어두운 복도를 따라 행진하는데

천사와 악마가 나란히 살고 있는거죠

그런게 바로 인생인 거예요

(이란 국영TV 다큐멘터리)

우리는 민주주의 체제들의 불균형적이고
불평등한 대립 속에 살고 있고

민주주의를 농담이라 여기는 구성원들과
규칙 속에서 살아야만 합니다

"혐오는 널 마비시키고 사랑만이 너희를
구원할거야"라고 한들

광신도들한테 그런 말이 먹힐리가 없죠

제각기 다른 규칙으로 움직이니까요

제로 데이즈 (Zero Days, 2016)

"오늘 테헤란에서 테러범들이 이란
핵물리학자 두명을 암살했습니다"

"연쇄 테러 중에서 가장 최근것..."

"오늘 테러는 중대한 전략적 파괴행위의
특징들을 모두 보여주고 있습니다"

"이란은 즉시 미국과 이스라엘이 자국
핵프로그램을 방해한다며 비난했습니다"

(아마디네자드 이란 대통령)

"불행히도 의심할 여지 없이,
오늘 벌어진 암살 사건에는"

"서방 세계와 시오니즘 세력들이
연관되어 있습니다"

"딱잘라 말해서 이란에서 벌어진
폭력 사건에"

"미국이 연관된 일은 전혀 없습니다"

비밀 작전은 도움이 되고, 지원이 되죠

필요한 것들이지만,
항상 필수적인건 아닙니다

작전은 절대 정치적 현명함을
대체할수가 없어요

(알렉스 기브니) 스턱스넷 컴퓨터 공격에
이란 암살사건이 연관되어 있었나요?

음, 다음 질문 주세요

"위험하고 강력한 새로운 사이버 웜이
이란 국가시설을 노리고 있습니다"

이른바 스턱스넷 웜은 현실세계의 발전소,
공장, 정유공장을 파괴하도록

명확하게 설계된 것으로 보입니다

"정보를 훔치거나 신용카드를 빼돌리려
시도하지도 않습니다"

"다만 산업시설에 침투해서 혼란을 초래하고
엔진을 폭파하려고 시도하죠."

"스턱스넷은 전세계를 공격했습니다"

"이란에서만 3만건 이상의 공격이 확인됐습니다"

"슈퍼 컴퓨터 바이러스에 각국 정보기관들이
긴장하고 있습니다"

"테러리스트들이 정보를 획득했을수 있습니다"

"누가 웜을 만들었고 노리는 바가 무엇인지
아무도 모르지만"

"이란이 이스라엘 또는 미국에 책임을 물어
보복할 것에 대한 우려가 있습니다"

"해커 그룹이 했을 가능성도 없지는 않습니다만"

"전문가들에 따르면 분명히 국가적인
지원이 필요했을 것이라고 합니다"

각본, 감독: 알렉스 기브니

"오케이, 갑니다"

(기브니) 오케이, 좋아요. 갑시다

결국 스턱스넷 공격은 어떤 결과를
가져왔던 겁니까?

말해주실수 있으세요?

자세한 내용은 말하지 않겠습니다

사건은 이미 벌어진 것이니만큼,

좀더 공개적, 공식적으로 스턱스넷에
대해서 얘기하실수는 없습니까?

예, 하지만 제 대답은,
기밀사항이기 때문에 안됩니다.

저는 알지 못하고...
기밀에 대한 어떤것도 제공할수는 없습니다.

스턱스넷에 대해 많은걸 얘기하실수
없다는건 압니다

스턱스넷은 공식적으로 기밀이니까요

말씀하신 부분들이 다 맞습니다

하지만 그동안 언론에 보도된 내용들이
매우 많습니다

거기에 대해서는 할말이 없습니다

저도 신문, 방송을 통해 알고 있지만

덧붙여 자세히 설명할수는 없습니다

공적인 문제에 대해 얘기할수 없다는 것에
불만스러우실수 있겠죠

하지만...

- 저는 불만스럽습니다
- 예, 그러시겠죠

그 질문에 저는 답변 안하겠습니다

불행히도 할말이 없습니다

어떻게 답해야 할지 모르겠네요

시작하기 전에 하셨던 질문 두개,
저는 모릅니다

안다고 해도,
어차피 여기서 할얘기는 아니죠

모든게 비밀이라면
어떻게 토론을 하란 말씀이시죠?

지금은 어쩔수 없는것 같아요

아무도...

