[곽재원의 Now&Future] 공격 없이도 세계는 멈췄다…'사이버 불황' 대비책 다시 설계하라

[곽재원 논설위원장]

 

 

11월 13일, 세계는 하루에 두 번 멈췄다

2026년 11월 13일, 세계는 하루에 두 번 멈췄다. 아시아의 새벽, 마이크로소프트(MS)의 업무 플랫폼 '마이크로소프트 365'가 쓰러졌다. 이메일과 메신저, 문서 공유, AI 비서 코파일럿이 한꺼번에 먹통이 됐다. 발생 1시간 만에 74개 국가·지역에서 장애 신고가 쏟아졌고, 완전 복구까지 꼬박 하루 반이 걸렸다. 일본 금융청과 외무성은 메일 대신 전화로 민원을 받았고, 한 신탁은행의 자금운용 담당자는 거래 확인을 팩스로 대신했다. 도쿄 마루노우치의 한 식당은 "계산대가 안 돼 점심 영업을 쉰다"며 손님을 돌려보냈다. 태국 방콕은행과 싱가포르 국세청·법원도 같은 혼란을 겪었고, 다카이치 사나에 일본 총리는 관계 부처에 긴급 대응을 지시해야 했다.

같은 날 오후(미국 동부시간), 이번에는 하늘이 닫혔다. 미국 연방항공청(FAA)이 관제 통신 장애를 이유로 미국 내 모든 공항에 이륙 금지를 발령한 것이다. 2001년 9·11 테러, 2023년 FAA 시스템 장애에 이은 미국 역사상 세 번째 전국 이륙 금지였다. 발령 당시 미국 하늘에는 3,500대가 넘는 항공기가 떠 있었다. 이륙 금지는 4시간여 만에 풀렸지만 수천 편이 결항·지연됐고, 항공기와 승무원 배치가 엉키면서 여파는 주말 내내 이어졌다. 
 

  적은 밖에 없었다

두 사건에서 가장 섬뜩한 대목은 원인이다. 둘 다 해킹이 아니었다. MS는 과거 네트워크 용량을 늘리는 과정에서 생긴 문제가 설정 변경을 계기로 드러났고, 일부 서버가 멈추자 남은 서버에 부하가 몰렸다고 설명했다. FAA는 당국의 1차 설명에 따르면 낡은 관제 통신 장비의 스위치와 라우터가 데이터 과부하를 견디지 못하고 다운됐다. 관제망 업데이트가 재부팅과 장애를 촉발했다는 보도도 나왔고, 미 국토안보부 장관은 구형 장비와 새로 설치 중인 기술 사이의 비호환성을 조사하고 있다고 밝혔다. 사흘 전 FAA가 AI 기반 관제 시스템을 전국으로 확대했다는 점을 두고 의문도 제기되지만, 당국은 관련성을 부인하고 있다.

두 사건은 같은 구조를 공유한다. 첫째, 시스템을 키우고 고치는 '변경' 그 자체가 방아쇠가 됐다. 둘째, 일부가 빠지자 남은 부분에 부하가 쏠리며 연쇄적으로 무너졌다. 셋째, 낡은 기반 위에 새 기술을 덧대는 구조가 약한 고리가 됐다. 무엇보다 앞서 본 대로 미국의 전국 이륙 금지는 2001년 9·11 테러 때 처음 내려졌던 극단적 조치다. 25년 전에는 테러범의 납치가, 이번에는 라우터 과부하가 똑같은 결과를 낳았다. 공격이든 사고든 경제가 받는 충격은 구분되지 않는다. 적이 밖에 없었는데도 세계는 멈췄다. 이번 사건은 본편이 아니라 예고편이다.

 

유럽은 이미 '인터넷 없는 72시간'을 준비한다

본편의 그림자는 이미 짙어지고 있다. 지난 10월 프랑스 슈퍼마켓 수백 곳의 냉장·냉동설비가 사이버 공격을 받았다. 공격자는 '성에 제거' 기능을 노렸다. 식품을 차갑게 지켜야 할 장치가 오히려 내부를 가열했고, 대량 폐기와 화재로 이어졌다. 11월에는 벨기에·스웨덴·영국에서도 비슷한 피해가 보고됐다. 사이버 공격이 화면 속 데이터를 넘어 물리적 세계의 식탁을 직접 겨누기 시작한 것이다.

각국 정부의 태도도 달라졌다. 영국 정부는 10월 22일 각 가정에 "3일분의 식량과 식수, 라디오, 현금을 준비하라"고 권고했다. 상정한 위기에는 기상재해뿐 아니라 사이버 공격에 따른 통신·결제 중단이 포함됐다. 권고 후 열흘간 생수 매출은 67%, 통조림은 37% 늘었다. 네덜란드는 약 850만 가구 전체에 정전·단수·인터넷 중단 때 첫 72시간을 버티는 안내서를 배포했다. 유럽은 국민에게 '인터넷 없는 3일'을 상상하라고 요구하기 시작했다.

