2021년 괌에서 처음 포착된 중국의 해킹 그룹 Volt Typhoon이 5년 만에 미국 전역 인프라에 잠복을 완성했다. 동시에 미국의 민간 사이버 방어 기관은 인력의 절반 이상을 잃었다. 이 두 가지가 2026년 같은 시간 위에 겹쳐졌다는 것이 단순한 우연인지, 아니면 전략적 타이밍인지 — 그 질문이 이 신호를 평범하지 않게 만든다.

총이 겨눠졌다

미국 사이버인프라보안청(CISA)의 국장대리 닉 앤더슨은 올해 5월 이례적인 발언을 했다. “모든 것을 동등하게 중요하다고 하면 아무것도 중요하지 않게 된다.” 방어 자원이 부족한 상황에서 어떤 인프라를 포기할지 선택해야 한다는, 사실상의 선택적 방어 선언이었다.

그 발언이 나오던 바로 그 시점, 중국 정부 연계 해킹 그룹 Volt Typhoon은 미국 수도·전력·통신·교통 인프라 안에 5년째 숨어 있었다. 방어자가 선택지를 고르는 동안, 공격자는 선택지 전부를 장악한 상태였다.

5년간의 침묵 — LOTL 전술로 수도·전력망 안에 자리 잡다

Volt Typhoon은 2021년 중반 처음 식별됐다. 초기 무대는 괌이었다. 그러나 2024년 2월 CISA 공식 권고문은 이 그룹이 통신·에너지·수도·교통·제조·해운에 이르기까지 미국 전 산업 인프라에서 5년 이상의 잠복 접근을 유지했다고 확인했다.

잠복 방식은 정교하다. Volt Typhoon은 악성 소프트웨어를 심는 대신 윈도 관리 도구, 네트워크 유틸리티 같은 시스템 내장 프로그램을 활용한다. ‘LOTL(현지 자원 조달)’ 전술이다. 공격 코드가 없으니 탐지 자체가 어렵다.

2026년 2월 추가 권고에서 CISA는 Volt Typhoon의 임무가 정보 수집에서 OT(운영 기술) 장비 직접 조작으로 전환됐다고 밝혔다. 수도 밸브와 전력 개폐 장치에 접근하는 것은 데이터를 훔치는 것과는 차원이 다르다. 파괴 준비다.

같은 시기 방어선은 얇아졌다. CISA는 현재 정원의 40%만으로 운영 중이다. 공석이 약 1,000명에 달한다. 민간 인프라 운영사와의 협력 부서는 예산이 62% 삭감됐고, 국가위험관리센터는 73% 줄었다.

공격이 완성되는 동안 방어선은 절반으로 줄었다

이 상황이 단순한 인력 부족을 넘어서는 이유는 두 가지다.

하나는 타이밍이다. Volt Typhoon의 잠복 완성과 CISA의 역량 붕괴가 같은 해에 교차했다. WEF의 2026년 사이버보안 아웃룩은 전 세계 에너지·유틸리티 인프라의 3분의 1 이상이 이미 국가 연계 사이버 사전배치 피해를 경험했다고 밝혔다. 국가 대응 역량에 낮은 신뢰를 표하는 비율은 작년 26%에서 31%로 높아졌다.

또 하나는 군의 개입이다. 미 국방부 산하 방어사이버사령부(DCDC)가 민간 인프라 사이버 방어 계획을 처음으로 수립하기 시작했다고 브레이킹 디펜스가 올해 6월 보도했다. DCDC는 작년 미 사이버사령부 산하 단일화 부명령으로 격상된 조직이다. 군이 민간 영역 방어에 공식 진입하는 것은 전례 없는 일이다.

1981년, 프랑스 정보당국은 CIA와 협력해 KGB의 기술 도용 네트워크에 침투했다. 소련 가스 파이프라인 제어 소프트웨어에 결함을 심었고, 이듬해 시베리아에서 역사상 최대 규모의 비핵 폭발이 일어났다. ‘페어웰 도시에’ 작전이다. 오늘날 Volt Typhoon은 그 논리를 뒤집어 미국 인프라 안에 들어와 있다. 방아쇠는 아직 당겨지지 않았다. 명령권자는 베이징이다.

DCDC 법적 근거, JDY 봇넷, 대만 긴장 — 세 가지 관찰 지점

CISA가 올해 5월 공개한 ‘CI Fortify’ 프로그램은 분쟁 상황에서도 인프라가 오프라인으로 작동할 수 있도록 준비시키는 계획이다. 방향은 옳다. 그러나 이 프로그램을 실행할 CISA 자체가 절반 인력으로 운영 중이다.