고백하고 잘못을 인정하면
국가들이 안좋아하죠

시스템이 어떻게 변해야할지
그들도 잘 모르니까요

스턱스넷의 배후에 누구든간에,
그들은 배후라고 인정한적이 없어요

책임자들에게 스턱스넷에 대해 묻는것은
불만스럽고 초현실적인 일이었다

새 옷이 어떠냐고 황제한테 묻는것 같았다

전세계의 컴퓨터를 감염시킨
사이버 무기가 드러난 이후에도

그것이 실수였다고 인정하거나, 어떤 위험을
불러왔는지 논하려는 사람은 없었다

스턱스넷 작전이 감추고자 했던건
무엇이었을까?

아마 컴퓨터 코드 스스로 밝혀줄 길이
있을지도 모른다

스턱스넷은 벨라루스에서 처음 발견되었다.
최초 발견자와 통화해보기로 했다

그의 이란 고객은 컴퓨터 마비현상이
퍼져나갔을때 혼란에 빠졌다

전에도 이렇게 복합적인걸 본적이 있었나요?

예전에도 복잡한 바이러스를 많이 봤지만

그것들에게는...

이런 제로데이가...

없었죠

이런걸 본적은 처음이었습니다

이걸 보고 나서 생각한건

하루빨리 웹보안 회사들한테 알려야겠다

어떤 위험성이 있는지에 대해서요

악성코드 발견 by 세르게이 울라센

최초 발견 날짜: 2010년 6월 17일

"바이러스가 취약성을 통해 운영체제에
감염되는 방식이 특이함"

"이 악성코드는 "매우 위험한" 범주로
분류되어야 함"

"리포트 고마워요. 굉장하네요,
어쩌면 치명적인 영향을 줄것 같네요"

"이 악성코드 내부를 들여다본 사람
혹시 있어요?"

(시만텍 리서치랩,
산타모니카, 캘리포니아)

(에릭 첸) 기본적으로 매일 저희는
수많은 짚더미 속에서

의미있는 바늘 하나를 찾아내려고 하죠

수백만개의 새로운 악성코드가 발견되고

매일 수백만개의 공격이 진행되는 셈이예요

그런식으로 저희가 사람들과 컴퓨터와
시스템과 국가 산업시설이

저런 공격으로부터 다운되는걸 막기 위해
노력하는 거예요.

하지만 더 중요한건,
실제로 위험한 공격을 찾는거예요

수많은 대상을 보호해야 하므로,
그 중요성도 굉장히 높은거죠

(모스크바, 러시아)

(유진 카스퍼스키) 20년전에
안티바이러스 회사들은

컴퓨터 바이러스만 잡으면 됐어요.
그 숫자가 많지 않았거든요

그당시, 대략 한달에 10, 20건이었으니
얼마 안됐죠

근데 지금은 한달에 고유한 공격
백만개 이상이 접수돼요

(비탈리 캄룩) 이 방을 저희는
"딱따구리방"이라 불러요. 바이러스랩이죠.

이 자리에 분석가들이 앉고요

분석가들이 웜, 네트워크웜, 바이러스를
잡아내기 때문에, 딱따구리방이라 불러요

사이버 공격자들은 대략 세그룹의
해커로 나뉘어볼수 있어요

먼저 전통적인 사이버 범죄자들.

이들은 불법 이윤, 빠르고 음성적인
자금에만 관심이 있어요

다음이 운동가들, 또는 핵티비스트들.

이들은 재미삼아, 또는
정치적 메시지를 던지려고 해킹을 하죠

마지막 세번째 그룹은 국가예요

이들은 고급 정보 또는
파괴행위에 관심이 있죠

보안회사들은 정보 뿐만 아니라
바이너리 샘플 역시 서로 공유해요

벨라루스 보안회사가
이란 고객 시스템을 통해

이 공격을 발견했을때, 그 샘플도
보안회사들 사이에서 공유됐어요

보통 바이너리 파일 안에 포함된 문자열을
골라서 해당 공격의 이름을 짓거든요

이경우에도, 포함된 단어 몇개를 조합해서
STUXNET이라는 단어를 만들어냈어요

우리회사 엔지니어한테너 스턱스넷에
대한 소식을 들었어요

그가 제 방문을 열고 들어와서 하는말이
"유진, 전에 그러셨잖아요"

"진짜 나쁜 뭔가를 기다린다고요.
그게 나타났어요."

(함부르크, 독일)

당시 연구실 분위기가 어땠는지
조금 알려주세요

진짜 특별한걸 발견했으니
놀라워하는 분위기였나요?

(랄프 랑너) 놀라워했다기보다는,
충격받았죠

최악의 공포와 악몽을 넘어섰고
분석할수록 그 느낌은 계속됐죠

연구를 진행하면 할수록,
전체 스토리가 기괴해졌어요

(리암 오머쳐) 매일 악성코드를 들여다봐서
저희는 어떤 코드든 보자마자 감이 와요

"그래, 이건 좀 나쁜거니까,
좀더 살펴봐야겠구나"

스턱스넷을 처음 봤을때도
그런 식으로 접근했어요

열어봤는데 전체가 악성으로 뒤덮였어요.
이런 식이예요, 여기도 나빠, 저기도 나빠.