공격의 비용 구조도 바뀌고 있다. 보안업체 체크포인트 리서치에 따르면 올해 9월 관측된 사이버 공격은 전년 동월보다 세계 전체로 48%, 일본에서는 107% 늘었다. 인공지능(AI)은 방어를 돕는 동시에 소프트웨어의 약점 찾기를 가속하고 공격 비용을 떨어뜨린다. 방어하는 쪽은 수많은 구멍을 모두 막아야 하지만, 공격하는 쪽은 하나만 찾으면 된다. AI는 이 비대칭을 한꺼번에 증폭시킨다. 영국 중앙은행 조사에서 AI 관련 위험을 금융시스템의 주요 위험으로 꼽은 시장 참가자가 올해 상반기 32%에서 63%로 급증한 것은 우연이 아니다.
 

사이버 불황, 세계 경제가 정지하는 날

금융시장에서는 '사이버 리세션(사이버 불황)'이라는 말이 나오기 시작했다. 정교해진 공격이 결제와 물류라는 경제의 급소를 찌르면 사람·상품·돈의 흐름이 끊기고, 세계 경제가 불확실성과 경기침체로 빠져든다는 시나리오다. JP모건은 이를 2020년 2월에 견준다. 코로나19가 처음 등장했을 때 시장은 바이러스가 세계 경제를 멈춰 세울 위험을 거의 반영하지 않았다. 몇 주 뒤 세계는 봉쇄됐고, 역사상 가장 가파른 경기 추락이 뒤따랐다.

사이버 불황의 경로는 이렇게 그려진다. 어느 날 대형 클라우드나 결제망이 공격받는다. 기업은 감염을 막으려 스스로 네트워크를 끊는다. 은행은 부정 거래를 막으려 송금을 제한하고, 물류회사는 시스템을 믿을 수 없어 배송을 멈춘다. 공장은 부품이 오지 않아 라인을 세우고, 상점은 카드 결제가 안 돼 문을 닫는다. 하나하나는 모두 합리적인 방어 행동이다. 그러나 이 합리적 판단이 연쇄되면 정부가 명령하지 않아도 사실상의 '네트워크 봉쇄'가 일어난다. 코로나 때는 감염을 막으려 사람의 이동을 멈췄고, 그것이 경제를 멈췄다. 사이버 불황에서는 공격을 막으려 연결을 멈추고, 그것이 경제를 멈춘다. '명령 없는 봉쇄'다.

그 비용은 상상을 넘는다. 2024년 7월 크라우드스트라이크의 업데이트 오류 하나로 윈도 단말 약 850만 대가 멈췄을 때, 미국 포천 500대 기업의 직접 손실만 50억 달러를 넘는 것으로 추산됐다. 영국 로이즈는 주요 결제 시스템이 사이버 공격으로 마비되는 시나리오에서 세계 경제 손실이 5년간 3조5,000억 달러에 이를 수 있다고 경고했다. MS 365의 유료 계약은 세계적으로 4억5,000만 건이 넘고, 일본 직장인의 55%가 업무 메일로 이를 쓴다. 세계 경제의 신경망이 소수 기업의 서버 위에 얹혀 있는 셈이다. 한 곳이 멈추면 그 충격은 직접 고객을 훨씬 넘어 사회 전체로 번진다.

문제는 시장의 논리가 이 집중을 부추긴다는 데 있다. 클라우드는 규모의 경제가 강하게 작동하는 산업이다. 큰 사업자일수록 싸고 안전한 서비스를 내놓고, 고객은 가장 많이 쓰이는 서비스를 고르는 것이 합리적이다. AI가 발전할수록 이 쏠림은 더 강해진다. 기업은 가용성과 비용, 보안을 동시에 잡기 어려운 '트릴레마'에 갇힌다. 여러 사업자를 함께 쓰는 이중화는 비용을 키우고, 자체 서버로 돌아가면 최신 보안의 혜택을 놓친다. 개별 기업에만 맡겨서는 집중의 위험이 줄지 않는 이유다.
 

백신이 없는 위기

더 무거운 문제는 처방이 마땅치 않다는 점이다. 코로나 때 각국 정부는 천문학적 재정을 풀었고, 중앙은행은 금리를 내리고 돈을 쏟아부었다. 그것이 경제의 '백신' 역할을 했다. 그러나 송금망 자체가 멈추면 돈을 풀어도 돈이 닿지 않는다. 중앙은행은 유동성 부족은 메울 수 있어도 네트워크를 안전하게 만들 수는 없다. 게다가 각국의 재정 여력은 코로나와 고금리를 거치며 이미 바닥을 드러냈다. 사이버 불황은 통화·재정 정책이라는 전통적 경기 대응 수단이 듣지 않는, 백신 없는 위기가 될 수 있다.

