보이지 않는 적, 부인할 수 없는 위협 — 지정학 사이버 시대의 기업 생존법

2024년, 영국 버밍엄의 한 물류 창고에서 원인 불명의 화재가 났다. 같은 해 발트해 해저에서는 핀란드와 에스토니아를 잇는 광케이블이 끊겼다. 리투아니아의 이케아 매장이 불탔고, 폴란드 페인트 공장이 방화 피해를 입었다. 독일에서는 화물열차가 탈선했고, 덴마크 전력망에 사이버 침입이 있었다. 이 사건들의 공통점은 두 가지다. 러시아가 했다는 법적 증거를 완전히 확정하기 어렵다는 것. 그리고 모든 정황이 러시아를 가리킨다는 것이다.

11배로 늘어난 공격, 달라지지 않는 부인

이것이 그레이존 전쟁이다. 전선이 없다. 선전포고도 없다. 적은 보이지 않는다. 그러나 세계경제포럼(WEF)이 2026년 1월 발표한 글로벌 사이버보안 아웃룩은 이 전쟁을 수치로 드러냈다. 전 세계 기업의 64%가 지정학 연계 사이버 공격을 2026년 최우선 위협으로 공식 분류했다. 러시아가 부인하는 전쟁을 기업들은 이미 인정한 것이다.

전략연구소 CSIS는 2022년부터 러시아의 유럽 내 사보타주 공격 건수를 추적해왔다. 2022년 3건. 2023년 12건. 2024년 34건이었다. 2년 만에 11배다. 유럽 안보 싱크탱크 CEPA가 집계한 수치는 더 길다. 2014년부터 2025년까지 유럽에서 확인된 러시아의 하이브리드 공격은 219건이며, 그 가운데 46%가 2024년 한 해에 집중됐다. 독일 한 나라에서 2025년 공식 집계된 사보타주 사건만 321건이다.

이 공격들은 단순한 사이버 침투가 아니다. 러시아 군 정보기관 GRU가 주도하는 이른바 3축 융합 전술이다. 사이버 공격으로 시스템을 마비시키고, 물리적 사보타주로 인프라를 손상시키며, 허위정보 캠페인으로 사회 신뢰를 침식한다. 세 축이 동시에, 혹은 순차적으로 작동한다. CSIS가 분석한 공격 목표의 분포를 보면 교통 27%, 정부 27%, 에너지·항만 등 핵심 인프라 21%, 방산 21%다. 무기는 폭발물·방화가 35%로 가장 많고, 물리적 절단(해저케이블 등) 27%, 전자 공격 15%가 뒤를 잇는다.

이 전술의 핵심 설계 원리는 하나다. 부인 가능성(plausible deniability)이다. 각각의 공격이 NATO 집단방위 조항(제5조)을 발동시킬 수 있는 임계값 아래에 머물도록 설계한다. 공습이나 지상군 침투는 누가 봐도 전쟁 행위다. 그러나 동유럽 현지 범죄자를 1,000유로에 고용해 창고에 불을 지르거나, 닻을 내린 화물선으로 해저케이블을 끊거나, 랜섬웨어 조직에 비공식 지원을 하는 행위는 법적 귀속을 훨씬 어렵게 만든다.

냉전 시대 KGB의 ‘능동적 조치(active measures)’ — 허위 정보 유포, 정치 공작, 파괴 활동의 조합 — 이 디지털 기술과 결합해 2020년대에 귀환했다. 기술은 달라졌지만 논리는 같다. 선전포고 없이 상대를 소모시키는 것이다.

64, 66, 91 — 기업이 먼저 읽었다

WEF 글로벌 사이버보안 아웃룩 2026이 포착한 기업 세계의 반응은 세 숫자로 요약된다.

64%. 전 세계 기업 중 지정학 연계 사이버 공격을 2026년 최우선 위협 항목으로 분류한 비율이다. 66%는 지정학적 불안 때문에 사이버 보안 전략을 이미 수정했다고 답했다. 임직원 10만 명 이상 대기업으로 범위를 좁히면 수치는 91%로 올라간다. 지정학 리스크를 이유로 보안 전략을 전면 재편했다는 뜻이다.

이 수치가 말하는 것은 하나다. 사이버 보안이 ‘IT 부서의 문제’에서 ‘이사회의 의제’로 자리를 바꿨다는 것이다. 최고정보보호책임자(CISO)가 IT 임원이 아닌 이사회 직보 임원으로 격상되는 흐름이 2026년을 기점으로 가속화하고 있다. 사이버 위협이 단순 기술 투자가 아니라, 지정학 리스크 관리의 한 축으로 재분류되고 있는 것이다.

