제로데이 취약점을 악용하고 고가치 분야를 겨냥하는 것으로 알려진 지능형 지속 위협(APT) 행위자다.
• 이번 공격은 에너지와 수자원, 보건의료, 금융 등 필수 서비스의 취약성을 드러냈으며 광범위한 혼란을 초래할 가능성이 있다.
• 싱가포르 정부는 산업계 및 국제 파트너와 협력해 위협을 억제하고 방어 체계를 강화하는 등 적극적으로 대응하고 있다.
• 중국은 관련성을 부인하고 있지만, 이번 사건은 아시아·태평양 지역에서 사이버전과 간첩 활동이 늘어나는 더 큰 흐름을 보여준다.
• 전문가들은 변화하는 사이버 위협에 맞서 경계와 공급망 보안, 민관 협력, 견고한 대비 태세가 필요하다고 강조한다.