영국 국가전력망 운영사 해킹 의혹, 40GB 내부 기술데이터 유출 주장

핵심 요약

- 영국 국가 전력망 운영사가 사이버 공격을 받아 약 40GB 규모의 내부 기술 데이터 유출 주장 제기 - 국가 핵심기반시설에 대한 사이버 공격으로 전력 공급 안정성 및 국가 안보에 직접적 영향 우려 - 기술 데이터 유출 시 전력망 구조 및 취약점 노출로 2차 공격 가능성 증대

주요 내용

2026년 8월, 영국의 국가 전력망 운영사가 사이버 공격을 받아 대규모 내부 데이터가 유출됐다는 주장이 제기되면서 국가 핵심기반시설 보안에 대한 우려가 커지고 있다. 해커 측은 약 40GB에 달하는 내부 기술 데이터를 확보했다고 주장하고 있으며, 이는 전력망 운영의 핵심 정보를 포함할 가능성이 제기되고 있다.

전력망 운영사는 국가 핵심기반시설로서 전기 공급의 안정성을 책임지는 기관이다. 이러한 시설에 대한 사이버 공격은 단순한 정보 유출을 넘어 국가 안보와 직결되는 중대한 사안이다. 특히 내부 기술 데이터가 유출될 경우, 전력망의 구조적 취약점, 제어 시스템 정보, 보안 체계 등이 노출되어 후속 공격의 발판이 될 수 있다.

이번 사건은 2026년 현재 전 세계적으로 증가하고 있는 국가 핵심기반시설 대상 사이버 공격의 심각성을 다시 한번 보여준다. 특히 에너지 분야는 랜섬웨어 그룹과 국가 배후 해킹 조직의 주요 표적이 되고 있으며, 단순 금전적 목적을 넘어 국가 기능 마비를 노리는 공격이 증가하는 추세다.

영국 당국과 해당 기업의 공식 입장 발표가 주목되는 가운데, 이번 사건은 국가 핵심기반시설 운영 기업들의 보안 태세 재점검 필요성을 제기하고 있다. 특히 기술 데이터의 접근 통제, 내부자 위협 관리, 공급망 보안 등 다층적 보안 체계 구축이 시급한 것으로 평가된다.

전문가 시각

ISMS-P 심사원 관점에서 볼 때, 이번 사건은 핵심기반시설 운영 기업의 정보보호 관리체계가 얼마나 실효성 있게 운영되고 있는지에 대한 근본적 질문을 던진다. 특히 40GB라는 대용량 데이터가 외부로 유출됐다는 주장은 내부 데이터 전송 모니터링, 이상 징후 탐지(DLP), 접근권한 관리 등 기본적인 보안 통제가 제대로 작동하지 않았을 가능성을 시사한다. 국내 「정보통신기반 보호법」에 따른 주요정보통신기반시설 지정 기관들도 이와 유사한 위협에 노출되어 있음을 인지해야 한다.

국내 전력, 가스, 통신 등 핵심기반시설 운영 기업들은 이번 사례를 통해 기술 데이터 관리 체계를 재점검해야 한다. 특히 설계도면, 시스템 구성도, 운영 매뉴얼 등 민감한 기술 정보에 대해서는 암호화, 워터마킹, 접근 이력 추적 등 다층 보안 통제를 적용하고, 주기적인 취약점 점검과 모의훈련을 통해 실제 공격 시나리오에 대비해야 한다. 또한 협력업체를 통한 공급망 공격 가능성도 고려하여 제3자 보안 관리를 강화할 필요가 있다.

ISMS-P 심사원 체크포인트

1. 중요 정보 자산 식별 및 접근통제 (ISMS-P 2.8.1, 2.8.4)
- 전력망 운영 관련 기술 데이터, 시스템 구성도 등 중요 정보자산에 대한 명확한 식별과 등급 분류가 이루어져 있는지 확인
- 중요 정보자산에 대한 접근권한이 최소권한 원칙에 따라 부여되고 있는지, 특히 대용량 데이터 다운로드 및 외부 전송에 대한 승인 절차와 모니터링 체계가 구축되어 있는지 점검
- 개인정보보호법 제29조(안전조치의무)와 연계하여 기술적·관리적 보호조치의 적정성 심사

2. 침해사고 탐지 및 대응 체계 (ISMS-P 2.9.1, 2.9.3)
- 이상 트래픽 탐지, 비정상 데이터 유출 시도 등을 실시간으로 탐지할 수 있는 모니터링 체계(DLP, SIEM 등) 구축 여부
- 40GB 규모의 대용량 데이터 유출이 발생하기 전 사전 차단이 가능한 기술적 통제 수단의 적정성 평가
- 정보통신기반 보호법 제9조(취약점 분석·평가)에 따른 정기적 보안 점검 이행 여부

3. 공급망 및 제3자 보안관리 (ISMS-P 2.5.3)
- 전력망 운영 시스템 구축·유지보수를 담당하는 협력업체의 보안 수준 평가 및 관리 체계
- 외부 접속 계정 관리, VPN 보안, 원격접속 시 다중인증 적용 등 협력업체를 통한 침투 경로 차단 방안 검토

CPPG·ISMS-P 연계 포인트

핵심기반시설 보호 의무
정보통신기반 보호법상 주요정보통신기반시설로 지정된 기관은 일반 기업보다 강화된 보호대책을 수립·시행해야 한다. 전력, 통신, 금융 등 국가·사회적 기능 유지에 필수적인 시설은 취약점 분석·평가를 연 1회 이상 실시하고, 보호계획을 수립하여 과학기술정보통신부 또는 관계 중앙행정기관에 제출해야 한다. ISMS-P 인증심사 시 이러한 법적 의무 이행 여부를 필수적으로 확인한다.

데이터 유출 방지(DLP) 통제
대용량 민감 데이터의 무단 유출을 방지하기 위해서는 네트워크 기반 DLP, 엔드포인트 DLP, 저장소 DLP 등 다층적 데이터 유출 방지 솔루션 적용이 필요하다. 특히 기술 데이터, 설계 정보 등은 파일 암호화와 함께 외부 전송 시 자동 차단 또는 승인 프로세스를 거치도록 설정해야 한다. ISMS-P 인증심사에서는 중요 정보의 생성·보관·전송·폐기 전 과정에 걸친 보호대책의 실효성을 평가한다.