레바논 일대에서 무선호출기(삐삐)와 무전기(워키토키) 등이 이유 없이 폭발하기 시작했습니다. 레바논 보건부에 따르면 현지시간 18일 기준, 레바논 동부 베카 밸리와 수도 베이루트 외곽 등지에서 헤즈볼라 대원들이 사용하는 휴대용 무전기가 연쇄 폭발해 20명이 숨지고 450여 명이 다쳤다고 합니다. 전날에는 레바논 내 헤즈볼라 거점 곳곳에서 삐삐 수천 대가 동시에 폭발해 어린이 2명 등 12명이 사망하고, 2천7백여 명이 부상을 입었습니다.

​헤즈볼라 사용 무선호출기와 무전기 연쇄 폭발로 대규모 사상 

헤즈볼라는 최근 통신보안을 위해 무선호출기를 대량 구입해 휴대전화 대신 사용해 왔으며, 무전기도 비슷한 시기에 구입한 것으로 알려졌는데요. CNN은 이번 폭발이 "모사드와 이스라엘군의 합동 작전 결과"라고 했고, 월스트리트저널은 "적을 교란하기 위한 이스라엘의 가장 야심찬 비밀 작전 중 하나로 보인다"고 보도했습니다.

이번 연쇄 폭발의 배후로 지목된 미국과 이스라엘의 반응도 미묘합니다. 토니 블링컨 미국 국무장관은 이란에 직접 비공식 핫라인을 통해 "이 사건들에 대해 알지 못했고 관여하지도 않았다"고 언급했으며, 존 커비 백악관 국가안전보장회의(NSC) 국가안보 소통보좌관은 18일 브리핑을 열고 이번 사건과 관련, "우리는 어떤 종류의 확전도 원치 않으며 이 위기를 해결하는 최선의 방법이 추가적인 군사적 작전이라고 전혀 믿지 않는다"고 밝혔습니다.

​작전 실행 직전에 제한적으로 인지했다는 미국, 과연 몰랐을까?

하지만 미국 매체인 악시오스는 이번 사건에 대해 이스라엘측은 미국에 작전 착수 사실을 알렸다고 보도했는데요. 갈란트 이스라엘 국방장관은 공격 돌입 몇 분 전 로이드 오스틴 미 국방장관에 전화를 걸어 곧 레바논에서 작전을 수행할 예정이라고 통보했다고 합니다. 

미국을 완전히 배제하지는 않기 위한 조치로 갈란트 장관은 구체적인 작전 내용은 알리지 않았고, 미국도 이를 심각한 통보로 받아들이지 않았다고 해명했는데요.

그런데 하필 현지에 있는 미국계 기관인 아메리칸 대학 병원(AUMBC)이 공격이 있기 약 2주 전인 8월 29일, 병원 내에서 사용하는 호출기를 새로운 것으로 바꿔서 의심을 더했습니다. 병원 측은 소셜미디어 X(舊 Twitter)에 "우리는 이미 올해 4월에 기존의 낡은 호출시스템 장비를 새 시스템으로 업그레이드했고, 새 시스템으로 전환한 날짜가 8월 29일이다. 우리 병원은 지난 3시간 동안에만 160명이 넘은 환자를 받았다. 병원에 대한 음모론 주장은 전혀 근거가 없다"고 해명했지만 의혹은 커져만 가고 있습니다.

현재 폭발한 기기의 제조사로 처음 지목됐던 대만 기업은 관련성을 부인했고, 이 회사와 라이선스 계약을 맺고 무선호출기를 팔았다는 헝가리 업체는 이스라엘 정보기관의 '페이퍼컴퍼니'(유령회사)란 의혹에 휘말리고 있습니다. 또 불가리아의 한 컨설팅 업체도 무선호출기 판매에 관여한 정황이 드러나면서 '삐삐 폭탄' 제조자를 찾아내기 위한 조사가 국경을 넘어 갈수록 확대되는 양상이 나타나고 있기까지 합니다.

​오랜 기간 준비가 필요했을 동시 폭발 해킹 공격

이번 사건에서 이상한 점은 2가지입니다. 하나는 어떻게 오염된 장비를 사용하도록 유도했는지, 하필 이스라엘군의 주력부대가 준비되지 않은 급박한 상황에 일제히 발생했는가 하는 점입니다. 