그럼 좀더 살펴봐야지, 그랬더니
갑자기 100개 넘는 질문이 쏟아졌어요

재미있는건, 우리가 형사 일을 한다는거죠.
배후에 누가 있는지 추적하는일,

그들이 무슨일을 하는지, 동기는 뭔지,
그리고 뿌리를 잡아 뽑으려고 노력하고요

시간이 소모되죠. 퍼즐의 새로운 조각이
나와도 맞추기 굉장히 힘들어요

새벽4시까지 일하고, 문제를 밝혀냈죠

사로잡히고, 흥분되었고,
무슨일이 벌어지는지 궁금했죠

에릭도 비슷했어요. 저희 둘이서
하루종일 왔다갔다 했어요

리암과 제가 코드 들여다보고 조각 공유하고
노트 비교하고 아이디어도 교환했죠

심도 분석을 했고, 악성코드를 분해해서

바이트, 0, 1 단위까지 나누고
그속에 모든걸 이해했어요

참고삼아, 저희는 보통 공격코드를
줄단위까지 이해하는데 몇분이면 충분해요

근데 이 공격은 한달을 들여다봤는데도
내용과 목적을 이해하는데 첫발을 겨우 뗐어요

스턱스넷 코드를 봤더니, 평균 코드 크기의
20배 되는데, 그안에 버그가 거의 없었어요

이건 굉장히 드문 경우예요.
악성코드는 항상 버그를 갖고 있거든요

스턱스넷은 안그랬어요

빽빽했고 각 부분이 뭔가를 수행했고,
공격을 위해 필요한 일을 잘 해냈어요

우리를 놀라게 했던건 스턱스넷이
"제로데이 악성코드"를 이용했다는 건데요

이것 때문에 별다른 어려움 없이 쉽게
확산될수 있었던거죠

파일을 다운받고 실행할 필요도 없어요

제로데이 취약점은 그 공격자를 제외하면
아무도 모르는 취약점이예요

따라서 이 공격에 대한 방어는 불가능하고
공개된 패치도 없어요

이 공격에 대해 방어할 시간이
"Zero Days"예요, 없어요.

공격자들이 좋아하죠,
100퍼센트 알수 있으니까요

제로데이 악성코드를 갖고 있으면,
침입하고 싶은곳은 어디든지 들어갈수 있어요

실제로 굉장히 가치가 높아요

지하시장에서 10만달러에 거래되죠

이어서 제로데이 몇개를 더 발견하고 나서
우린 더 걱정이 됐어요

사실 제로데이는 매우 희귀한데요.

스턱스넷에서만 4개의 제로데이를 봤고

반면 그해 연말까지 다른데서 발견한
제로데이는 불과 12개였어요

다른 모든걸 압도했죠,
그런건 절대 본적이 없었어요

그 이후에도 본적이 없었고요

악성코드 하나에 제로데이 하나는 이해돼요.
왜냐하면 제작자가 그렇게 돈을 벌거든요

신용카드 정보 훔쳐서 돈버니까,
해볼만한 가치가 있잖아요

하지만 제로데이 4개면
거의 50만달러 만큼의 가치란건데

그것도 악성코드 하나 안에요.
이건 보통 갱들이 할만한 짓이 아니죠

이건 누군가 거물이죠

전통 범죄집단도 아니고,
핵티비스트도 아니면, 누구겠어요?

초기부터 이 악성코드의 복합성으로
미루어 짐작해볼때

최소한 1개 국가 단위가 분명히
연관되어 있겠구나 했죠

입수한 코드를 들여다본 결과

국가 또는 국가가 지원하는 공격자
같았어요. 이들은 깨끗히 세탁하거든요

이들은 조그만 흔적도 남기지 않아요.
꼼꼼히 지우죠

하지만 스턱스넷에는 사실 몇개의
힌트가 숨겨져 있었어요

하나는 이거예요. 마이크로소프트
윈도우 저수준 접근을 하기 위해

스턱스넷은 코드를 인증하는
디지털 인증서가 필요했는데

이게 특정 회사에서 나온 인증서였죠

공격자들이 당연히 마이크로소프트에
직접 가서 이럴순 없었겠죠

"야, 우리 코드 좀 테스트해줘,
디지털 인증서도 좀 줘"

그래서 그들은 타이완에 있는
두 회사로부터 인증서를 훔쳤어요

이 두 회사는 같은 비즈니스 구역에
위치한것 말고는 공통점이 전혀 없었죠

(신추 단지, 타이페이)

디지털 인증서는 매우 삼엄한 경비로 지켜지고

다중 출입문에, 여러 사람이
인증해야만 열수 있어요.

