러시아 연계 샌드웜, 폴란드 전력 시스템 공격
우크라이나 이어 인근 국가로 영향력 확대 시도

[보안뉴스 김형근 기자] 러시아 국가 지원 해킹 그룹 샌드웜(Sandworm)이 지난해 12월 말 폴란드 전력 시스템에 가한 대규모 사이버 공격의 실체가 최근 폴란드 보안 당국의 분석을 통해 드러났다.


[출처: ESET]

폴란드 에너지부 장관 미워시 모티카(Milosz Motyka)는 최근 기자들을 만나 “이번 공격이 최근 몇 년간 에너지 인프라에 가해진 공격 중 가장 강력한 수준이었다”고 말했다.

다만, 폴란드 사이버군이 이를 적시에 진단하고 차단해 실질적 전력 마비나 운영 중단 같은 피해는 발생하지 않은 것으로 확인됐다.

글로벌 보안 기업 이셋(ESET) 보고서에 따르면, 샌드웜은 이번 공격에서 지금까지 공식으로 알려지지 않았던 신종 와이퍼 멀웨어 ‘다이노와이퍼(DynoWiper)’를 배포한 것으로 나타났다. 이셋은 이번 공격 기법이 2022년 러시아의 우크라이나 침공 이후 관찰된 샌드웜의 전술과 일치한다며 러시아를 배후로 지목했다.

샌드웜은 공격 시점인 2025년 12월 29일(현지시간)과 30일 열병합발전소(CHP)와 재생에너지 관리 시스템 두 곳을 집중적으로 겨냥했다. 풍력 터미널과 태양광 발전소에서 생성된 전력을 관리하는 시스템까지 공격 대상에 포함돼 폴란드 에너지 안보에 위협이 됐다.

이번 사건은 샌드웜이 2015년 12월 우크라이나 전력망을 공격해 대규모 정전 사태를 일으킨 사건의 10주년이 되는 시점에 발생해 더욱 주목받고 있다. 당시 샌드웜은 ‘블랙에너지’(BlackEnergy)와 ‘킬디스크’(KillDisk) 멀웨어를 사용해 약 23만 명의 시민을 6시간 동안 어둠 속에 몰아넣은 바 있다.

도날드 투스크 폴란드 총리는 모든 정황이 러시아 정보기관과 직접 연결된 조직의 소행임을 가리키고 있다고 비판했다.

폴란드 정부는 이번 사건을 계기로 IT 및 운영 기술(OT) 시스템 보호와 사고 대응을 강화하는 강력한 사이버보안법 제정을 서두르고 있다.

샌드웜은 지난해 6월에도 우크라이나 핵심 인프라를 겨냥해 ‘패스와이퍼’(PathWiper)라는 신종 멀웨어로 공격한 바 있다. 하반기에도 우크라이나 정부, 에너지, 물류, 곡물 분야를 대상으로 ‘제로랏’(ZEROLOT) 등 다양한 변종 와이퍼를 동원해 공격했다.

이번 폴란드 공격은 샌드웜이 우크라이나를 넘어 주변국인 폴란드의 핵심 인프라까지 공격 범위를 넓히고 있다는 신호로 해석된다. 보안 전문가들은 국가 기간 인프라를 노린 이러한 지능형 공격이 앞으로 더욱 정밀하게 전개될 것으로 보고 있다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>