많은 안보 분석가 역시 이번 작전에 대해 독립적으론 큰 전략적 의미가 없으며 국제적 여론만 나쁘게 할 것이라고 했습니다. 전직 모사드 고위 요원이었던 오데드 에일람은 워싱턴포스트에 "최근 이스라엘의 잇단 암살 성공으로 인해 헤즈볼라가 로우-테크 장치로 가기로 한 기회의 창을 활용하려면, 폭발물 설치에서 작동까지의 시간을 최소화해야 한다"고 언급했는데요. 여기에서 두 번째 질문에 대한 답이 나올 수 있다고 생각합니다.

미국 ABC 뉴스는 미 정보당국 소식통을 인용한 보도에서 "이런 종류의 작전은 최소 15년 동안 계획돼 온 것"이라고 말했습니다. 이스라엘은 문제의 작전을 위해 페이퍼 컴퍼니 여러 개를 운영했을 뿐 아니라 여러 계급의 이스라엘 정보요원과 자산들을 활용해 실제로 무선호출기를 생산하는 합법적인 회사를 운영하기도 했다"고 보도했는데요. 긴 시간 준비한 작전이 우발적으로 수행된 것이 아닌가 하는 생각을 해 볼 수 있습니다.

​작은 무선호출기로 막대한 폭발력을 낼 수 있었던 이유 

하지만 우리에게 더 큰 화두가 되는 것은 첫 번째 질문입니다. 일각에서는 배터리가 폭발한 것이 아닌가 하는데, 리튬 배터리가 화재의 원인이 될 수 있는 것은 사실이지만 폭약이 되는 것은 불가능합니다. 이번 사건은 100% 사전에 폭약이 장입된, 오염된 장비가 정확하게 유통된 것이라고 봐야 합니다. 

실제 다양한 현지 매체나 분석가들 역시 PETN(PentaErythritol TetraNitrate, 펜타에리스리톨 테트라니트레이트)이 사용되었을 가능성을 매우 높게 보고 있는데요. 최근 생산되는 폭약은 생각보다 더 적은 양으로도 점화될 수 있습니다. 알 자지라는 "레바논 정부는 불발한 호출기를 분해해 PETN 1~3g가량이 들어 있다는 사실을 확인했다"며 "사전에 정해진 메시지를 보내면 폭발하도록 설계된 이 호출기의 배터리 주변에선 공 형태의 금속이 발견됐는데, 이는 폭발 시 총알처럼 튀어나가 폭발의 치사율을 높인다"고 보도하기도 했습니다.

군에서 사용하는 훈련용 수류탄 역시 뇌관에 직접적으로 들어간 폭약은 1g보다 적은 양이죠. 그래도 손에 쥐고 터뜨리면 충분히 큰 상해를 입힐 수 있을 파괴력입니다. 거기에 파편이 비산할 수 있도록 금속체까지 추가되어 있는데요. 몸에 가장 가깝게 지닌 무선호출기나 무전기라면 충분히 큰 피해를 입힐 수 있습니다. 무선호출기와 같은 통신수단에 이 폭약을 장입한 것은 원격으로 기폭신호를 전달하기 위해 선택된 방식이었겠죠.

​해킹의 시작, 조작된 무선호출기 도입 유도를 위한 정보전

이번 폭약이 100% 의도된 작전이라면, 그렇다면 어떻게 불특정 다수의 장치를 헤즈볼라가 채택하도록 한 것일까요? 어떻게 기존 기기들을 버리고 일괄적으로 이 기기들을 채택하도록 했고, 또 일상적 통신기기의 신호와 어떻게 구별되게 기폭신호를 보냈는지를 생각해봐야 할 것입니다. 

통신기기 중 위치추적이 안되는 통신기기는 무선호출기가 유일합니다. 앞서 이스라엘이 지속적인 암살 작전에 성공하면서 헤즈볼라에게 하이테크 장비에 대한 공포심을 심어줬다는 보도가 있었습니다. 그 공포심을 이용해 로우-테크 장비를 채택, 대원들에게 배포하는 것은 어렵지만 가능할 수 있는 영역입니다. 또한 대만 등의 유령회사를 통해 십여 년에 걸쳐 기폭장치가 달린 무선호출기를 제조, 헤즈볼라에 납품했다고 하는데요.