"카메라로"

게다가 생체인증에 암호문 제공도 해야하죠

인터넷에 연결된 컴퓨터에 인증서가
설치된 그런게 아니예요

인간이 결부되어야 하죠. 스파이.

야간에 오는 청소부같이 회사들에 잠입해서
인증서를 훔쳐온거예요

제임스 본드 영화의 한장면같이 느껴지는데

갈수록 혼란스러워지잖아요.
이런걸 예상한건 아니었으니까요

탐색을 계속했고,
코드를 계속 들여다봤어요

그러다가 결국 추적해볼만한
작은 단서를 발견했죠

지멘스와 관련된 뭔가였어요.
지멘스 소프트웨어, 어쩌면 하드웨어.

지멘스를 공격대상으로 삼는 악성코드는
전혀 본적이 없었어요

왜 그런짓을 하겠냐고 생각했죠

하지만 검색을 해보고 깨달았죠.
이건 지멘스 PLC를 노린거구나.

스턱스넷은 PLC(프로그래머블 로직 컨트롤러)
라는 특정 하드웨어를 노린거였어요

PLC는 물리적 장치에 부착되는
소형 컴퓨터와 비슷합니다

펌프, 밸브, 모터 같은 장치에 들어가죠

이 작은 박스가
디지털 프로그램을 작동시키고

프로그램이 작동해서 모터의 전원을
켜고 끄거나 속도를 조절합니다

이 프로그램 모듈 제어기가
발전소나 전력망 등을 제어해요

공장 또는 핵심 산업시설에 사용되죠

핵심 산업시설은 우리 주위 어디에든 있어요

운송, 통신, 금융, 헬스케어

스턱스넷 코드는 우리 세상의 매우 중요한
부분을 공격하도록 디자인되었어요

코드 내용이 매우 중요하고요,
실행되면 매우 위험한 결과를 초래할수 있어요

악성코드가 저희 연구실 시스템을
감염시켰을때 또한번 크게 놀랐죠

그 악성코드가 컨트롤러를
탐색한다는걸 밝혀냈어요

대상을 매우 꼼꼼하게 골라내더라고요

네트워크 상에 보이는 아무 컨트롤러나
잡고 공격하는 방식이 전혀 아니었어요

몇번의 검사를 수행하고, 검사가 실패하면
공격을 수행하지 않았어요

특정 공격대상을 골라내는 것임이 분명했죠

참고삼아 말씀드리자면,
그당시에 이미 깨달았습니다

아, 이건 지금까지 우리가 본것들 중에서
가장 복합적인 악성코드구나.

좀 이상했죠. 그 많은 노력을 쏟아부어서
하나의 특정 대상만 공격한다?

그럼 매우 중대한 공격대상이어야 할테죠

저희 시만텍은 전세계 네트워크를
탐색하면서 악성코드 활동을 지켜봅니다

전세계에 걸쳐 스턱스넷의 감염을 목격했죠.
미국,호주,영국,프랑스,독일,유럽 전역.

전세계 윈도우 컴퓨터에 감염됐어요

미국 산업제어설비 담당 기관에서는
우리한테 이렇게 물었죠

"우리 감염됐는데, 어떻게 해야해?"

이 코드가 특정 공격을 수행하는
데드라인이 있는건지 우린 몰랐어요

어느날 갑자기 전세계 발전소가
다 꺼질수도 있잖아요

아니면 다른것들을 꺼버리거나
또는 다른 공격을 시작할수도 있고요

스턱스넷이 심각한 결과를
불러올수 있다는걸 알았고,

코드에 포함된 내용으로 볼때
걱정이 많이 됐죠

시한폭탄이 터지기 전에 긴급히
해결해야 한다는 생각이었어요

결국 통계분석 결과 세계 최다 감염국은
이란이라는 것을 밝혀냈어요

그게 또 우리 눈을 의심케 했어요

이란에서 주로 발생하는 공격은
전혀 본적이 없었으니까요

일반 뉴스에 어떤 내용이 있는지,
세계정세가 어떤지 살펴보기 시작했어요

그때 실제로 이란 안팎에서
송유관 폭발사고가 여러건 있었어요

의문의 폭발이었죠

물론 당시 핵물리학자들이 암살된 것도
주시했어요

걱정이 됐죠. 뭔가 안좋은 일이
일어나는걸 알았어요

스스로 걱정이 되셨나요?

이를테면, 가끔씩 등뒤를 돌아보기
시작했다든지?