물론 세계적 네트워크 마비가 임박했다는 증거는 없다. 공격의 증가가 곧 경기침체를 뜻하는 것도 아니다. 위기를 함부로 부풀릴 일은 아니다. 그러나 2020년 2월의 교훈은 분명하다. 위험이 숫자로 확인될 때는 이미 늦다. 보험료는 쌀 때 내야 한다.
 

한국은 예고편을 이미 여러 번 보았다

한국은 이 경고에서 자유로운가. 오히려 가장 취약한 나라 가운데 하나다. 우리는 예고편을 이미 여러 차례 보았다. 2022년 카카오 판교 데이터센터 화재로 국민 메신저와 간편결제, 택시 호출이 한꺼번에 멈췄다. 2025년 9월 국가정보자원관리원 대전 본원 화재로 정부 전산 시스템 600여 개가 마비돼 우편·민원·행정이 멈춰 섰다. 같은 해 이동통신사 유심 해킹과 대형 플랫폼의 대규모 개인정보 유출이 잇따랐다. 화재와 장애, 해킹을 모두 겪었지만 사고 때마다 책임자 문책과 재발 방지 약속으로 끝났다.

구조적 취약성도 크다. 현금 사용이 급격히 줄어든 한국에서 영국 정부가 권고하는 '3일분 현금'을 쥔 가구는 드물다. 메신저·결제·클라우드는 소수 플랫폼에 몰려 있다. 세계 최고 수준의 디지털화는 평상시의 경쟁력이지만 위기 때는 가장 큰 급소가 된다. 반도체·자동차·조선으로 세계 공급망의 핵심 고리를 쥔 수출국이라는 점에서, 해외의 사이버 마비는 곧바로 한국의 생산 차질과 수출 감소로 번진다. 그런데도 영국·네덜란드식 국민 행동지침은 없다. 사이버안보의 컨트롤타워는 여러 기관에 흩어져 있고, 사이버 위험은 여전히 거시경제·금융안정의 의제가 아니라 IT 보안 부서의 일로 취급된다.
 

멈출 수 있다는 전제에서 다시 설계하라

대비는 생각의 전환에서 출발한다. 첫째, 사이버 회복력을 국가 거시경제 의제로 끌어올려야 한다. 한국은행과 금융당국의 스트레스 테스트에 '결제망 72시간 중단' 시나리오를 넣고, 경제 부처가 사이버 충격의 산업·고용 파급을 정기적으로 점검해야 한다. 둘째, '디지털 72시간' 국민 매뉴얼을 만들어야 한다. 인터넷과 카드 결제가 사흘간 멈출 때 가계와 소상공인이 무엇을 준비해야 하는지 국가가 알려줘야 한다. 셋째, 아날로그를 전략적으로 비축해야 한다. 현금, 오프라인 결제 수단, 라디오, 팩스와 유선전화는 낡은 유물이 아니라 국가의 보험이다. 일본 금융기관을 하루 반 동안 지탱한 것은 AI가 아니라 팩스였다. 넷째, 선택적 다중화가 필요하다. 모든 시스템을 이중화하면 비용이 끝없이 불어난다. 생명·금융·행정·물류의 핵심 기능부터 우선순위를 정해 복수 사업자와 대체 경로를 확보해야 한다. 다섯째, 문화를 바꿔야 한다. 시스템에 완벽 무결을 요구하고 장애가 나면 희생양을 찾는 문화로는 회복력을 기를 수 없다. '멈출 수 있다'는 전제 위에서 얼마나 빨리 복구하느냐로 평가해야 한다.

편리함을 좇은 대가로 우리는 '언제든 쓸 수 있다'는 안심을 잃었다. 안심을 되찾으려면 약간의 불편과 비용을 감수하겠다는 사회적 합의가 필요하다. 11월 13일 세계가 두 번 멈춘 것은 적의 공격 때문이 아니었다. 다음번에는 다를 수 있다. 그날 한국 경제가 72시간을 버틸 수 있는지, 지금 물어야 한다.

필자 주요 이력 

▷전 중앙일보 경제부국장, 도쿄특파원 ▷전 서울대 공과대학 초빙교수 ▷전 한양대 기술경영학 석좌교수 ▷전 경기도 경기과학기술진흥원 원장 ▷현 광주과기원 AI정책전략대학원 특임 교수, 가천대 초빙교수 ▷현 아주경제 논설위원장