모니터링 포인트는 세 가지다. DCDC의 민간 방어 계획이 어떤 법적 근거 위에서 구체화될지, CISA의 CI Fortify가 실제 인프라 운영사에 어느 수준으로 침투할지, 그리고 2024년 FBI 해체 작전 이후에도 Volt Typhoon의 JDY 봇넷이 활성 상태로 유지되고 있다는 점이다.

대만을 둘러싼 긴장이 고조될수록 방아쇠 압박도 커진다. 반대로 미중 간 고위급 사이버 협의가 재개된다면 잠복이 억제될 수 있다. 어느 쪽이든, 미국의 방어 역량이 회복되지 않는 한 협상 레버리지는 약하다.

이해관계자 시사점

️ 정책·사회 관점

한국은 미국과 긴밀히 연결된 에너지·통신·제조 공급망을 운용한다. DoD의 민간 방어 개입은 한미 사이버 협력 구조도 군사화될 가능성을 내포한다. 국내 정책 입안자들은 민간·군사 사이버 방어의 경계를 어디에 그을지 선제적으로 논의해야 한다. CISA의 선택적 방어 선언은 한국 국가 사이버 전략에도 같은 질문을 던진다 — 모든 인프라를 동등하게 지킬 수 없다면, 무엇을 먼저 지킬 것인가.

기업·투자 관점

CISA 축소는 인프라 운영사와 민간 기업이 자체 OT 사이버 복원력을 갖춰야 한다는 신호다. 산업제어시스템(ICS) 보안, LOTL 탐지 솔루션, OT 네트워크 세분화 도구를 공급하는 기업에는 수요 확대 국면이다. 국내 제조·에너지 기업은 미국 파트너사 네트워크와 연결된 OT 접점을 점검할 필요가 있다. 공급망을 통한 간접 침투는 직접 공격보다 탐지가 어렵다.

5년짜리 질문의 무게

Volt Typhoon의 잠복은 완성됐다. CISA의 인력은 절반 아래로 줄었다. 군이 처음으로 민간 영역 방어에 나섰다. 이 세 가지가 2026년 같은 시간 위에 놓인 것은 미국 사이버 안보의 구조가 지금 바뀌고 있다는 신호다.

더 큰 흐름으로 보면 이것은 ‘평시의 전쟁화’ 현상이다. 총성 없이 인프라 안에 자리 잡고, 명령이 내려지면 즉각 파괴로 전환하는 방식은 기존의 전쟁 개념을 다시 쓰고 있다.

페어웰 작전에서 소련 가스 파이프라인이 폭발하기까지 수년이 걸렸다. 방아쇠가 언제 당겨질지는 아무도 모른다. 그러나 총이 겨눠져 있다는 사실만으로도 협상의 판은 이미 기울어져 있다.

생각해볼 질문

당신이 사는 도시의 수도나 전력이 사이버 공격으로 갑자기 끊긴다면, 하루를 버틸 준비가 되어 있는가? 한국 역시 미국 인프라와 연결된 공급망을 운용한다. 민간 인프라의 사이버 복원력이 국가 안보의 문제인 동시에 일상의 문제가 된 시대, 이 위협이 얼마나 가까이 와 있는지 생각해본 적이 있는가.

군이 민간 인프라를 지키는 것이 더 안전한 미래를 만드는가, 아니면 민간 생활의 군사화라는 새로운 위험을 만드는가? 미국 DCDC의 개입은 편안함과 불안을 동시에 준다. 경계가 사라지는 것이 보호를 의미하는지, 군사 논리가 일상에 스며드는 것인지 — 이 질문은 기술 문제가 아니라 사회적 선택의 문제다.

주목해야 할 것들

미래 신호: 미중 양국은 올해 군사 AI 거버넌스 채널을 신설했다. 이 채널이 사이버 인프라 공격 자제 합의로 확장될 경우 Volt Typhoon의 활성 수준이 달라질 수 있다. 채널이 실질적으로 작동하는지, 아니면 형식적 대화에 그치는지가 관찰 지점이다.

⚖️ 분기점: DCDC의 민간 방어 계획이 법적 권한 없이 추진될 경우 의회와의 마찰이 예상된다. 반대로 의회가 수권법을 빠르게 통과시키면 미국 사이버 방어 구조는 민간·군사 통합 모델로 급전환된다. 이 두 경로에 따라 동맹국들의 사이버 협력 방식도 달라진다.

연결 이슈: 영국은 올해 사이버보안·탄력성 법안을 통해 MSP·데이터센터를 국가 안보 규제망으로 편입하기 시작했다. 미국의 DoD 개입 모델과 영국의 규제 편입 모델은 서로 다른 방식으로 같은 문제를 다룬다. 어느 접근이 더 효과적인지는 향후 2~3년 내 드러난다.