스페인 정전 사태로 본 전력망 보안의 현주소

전력망이 멈춘 날, 우리가 놓친 것들 : 이베리아반도 대정전 사태

 

사건 개요 – "유럽이 멈춘 하루"

2025년 4월 28일 오후 12시 33분, 스페인과 포르투갈에서 약 15GW의 전력이 단 5초 만에 증발했다. 스페인 전체 수요의 60%에 해당하는 규모로, 4,800만 명의 스페인 국민과 1,050만 명의 포르투갈 국민이 동시에 암흑에 빠졌다.

 

이번 사건은 일반적인 연쇄 장애(cascade failure)와는 다른 양상을 보였다. 표면적으로는 "재생에너지 과잉과 송전선 진동"이 원인으로 지목되었지만, 복수 지역 동시 셧다운, 국경 연계망의 일괄 차단, 체계적인 복구 과정은 지나치게 정교했다. 마치 누군가가 전력망의 약점을 정확히 파악하고 있었던 것처럼 말이다.

여기에서는 단순 기술 사고에 국한되지 않는 해석을 위해, 해킹 가능성에 대한 검토를 통해 우리가 직면할 수 있는 안보 위협에 대해 논의하고자 한다.

---

기술적 분석 – 단순한 우연인가?

1) 재생에너지의 딜레마

현재 스페인은 전력의 60% 이상을 재생에너지로 충당한다. 하지만 태양광·풍력은 전통 발전소와 달리 **회전 관성(Rotational Inertia)**을 제공하지 않는다. 전력망에서 관성은 갑작스러운 충격 시 시스템을 안정화하는 버퍼 역할을 한다.

정전 당일 재생에너지 비중 60%는 전력망 관성이 평소보다 현저히 낮았음을 의미한다. 이런 상황에서 외부 교란 발생 시, 시스템은 평소보다 훨씬 민감하게 반응할 수밖에 없다.

2) 보호 시스템의 동시 작동

전력망의 보호 계전기(Protective Relay)들이 거의 동시에 작동했다는 점이 가장 의문스럽다. 포르투갈 REN이 발표한 "송전선 비정상 진동"만으로는 이렇게 광범위하고 동시적인 차단을 설명하기 어렵다. 일반적으로 물리적 장애는 점진적으로 발생하며 지역별 시차를 보인다.

---

사이버 보안 관점의 가능성

현대 전력망의 변화된 환경

과거의 전력망은 완전한 격리망(air gap)이었지만, 현재는 원격 모니터링, AI 예측 정비, 스마트 그리드 등으로 인해 부분적 인터넷 연결을 도입하고 있다. 이는 효율성을 높였지만 새로운 사이버 위험을 만들었고 이런 곳은 보안 대비 태세도 경직되어 있다.

주요 취약점들

1. 레거시 프로토콜

• Modbus, DNP3 등 산업 표준이 평문 통신
• 인증 메커니즘 없거나 매우 취약

2. 시간 동기화 시스템

• 보호 계전기 정확한 작동을 위해 GPS/NTP 사용
• 시간 기준 조작 시 보호 시스템 오작동 가능
• 이번 사건의 "동시 작동" 현상과 연관 가능성

3. 원격 접속 시스템

• 유지보수용 VPN/RDP 설정 부적절
• 기본 비밀번호 사용하는 경우 존재

흥미롭게도 이번 스페인 정전에서 여러 지역의 보호 시스템이 거의 동시에 작동했다는 점은 시간 동기화 시스템의 문제 가능성을 시사한다.

---

과거 사례에서 배우는 교훈

1) 우크라이나 전력망 해킹 (2015-2016)

러시아 해킹 그룹이 22만 가구 6시간 정전을 일으킨 사례. 스피어 피싱으로 침투 → 장기 정찰 → 수동 차단기 조작 → 복구 지연 악성코드의 단계로 진행되었다.

 

스페인 사건과의 유사점:

• 복수 지역 동시 정전
• 복구 과정의 예상보다 긴 소요 시간
• 당국의 모호한 원인 설명

2) Colonial Pipeline 해킹 (2021)

미국 동부 연안의 주요 송유관 시스템인 Colonial Pipeline이 DarkSide 랜섬웨어 공격을 받아 6일간 운영이 중단된 사건이다. 비록 전력망이 아닌 에너지 인프라 공격이지만, 현대 사회의 핵심 인프라가 얼마나 사이버 공격에 취약한지를 보여주는 대표적 사례이다.

