스턱스넷, 이란 나탄즈 우라늄 농축 시설을 겨냥한 사이버 무기 사태(2010)

연구자들의 분석에 따르면 스턱스넷의 개발은 이란이 우라늄 농축 시설을 한창 가동 준비하던 2005년께 이미 시작된 것으로 추정된다. 이 웜은 일반 악성코드와 달리 금전이나 정보 탈취가 아니라 특정 산업제어시스템의 물리적 파괴를 목표로 설계되었다. 코드 규모와 정교함, 그리고 표적 설비에 대한 정밀한 지식은 국가 수준의 자원이 투입됐음을 시사했다. 개발 시기가 이란 핵 개발에 대한 국제적 압박이 높아지던 시점과 겹친다는 점도 의미가 컸다. 이는 사이버 공간에서 물리적 설비를 파괴하는 무기가 현실화되는 출발점이었다.

후속 분석에서 스턱스넷의 초기 버전이 2007년 11월 이란 핵 프로그램을 공격하는 데 사용된 흔적이 확인되었다. 연구자들은 이 변종이 이후 2010년에 발견된 버전보다 단순했고 원심분리기 속도 조작 방식도 달랐다고 설명했다. 이는 스턱스넷이 한 번의 작전이 아니라 수년에 걸쳐 개량되며 반복 투입된 장기 작전이었음을 보여 준다. 해당 사실은 2010년 공개 발견 이전에 이미 상당 기간 은밀한 파괴 공작이 진행됐음을 의미한다. 이란 측은 당시 원인을 모른 채 설비 고장의 이유를 찾지 못했던 것으로 해석된다.

스턱스넷은 2009년 이란 나탄즈 핵시설의 컴퓨터에 처음 설치된 것으로 알려져 있다. 이 시기에 약 900~1천 대의 원심분리기가 해체·교체된 것으로 분석된다. 핵 과학자 연구소(ISIS) 등은 2010년 IAEA 보고서의 가동 원심분리기 수 감소가 스턱스넷 때문일 가능성을 검토했다. 악성코드는 원심분리기 회전자의 속도를 주기적으로 올렸다 내려 장비에 기계적 스트레스를 주면서 감시 화면에는 정상 값을 보여 주도록 만들어졌다. 운영자들은 오랫동안 장비 고장이 사이버 공격 때문이라는 사실을 알아채지 못했다.

2010년 6월 중순 벨라루스 보안업체 VirusBlokAda가 이란 고객사 컴퓨터에서 반복적으로 재부팅되는 이상 현상을 조사하다 새로운 웜을 발견해 보고했다. 현장 보안 전문가가 원인을 찾지 못해 세르게이 울라센에게 도움을 청한 것이 계기였다. VirusBlokAda가 세부 내용을 공개하자 곧 마이크로소프트, 시만텍, 카스퍼스키 등이 이를 분석하기 시작했고, 이 웜은 네 가지 제로데이 취약점을 이용한다는 점이 확인되었다. 제로데이 한 건도 귀한 마당에 네 건을 한꺼번에 쓴 것은 극히 이례적이었다. 이로써 전례 없는 사이버 무기의 존재가 처음 세상에 알려졌다.

2010년 7월 15일 보안 저널리스트 브라이언 크렙스가 윈도 바로가기 파일 취약점을 악용한 정체불명의 악성코드를 보도하면서 이 웜이 널리 알려졌다. 분석 결과 웜은 도난당한 대만 업체 리얼텍과 제이마이크론의 디지털 인증서로 서명돼 드라이버로 위장했고, 지멘스 Step7 소프트웨어가 제어하는 산업 설비를 노렸다. 이름 '스턱스넷'은 코드 내 파일명에서 따왔다. 일반 PC를 감염시키되 특정 지멘스 PLC 구성이 있을 때만 파괴 기능이 활성화되는 정밀 설계였다. 이 때문에 전문가들은 이를 금전 목적 악성코드가 아닌 국가 지원 사보타주 도구로 보기 시작했다.

2010년 9월 말 이란 관리들은 스턱스넷이 이란 내 약 3만 개의 IP 주소를 감염시켰다고 밝혔다. 이란은 첫 원전인 부셰르 발전소의 주요 시스템은 피해가 없다고 주장했고, 프로젝트 책임자 마무드 자파리는 직원 개인 PC만 감염됐다고 말했다. 그러나 이란이 감염 사실 자체를 공식 인정한 것은 이 사태가 대규모였음을 확인해 준 것이었다. 일부 분석가는 부셰르 가동 지연이 이 웜과 관련됐을 가능성을 제기했다. 이란 감염 규모는 다른 나라보다 압도적으로 커서 표적이 이란이라는 점을 뒷받침했다.

2010년 11월 29일 마무드 아마디네자드 이란 대통령은 '적들이 전자 장비에 설치된 소프트웨어로 우리 원심분리기 일부에 제한적인 문제를 일으키는 데 성공했다'고 말했다. 그는 스턱스넷이나 나탄즈를 직접 거명하지는 않았다. 하지만 전문가들은 이 발언이 스턱스넷이 실제로 원심분리기를 손상시켰다는 사실을 사실상 확인한 것으로 받아들였다. 이 발언은 이란 핵 프로그램이 사이버 공격으로 타격을 받았음을 이란 최고위층이 처음 공개 시인한 사례였다. 또한 사이버 무기가 국가 인프라에 실질적 물리 피해를 입힐 수 있음을 세계에 각인시켰다.

2011년 1월 미국 백악관 대량살상무기 조정관이던 개리 사모어는 이란의 원심분리기 문제를 두고 '그들이 원심분리기 기계에 문제를 겪고 있어 기쁘다'고 말해 미국 개입 가능성을 시사했다. 발언은 구체적 인정이 아니었지만 시기와 맥락상 스턱스넷과 연결해 해석됐다. 이 같은 간접 시인은 이후 2012년 NYT의 상세 보도로 이어지는 단서가 되었다. 국제사회에서는 사이버 무기 사용의 국제법적 정당성을 둘러싼 논쟁이 시작되었다.

2012년 6월 뉴욕타임스는 스턱스넷이 미국과 이스라엘 정보기관의 합동 작전 '올림픽 게임스'의 일부이며 미 NSA가 주도해 개발했다고 보도했다. 이 보도는 데이비드 생어 기자의 취재를 바탕으로 한 것으로, 작전이 조지 W. 부시 행정부에서 시작돼 오바마 행정부에서 확대됐다고 전했다. 또 스턱스넷이 의도치 않게 이란 밖으로 퍼진 경위도 소개됐다. 두 나라는 공식 확인을 하지 않았지만 이후 에드워드 스노든이 2013년 7월 합작 개발이라고 주장했고, 2016년 알렉스 기브니 감독의 다큐 '제로 데이즈'가 이 사건을 다뤘다. 이 사건은 사이버 전쟁 시대의 본격적 개막으로 평가된다.