예, 물론 등뒤를 돌아보곤 했고요,
전화통화 내용에 대해 조심했죠

분명히 제 전화통화를 누가
엿들을거라고 생각했어요

반농담조로 이랬어요,
서로의 얼굴을 바라보면서 이러는거죠

"난 자살따윈 안해. 월요일에 내가 사체로
발견되면, 내가 그런거 아냐, 알지?"

"W32.Stuxnet 기록 by 에릭 첸"

"스턱스넷 분석은 우리가 해본 분석 중
최대 도전이었다"

"놀라움, 막다른 골목, 실망스런 순간으로
가득찬 여정"

- "최종 목표는 불명"
- 여름 내내 스턱스넷 자료를 공개했어요

- "산업계의 비협조에 대한 글 잘 읽었어요"
- 그러다 11월에 네덜란드의 어떤
산업제어시스템 전문가한테 연락이 왔는데,

"제가 자원해서 도와드리고 싶어요"

이 기기들 모두 산업제어시스템에
속하므로 고유번호가 있을테니까

그걸로 기기의 모델명을 알아낼수 있단 거예요

실제로 코드 안에 고유번호 몇개가 있었고,
그때까진 그게 뭔지 잘 몰랐던거죠

그가 뜻하는 번호가 우리가 갖고있던
매직넘버일거란걸 깨달았어요

그얘기를 토대로 매직넘버를 찾아봤는데

공격대상이었던 산업제어시스템에
연결된 기기들은

두 회사에서 출시한 주파수 변환기였는데

그중 한 회사가 이란에 있었어요.
그때 깨달았죠

"공격대상 설비는 이란에 있는게 분명하다"

"이란 제조사에서 만든 장비이겠구나"

그 주파수 변환기들은 원자력 규제위원회에
의해 수출제한 된것을 밝혀냈어요

당연히 우리의 시선은 핵시설로 옮겨갔죠

이것은 컴퓨터를 넘어선 이야기였다

그래서 난 안티바이러스 형사들의 세계를
떠나서 언론인 데이비드 생어를 찾아갔다

그는 사이버, 핵무기, 그리고 스파이 행위
영역에 걸친 보기드문 전문가이다

(데이빗 생어) 이 코드가 발견됐을때
저는 진행상황에 긴장했어요

이 작전의 비밀스런 특징 때문에

공식 정부 대변인들이 언급할수 없었음은
물론이고, 아예 모르는 이들도 많았어요

파고 들어가면 갈수록,
일부분에 연관된 개인들을 찾거나

일부분이라도 목격했던 개인들을
더욱 찾게 됐죠

그러면서 미국인들과, 이스라엘인들과,
유럽인들과 이야기했는데

왜냐하면 이것은 분명히 국가가
공격적인 목적으로 사이버무기를 사용한

첫번째이고 최대 규모이고 가장 복합적인
사례이기 때문입니다.

(테헤란 핵연구소, 1967년 설립)

저는 이란 핵프로그램에 대한 이해와
약간의 역사를 얘기하고 싶은데요

이란이 어떻게 첫번째 원자로를 세웠나요?

우리가 준겁니다. 샤(국왕)가 통치할때에.
당시 국왕이 미국의 우방이었으니까요

(팔라비: 이란 국왕 1941-1979)

"따뜻한 환영에 감사합니다, 대통령 각하"

(개리 세이모어) 닉슨 정권기에 미국은
이란의 핵프로그램 지원에 매우 적극적이었습니다

그러다 닉슨 정부는 파키스탄과 이란이 함께
발전소를 지어야 한다고 주장했어요

이란 국왕은 핵무기를 만들 생각이었다는
증거가 남아있습니다

왜냐하면 미국이 이란을 페르시아만의
경찰로 키워줄거라고 이란 국왕은 믿었거든요

게다가 이란인들은 자신들이 자연스럽게
중동에서 패권을 갖는다고 믿어왔고요

당신들 독일인들, 영국인들한테는
그게 왜 당연한건가요,

그...

핵무기, 수소무기를 보유하는거요.

우리 이란은 자주국방과 자국의 이익보호도
못하게 하면서 다른나라는 그래도 됩니까?