3) 이란 나탄즈 핵시설 Stuxnet (2010)

Stuxnet은 이란의 핵 농축 시설에 침투해 원심분리기를 물리적으로 파괴한 최초의 사이버 무기였다. 이 사건은 사이버 공간에서의 공격이 물리적 파괴력을 가질 수 있음을 전 세계에 알렸다.

4) 한국 상황의 특수성

한국은 완전한 **전력 섬(Power Island)**으로 외부 지원이 불가능하다.

최근 재생에너지 출력제어가 빈발하고(2025년 3월 45GW 규모), 복잡한 실시간 제어 시스템은 사이버 공격 표적이 되기 쉬우며 

특히 북한의 세계 최고 수준 사이버 능력은 상시적 위협이다.

---

미래 대응 방향

1) 제로 트러스트 아키텍처

전통적인 전력망 보안은 "내부는 신뢰할 수 있다"는 가정에 기반했다. 하지만 현실에서는 내부자에 의한 공격이나 이미 침투한 공격자에 의한 lateral movement가 더 위험할 수 있다. 따라서 **"아무것도 신뢰하지 말고, 모든 것을 검증하라"**는 Zero Trust 원칙을 전력망에도 적용해야 한다.

• 모든 통신 암호화 의무화
• 네트워크 마이크로 세그멘테이션 : 공격자가 한 시스템에 침투해도 다른 영역으로 확산되지 않도록 세밀하게 네트워크를 분할
• 지속적 인증과 권한 검증 : 접근할 때마다 신원과 권한을 재확인

2) AI 기반 위협 탐지

전력망에서 발생하는 수많은 데이터를 실시간으로 분석해 이상 징후를 탐지하는 것은 인간의 능력으로는 한계가 있다. AI와 머신러닝을 활용한 자동 위협 탐지 시스템이 필요하다.

 

현재 주요 전력회사들이 도입하고 있는 AI 시스템들은 주로 **예측 정비(Predictive Maintenance)**와 수요 예측에 집중되어 있다. 하지만 보안 관점에서는 더욱 정교한 AI 모델이 필요하다:

• 이상 행위 탐지(Anomaly Detection): 정상 운영 패턴을 학습한 AI가 평소와 다른 통신 패턴이나 제어 명령을 실시간 감지
• 위협 헌팅(Threat Hunting): 대량의 로그 데이터에서 숨겨진 공격 흔적을 찾아내는 기계학습 모델
• 공격 벡터 예측: 과거 해킹 사례를 학습해 가능한 공격 경로와 대상을 사전 식별
• 자동 대응 시스템: 위협 탐지 즉시 네트워크 격리, 백업 시스템 전환 등 초기 대응을 자동 실행

특히 스페인 사건과 같은 동시다발적 이상 징후는 사람이 실시간으로 판단하기 어려우므로, AI의 패턴 인식 능력이 더욱 중요해진다.

 

---

결론 – 경계선이 사라진 시대

스페인 정전이 사이버 공격인지는 불분명하다. 하지만 현재 전력망이 과거와 완전히 다른 위험 환경에 노출된 것은 확실하다.

현대 전력망의 새로운 현실:

• IT와 OT 경계 모호화 : 사무용 IT 시스템과 발전소 제어용 OT 시스템이 연결되면서 보안 경계가 불분명
• 물리적 격리가 더 이상 완전한 보안 보장 안 함
• 사이버 공격이 직접적 물리 피해 야기 가능

우리가 해야 할 일:

1. 보안 문화 전환 : "사고는 없다"에서 "사고는 반드시 일어난다" 전제하의 대비
2. 통합 관제 : IT-OT 보안 분리 않는 통합 접근
3. 지속적 투자 : 보안을 일회성이 아닌 지속 운영비로 인식
4. 융합 인재 양성 : 전력망과 사이버 보안 모두 이해하는 전문가 육성
5. 법제도 정비 : 새로운 위협 환경 맞는 규제 기준 마련

"현대의 전력망은 더 이상 단순한 전선이 아니다. 그것은 디지털 세계와 물리적 세계가 만나는 경계선이며, 바로 그 경계선에서 우리의 안전이 결정된다."  스페인에서 일어난 일이 우리에게 반복되지 않으려면, 다음 정전이 단순한 사고가 아닐 수도 있다는 가능성을 항상 염두에 두고 지금부터 준비해야 한다.