카스퍼스키는 우주 시스템 보안이 더 이상 궤도상의 위성 보호에만 국한되지 않는다고 경고했다. 회사가 실시한 감사에서 3,000개가 넘는 위성항법시스템(GNSS) 수신기가 인터넷을 통해 직접 공격을 받은 사실이 드러났기 때문이다. 이러한 취약점은 해상·항공 운송과 육상 물류 등 항법 및 시간 신호에 의존하는 분야에 영향을 미칠 수 있다.
카스퍼스키는 GISEC 2026에서 산업제어시스템 긴급대응팀(ICS CERT)이 작성한 보고서의 결과를 공개했다. 보고서는 우주 시스템을 궤도상의 고립된 인프라가 아니라 위성, 지상 관제소, 통신 채널, 사용자 기기, 외부 업체가 제공하는 소프트웨어로 구성된 상호 연결망으로 제시한다.
인터넷에 연결된 지상 기기
이 보고서는 1957년부터 2020년대 초까지 우주 시스템을 대상으로 발생한 100건이 넘는 사이버 사건을 바탕으로 작성됐다. 카스퍼스키는 인터넷에 연결된 지상 기기와 신호 수신기가 시스템 내 더욱 민감한 부분에 접근하기 위한 실질적인 경로라고 본다.
회사는 2023년 흑해 지역에서 GPS 및 GNSS 신호 스푸핑 사건이 급증한 이후, 70개 글로벌 장비 공급업체와 협력해 인터넷에 연결된 GNSS 수신기를 감사했다. 감사 결과를 토대로 이러한 기기에 대한 외부 접근을 제한하고, 인터넷 연결이 필요할 때 인증과 신원 확인을 강화할 것을 권고했다.
은닉 채널로 활용되는 위성
우주 시스템의 악의적 이용은 인프라를 마비시키는 데 그치지 않는다. 보고서는 공격 그룹이 통신을 숨기기 위해 위성을 통한 암호화되지 않은 데이터 트래픽을 악용했다고 지적했다. 또한 21세기의 두 번째 10년 동안 이러한 채널을 악용한 세력의 사례로 Turla와 Whitebear를 언급했으며, 2009년 이후 상용 저가 도구를 사용해 암호화되지 않은 군용 비디오 스트림을 가로챌 수 있었던 사건들도 언급했다.
보고서는 또한 Thrip 그룹이 핵심 우주 인프라를 감시하거나 마비시키기 위해 위성 운영자와 지리공간 지도 데이터베이스를 표적으로 삼았다고 밝혔다.
KA-SAT 공격이 바꾼 것은 무엇인가?
카스퍼스키는 Viasat의 KA-SAT 네트워크를 대상으로 2022년에 발생한 공격을 사례로 들었다. 공격자들은 잘못 구성된 VPN 장치를 악용해 파괴적 악성코드 AcidRain을 확산시켰고, 그 결과 유럽 전역에서 약 30,000개의 위성 통신 단말이 마비됐다. 이로 인해 5,800개가 넘는 풍력 터빈의 원격 운영도 간접적으로 중단됐다.
2024년에는 Sandworm 그룹과 연관된 AcidPour가 공개됐다. 이 악성코드는 Linux 운영체제로 작동하는 라우터, 위성 신호 변조기, 데이터 저장 시스템을 비롯해 더 광범위한 기기를 표적으로 삼는다.
기관이 검토해야 할 사항
- GNSS 수신기, 지상 제어 기기, 사용자 기기에 대한 정기 감사를 실시한다.
- 인터넷에 연결된 기기를 업데이트하고 관리 인터페이스에 대한 외부 접근을 제한한다.
- 감청과 스푸핑을 줄이기 위해 데이터 트래픽과 위성 통신 링크를 암호화한다.
- 지상 통신소의 엔드포인트에 강력한 보호 기능을 적용하고 내부 관리 네트워크에 엄격한 통제를 시행한다.
certi.news의 분석: 실제 변화는 위험 지점이 위성 자체에서 완전한 운영 체계로 이동했다는 데 있다. 이 체계는 수신기나 VPN 설정에서 시작해 에너지 또는 항법과 같은 핵심 서비스에 이른다. 그러나 여기 제시된 수치와 사실은 자료가 인용한 카스퍼스키 보고서에 근거한 것이며, 독립적인 검증이나 감사 대상 기기에 관한 완전한 기술 세부 정보는 제시되지 않았다. 따라서 이 결과는 모든 환경에 일반화하기 전에 원문 보고서를 검토해야 하는 기관 차원의 경고로 읽어야 한다.