하지만 1979년 혁명으로 국왕이 몰락하고

원자로가 본격 가동되기도 전에
핵프로그램 예산은 대폭 삭감됩니다

혁명후 미국의 대 이란 전략은
핵기술 보유금지 였어요

제가 활동하던 80년대, 90년대에

미국은 세계를 돌아다니면서
잠재적 핵보유국들한테

이란한테 절대 핵기술을 제공하지
말라고 설득했어요

근데 1980년대 중반에 핵기술이 파키스탄에서
이란으로 비밀리에 이전된것을 미국은 몰랐죠

(롤프 모왓라슨) 압둘 카데르 칸은
파키스탄 핵프로그램의 아버지예요

그는 강력한 권한과 자신감으로

파키스탄 정부에서 핵무기의 도입과
생산을 이끌었어요

저는 CIA 요원이었어요

20년 이상 작전장교로 일했고,
대부분 해외에서 활동했어요

A.Q. 칸의 네트워크는 훌륭했죠

왜냐하면 수십년간 파키스탄
핵프로그램 이끈것도 그렇지만

그덕택에 이란을 포함한 다른 국가들이
핵무기를 개발할수 있었습니다

칸은 파키스탄 정부 편에서
이란 관료들과 협상했고

두바이를 통해서 핵무기 이전이
이루어졌습니다

핵무기 디자인 청사진과 하드웨어까지요

1980년대 중반, 이란 핵프로그램은 잘
지원되지 못하여 연구개발에 머물렀어요

그러다 1990년대 중반에 핵무기를 만들자는
결정이 내려져서 급물살을 타기 시작하죠

무엇이 그들을 움직였는지 추측해보죠

제생각에 그건 미국의 쿠웨이트, 이라크
침공이었어요

이라크와 이란 사이에 8년 전쟁이 있었고

미국은 사담의 군대를 몇주만에 없애버렸죠

테헤란 정권을 핵무기 제작으로
몰아가기에 충분했어요

"이런 국가들과 그들의 테러리스트 동맹들은
악의 축을 결성하여"

"무장하고 세계 평화를 위협하고 있습니다"

2003년부터 2005년까지 그들이 미국의
침략을 두려워할 당시에

그들은 핵프로그램의 제한을 받아들였어요

그러나 2006년, 이란이 내린 결론은

미국이 아프간과 이라크에 발목잡혀서
이란을 협박할 여유가 없다는 것이었죠

농축 프로그램을 재개해도 괜찮겠다고
판단하여 저농축우라늄 생산을 시작합니다

원심분리기를 추가생산하여 나탄즈의
대규모 지하 농축시설에 설치했어요

"언론인으로서 터널을 지나 이란 핵시설의
심장을 방문하는건 하나의 사건입니다"

"오늘 대통령 각하의 발전소 방문
덕분입니다"

"10년동안 핵협상하라는게 서방의 뜻이겠죠"

(아마디네자드)

"우리 원심분리기 20개 설치 허용을
그들이 결정하겠다 하겠지요"

"물론 이란은 거절할 것입니다"

현재 7천여대의 분리기가 바로 여기
지하에서 돌아가고 있습니다

나탄즈 연료농축공장 (이스파한, 이란)

나탄즈에 몇번 가보셨습니까?

(올리 하이노넨) 수년전 CIA를 떠났기 때문에
아주 많이는 못갔어도 꽤많이 갔었죠

나탄즈는 사막 한가운데 있어요

그들이 시설을 비밀리에 지을 당시,
사막 관개시설이라고 불렀었죠

그렇게 큰 시설을 왜 짓는지
지역민들을 설득해야 할것 아닙니까

다수의 포병부대와 공군부대가 있어요

제가 본 어떤 핵시설보다
공중 공격에 대해 잘 보호되고 있습니다

깊은 지하에 있고요

하지만 들어가보면 다른
원심분리기 시설과 비슷해요

저는 전세계를 돌아다녀 봤어요.
브라질, 러시아, 일본

고유 기능은 있지만 전반적으로 비슷해요

고유 원심분리기, 고유 문화,
하지만 기본적으로 절차는 같아요

IAEA의 감시활동도 비슷하죠.
기본 원칙이 있어요

들어오고 나가는 것들을 지켜봐야 하고,
거기에 덧붙여 확인해야 할것은

고농축 또는 무기제작 가능한 우라늄은
안되고, 저농축만 생산한다는 겁니다

(에마드 키예이) 이란 핵시설은
24시간 감시 하에 놓여있습니다

UN 핵감시단, IAEA (국제원자력기구)