실제 폭발한 무선호출기는 대만 골드 아폴로사 로고를 달고 있었지만 골드 아폴로측은 폭발한 장비가 자사 브랜드 사용 허가를 받은 헝가리 업체 'BAC 컨설팅 KFT'가 제조한 것이라고 주장했습니다. 이 과정에서 폭발물과 기폭장치가 심어졌을 것이라는 거죠. 그런데 이 회사는 이스라엘 정보당국의 유령 회사로 밝혀졌습니다. 

​여론전, 심리전, 사회공학적 공격이 포함된 복합적 해킹 

이들 업체는 일반인들에게도 무선호출기를 판매했지만, 헤즈볼라 쪽에는 PETN을 넣은 배터리가 장착된 제품을 따로 생산해 판매했다고 당국자들은 말했습니다. 이들 기기는 2022년 여름부터 헤즈볼라 쪽에 소량씩 공급돼 왔으며, 헤즈볼라 최고지도자인 하산 나스랄라가 이스라엘의 휴대전화 원격 해킹 가능성을 우려해 내부 통신 매체를 무선호출기로 제안하면서 잠재적 위협성은 실체적 위협으로 변하게 되었습니다.특히 지난해 10월 팔레스타인 무장 정파 하마스와 이스라엘의 가자전쟁이 시작된 뒤 무선호출기 사용 빈도는 늘어났는데요. 헤즈볼라는 지난 여름 수천개의 무선호출기를 추가로 수입, 다수를 헤즈볼라와 헤즈볼라 지원 세력 쪽 관계자들에게 보급했다고 합니다. 

공격과 괴소문 확산의 배경에 이스라엘의 여론전이 있었다는 이야기까지 나오고 있습니다. 실제로 이스라엘이 휴대폰을 해킹해 원격으로 마이크와 카메라 등을 작동시켜 소유자를 감시할 수 있다는 기술을 개발했다는 이야기는 몇 년 전부터 아랍권에 퍼져 있었습니다. 

무선호출기가 헤즈볼라에 대거 배포된 배경엔 그 어떤 휴대전화 통신도 더는 안전하지 않다는 소문, 그리고 메시지를 받기만 하는 무선호출기는 기지국으로 어떤 정보도 보내지 않아 자신의 위치를 노출하지 않는다는 '갑자기 생긴 정보' 때문이었겠죠.

​실제 물리적 피해까지 가능해진 해킹 공격의 위험성 

우리는 이 공격이 10여년 전부터 기존 사이버 보안에 경각심을 울렸던 APT(Advanced Persistent Threat) 공격과 유사하다는 것을 인지해야 합니다. 기존 해킹이 사이버 공격을 통한 개인정보 누출, 심하게는 랜섬웨어 배포 등에 초점을 두었다면 지금은 물리적인 상해까지 입힐 수 있도록 진화한 것이죠. 

거기에 각종 사회공학적 해킹 기법을 활용해 사람들의 심리를 악용하여 이런 악성 공격을 실행한 것으로 보입니다. 유출된 개인정보를 수집하고 가족 중 하나의 전화기를 끄게 할 정도로 스팸 공격을 가한 뒤 스팸 공격을 받아 연락이 안되는 당사자의 목소리를 변조, 입금을 유도하는 보이스 피싱 공격 역시 이와 본질적으로는 유사한 공격입니다. 

​지난 딥 페이크 사건과 같이 다양한 공격 과정에서 본격적으로 심리적, 사회공학적 기법들이 적극적으로 활용되고 있는겁니다. 개인이 경각심을 가지고 조직이 보호를 한다고 모든 부분에서 생긴 취약점을 완벽히 막을 수는 없겠지만, 우리는 보안이 다양하고 복잡한 고리 중 가장 취약한 부분을 항상 노리고 있다는 것을 인지하고 항상 주의하고 대비해야 할 것입니다.