2007년 러시아가 에스토니아의 인터넷 인프라를 대규모 DDoS(분산 서비스 거부) 공격으로 마비시켰을 때, 그 위협을 이사회 의제로 올린 기업은 거의 없었다. 그 사건은 ‘국가 간 문제’로 분류됐다. 20년이 지난 지금, 기업들은 그것이 처음부터 자신의 문제였음을 이해하기 시작했다. 64%와 91%라는 숫자에 그 20년의 학습이 담겨 있다.

저비용 공격, 고비용 방어 — 깨지지 않는 비대칭

이 전쟁의 구조적 불균형은 명확하다. 공격자의 비용은 낮다. GRU는 유럽 현지 범죄자를 1,000유로에 고용해 방화를 시키고, 전문 해커팀으로 핵심 인프라를 탐색하며, 소셜미디어를 통해 허위정보를 유포한다. 공격자는 수백 개의 목표 중 가장 취약한 지점 하나를 골라 치면 된다.

방어자의 사정은 다르다. 물류 창고 하나를 지키려면 물리 경비, CCTV, 사이버 보안 시스템을 모두 갖춰야 한다. 에너지 인프라, 항만, 통신망, 금융 시스템, 정부 전산망까지 모든 거점의 방어 수준을 동시에 높여야 한다. 공격자는 하나만 뚫으면 되고, 방어자는 전부를 막아야 한다.

여기에 AI가 새로운 비대칭을 더하고 있다. WEF 조사에서 87%의 응답자가 AI 관련 취약점을 ‘가장 빠르게 커지는 사이버 위험’으로 지목했다. AI는 공격의 규모와 속도를 동시에 키운다. 피싱 메일 하나를 수백만 개로 맞춤화하거나, 딥페이크 음성으로 CEO를 흉내 내 내부 시스템 접근권을 탈취하는 공격이 이미 현실이다. 방어 쪽도 AI를 활용하지만, 공격자가 먼저 실험하고 배포하는 구조는 바뀌지 않는다.

자국의 사이버 대응 역량을 신뢰하지 못한다는 응답은 31%로 늘었다. 1년 전 26%에서 5%포인트 상승이다. 공격이 빨라지는 속도만큼 방어 신뢰가 따라가지 못하고 있다는 신호다.

️ 정책 및 사회적 시사점

그레이존 전쟁의 가장 큰 법적 딜레마는 귀속(attribution)이다. 누가 했는지 법적으로 입증하기 어렵기 때문에, 국제법이 상정한 대응 체계(전쟁법·NATO 5조)가 잘 작동하지 않는다. NATO와 EU에서는 사이버·물리 복합 공격을 집단방위 발동 기준에 명시적으로 포함시키는 논의가 진행 중이다. 하지만 동맹 내부의 합의 속도는 공격 확산 속도에 아직 미치지 못한다.

한국에게 이 이슈는 남의 문제가 아니다. 북한은 이미 사이버 공격, 허위정보, 무기 밀수의 복합 전술을 수년째 구사해왔다. 러시아의 유럽 그레이존 대응 프레임워크는 북한 위협에 맞서는 한국의 논리와 구조를 보완하는 직접적인 참조가 된다. 공공 인프라의 사이버 복원력 기준을 강화하고, 국가 귀속 복합 공격에 대한 법적 대응 체계를 정비하는 것이 당면 과제다.

비즈니스 및 투자 시사점

WEF 수치가 보여주듯, 기업의 선택지는 이미 좁아졌다. ‘지정학 리스크가 사이버 보안과 관련 있는가’는 더 이상 물어볼 질문이 아니다. 지금 논의해야 할 질문은 따로 있다. ‘우리 공급망에서 가장 취약한 사이버 연결 지점이 어디인가’, ‘우리 협력사 중 보안 기준이 가장 약한 곳은 어디인가’.

대기업은 이미 움직이고 있다. 91%가 전략을 재편했다는 것이 그 증거다. 물류·에너지·제조 공급망을 운영하는 기업이라면, 지금이 공급망 전체의 사이버 취약성 지도를 다시 그려야 할 시점이다. CISO의 이사회 직보 체계, 공급업체 보안 기준 요구, 사이버 보험의 전략적 통합 — 이것들이 선택 사항에서 운영 표준으로 바뀌고 있다.

부인이 무너질 때

러시아는 계속 부인할 것이다. 그러나 전 세계 기업 64%는 이미 그 공격을 최우선 위협으로 인정했다. 공격자가 부인하는 전쟁을 방어자가 먼저 인식한 셈이다.

부인 가능한 공격이 반복될수록, 공격의 패턴은 오히려 더 선명해진다. 2022년 3건, 2023년 12건, 2024년 34건. 이 수치들은 러시아의 부인을 조용히 무너뜨리고 있다. 데이터는 거짓말하지 않는다.

아직 움직이지 않은 36%의 기업들에게 남은 질문은 하나다. 언제 시작할 것인가. 2024년 한 해에만 11배가 된 공격이 앞으로 어떤 숫자가 될지는, 지금까지의 추세가 이미 답을 내놓고 있다.