이란의 핵분열성 물질은
단 1그램까지도 기록됩니다

핵분열성 물질에 기본적으로 봉인을 붙여요.
IAEA 봉인이 있고요

들키지 않고 봉인을 뗄수는 없습니다

나탄즈에 있었던 우라늄은 매우 특별한
종류였는데요

이름이 동위원소 236이었는데,
우리한테는 수수께끼였습니다

이것은 핵무기를 보유한 상태에서만
볼수있는 종류의 우라늄이거든요

그들이 우릴 속였다는걸 깨달았죠

이런 종류의 장비는 이른바 암시장에서
구매한 것이었고

당시 이란인들은 칸에게 이문제를
지적하지 않았어요

제가 놀랐던건 정교한 생산, 그리고

품질관리와 생산방식이 매우
전문적이라는 점이었어요

몇달 안에 그냥 만들어낼수 있는게
아니었어요

긴 절차의 산물이었어요

원심분리기에 우라늄 가스를 넣으면
수천개의 분리기를 따라 캐스케이드가 되고

그럼 반대편 출구로 농축 우라늄이 나와요

회전 로터를 이용해서 우라늄을 분리하죠

초당 300미터의 속도로 도는데,
음속과 동일합니다

이는 거대한 힘이기 때문에 로터가 휘어서
바나나처럼 보이기도 해요

작은 떨림에도 터져버리기 때문에
균형이 맞아야 해요

또다른 문제가 있어요.
온도를 높여야 하는데

이 얇은 로터가 탄소 섬유로 되어있어요

다른 부분은 금속으로 만들어졌고요

탄소섬유를 가열하면 수축하고,
금속을 가열하면 팽창합니다

회전할때 균형 맞추는게 전부가 아니라

이들이 깨지지 않도록 온도도 맞춰야 해요

매우 정확히 작동해야 하죠.
그래서 이걸 생산하는게 힘든거예요

모델을 만들고 계산할수는 있죠

하지만 결국엔 실제 운용과 경험에
기반해야 합니다

말하자면 하나의 예술 작품이예요

"우리 나라의 국력 덕분에
우리 군대와 혁명적 경비들 덕분에"

"우리의 새벽이 영원히 성공으로 빛난다"

"꿈의 아침이 바다로부터 솟아오르고"

"생명의 가지가 새싹을 틔웠네"

"승리에게 축복을"

이란인들은 원심분리기를 매우 자랑스러워해서
홍보 비디오도 많이 있습니다

4월엔 공식 핵 기념일도 있어요

"신성한 봄에 축복을"

"정원사에게 축복을"

"자랑스럽게 공표합니다, 오늘부터"

"이란는 핵연료를 생산하는 국가의
반열에 올라섰습니다"

아흐마디네자드는 대통령이 되면서부터
밝혔어요

"국제사회가 우릴 배척할경우
우린 그에 대항하겠다"

"그들이 우리한테 더많은 조사,
더많은 협약, 더많은 검사를 요구하면"

"아냐, 우린 안한다.
우리 권리를 위해 싸우겠다"

이란은 핵 비확산 협약의 상징이고
협약 아래에서만 핵보유가 가능하죠

"우린 농축도 할수있어, 국제사회가 뭔데
우리보고 농축을 하라말라 참견이야?"

이게 그가 외우는 주문이고,
그게 대중들을 자극합니다

2007, 8년에 미국 정부는 이란 핵협상에
한해 매우 난처한 위치에 있었습니다

부시 대통령은 이를 공개도 못할수
있다는걸 깨달았고

이란이 핵무기를 만든다고 선언해버렸죠

왜냐하면 이당시 그는 이라크의 WMD
재앙에 혼쭐이 났었거든요

군사 행동은 할수가 없었어요

어느날 콘돌리자 라이스가 부시에게 말하길

"각하, 어떤 이유에서였든, 무슬림 국가
침공은 이라크가 마지막이었습니다"

부시는 이스라엘의 군사행동도
원하지 않았어요

"1938년이고 이란이 독일이고
원자폭탄으로 무장했다면..."

"이란의 핵야망은 중단되어야 합니다"

"그들은 중단되어야 합니다.
우리가 중단해야 합니다, 당장"

"그게 오늘 제가 전해드릴
단 하나의 메시지입니다, 감사합니다"

(리차드 클라크) 이스라엘은 이란을
폭격하겠다고 했고

미국 정부는 만약 진짜 침공하면
어떻게 될까

별의별 시나리오를 상상하고 있었죠.
전부다 끔찍했어요

(마이클 헤이든) 그들이 한계를
알면서도 침공했다면

아니, 그들의 공군력은 매우 좋죠,
소형에다 비행거리도 대단해요

공격대상도 분산되고 강하니까요

우리 생각에 만약 이스라엘군이
공군작전을 시도한다면

그들의 작전을 우리가 중단시킬
작정이었어요

달리말해, 우리정부 생각에 공군작전의
목적은 이란 핵시설 파괴가 아니라

이란-이스라엘 전쟁에 우릴 끌어들일
의도라는 것이었어요

(요시 멜만) 이스라엘은 미국보다도
더 이란 핵프로그램을 두려워했어요

국가의 크기로 미뤄볼때, 지정학상
위치로 볼때 자연스런 생각이었죠

미국은 이란으로부터 수천마일
떨어져 있잖습니까

(아모스 야들린) 양국이
공동 목표에 동의했지만

이란이 핵무기를 못가진다는 내용에
합의한 적은 없어요

어떻게 달성할것인지, 언제 행동할
것인지에 대한 시각차가 있었죠

"부패의 원흉 이스라엘은
지구로부터 추방당할 것입니다"

우리 민족을 파괴하고 섬멸하겠다는
국가 지도자들을

우린 심각하게 받아들이고 있습니다

(유발 스타이니츠) 지금 혹은 향후에
이란이 핵무기를 보유한다면

인류 역사상 최초로 이슬람 광신도,
종교적 광신도들 손에

가장 위험하고 파괴적인 무기를
쥐어주는 셈이고

전세계가 이를 막아야 합니다

이스라엘은 이란 지도층이 핵무기 보유
결정을 이미 내렸다고 믿고 있죠

기회만 되면 바로 만들거라고요

미국의 생각은, 이란이 아직
최종 결정을 안내렸다는 겁니다

저는 무슨 차이인가 싶어요.
아무런 차이가 없어요

최고지도자 카메네이를 찾아가서
물어보지 않는이상 알 방법이 없잖아요

제 생각에, 우리 입장은,

이란이 농축용량 상한선을 못넘도록
하는게 우리의 1차 정책목표입니다

이란이 핵무기를 만들만한 핵분열성
물질을 보유하면

게임 끝이예요

부시 대통령이 언젠가 이랬어요

"마이크, 둘중 하나만 선택하는 대통령이
되고싶진 않아. 폭격과 폭탄."

그쵸? 부시 대통령이 원했던건...

차기 대통령 역시 둘중 하나만 선택해야
하는건 최대한 피하게 해주려는 거였어요

이스라엘이 우리 뜻대로 가게 하려고,
우린 적극적으로 문제를 해결하고 싶었어요

이스라엘과 미국의 정보기관 협력은
매우매우 잘되고 있습니다

그래서 이스라엘은 미국한테 가서
"알아, 당신들은 이란 폭격을 원치 않잖아"

"그래, 그럼 다른 방법으로 해보자"

그래서 미국 정보국은 이스라엘과 함께

합동 부대 구성을 시작했어요

어느날 정보기관 요원, 군 장성들이
부시 대통령 사무실에 찾아와서

이랬어요. "각하, 저희한테 아이디어가
있는데, 위험부담이 큽니다"

"잘 안될수도 있지만, 한번 보시죠"

코드를 분석해나가던 중에

이란에서 공개한 사진들을
유심히 들여다보게 되었어요

2008년 언론공개 당시에 아마디네자드가
빛나는 원심분리기와 함께 찍힌 사진이죠

나탄즈 원심분리기 사이를 걸어가는
아마디네자드의 사진은

매우 중요한 단서를 알려줬어요

엄청나게 많은걸 알려줬죠

우선, 사진이 보여주는건

아마디네자드를 수행하는 핵프로그램
관련자들의 모습이예요

아마디네자드에게 뭔가 보여주는
이 사진은 매우 유명하죠

그의 얼굴은 보이지만, 스크린에
뭐가 있는지는 안보여요

그의 등뒤에 서있는 과학자들 중 한명은
몇달후 암살당합니다

어떤 사진 한장에, 컴퓨터 스크린의
일부가 보이는데요

보통 이것을 SCADA 스크린이라 부릅니다

SCADA 시스템은 기본적으로 컴퓨터에
돌고있는 소프트웨어의 일부예요

운영자가 프로세스를 관찰하게
해주는 시스템이죠

스크린을 자세히 들여다보면 볼수 있는데

원심분리기 배열의 상세한 모습이죠

총 6개 그룹으로 나뉘고
각 그룹이 164개의 분리기로 이뤄져있어요

이게 뭐냐면요

우리가 공격 코드에서 봤던것과
정확히 일치하는 배열이예요

악성코드가 6개의 서로다른 그룹을
공격한다는게 매우 확실해졌죠

6개 그룹 안에 있는 물체들,
그것들은 164개의 요소예요

실제 물리적 테스트가 가능했나요?
아니면 단순한 코드 분석일 뿐이었나요?

예, 당연히 저희가 핵농축설비를
따로 제작할수는 없었고요

그래서 동일한 모델의 PLC를 구했고

공기 펌프도 주문했죠,
개념 증명을 위해서요

저희가 발견한걸 사람들한테 보여주려면
시각적 데모가 필요했어요

이것저것 생각해보다가
풍선을 부는 방법으로 결정했죠

풍선을 불다가 5초후에 중단하는 프로그램을
만들수 있었고요

풍선을 특정 크기까지만 부니까
터지지 않고 안전하겠죠

그리고 사람들한테 "이게 PLC에 있는
코드입니다"라고 했고요

타이머에 "5초후에 멈춥니다"라고 써있으니
모두의 예상대로 되겠죠

자, 이제 컴퓨터를 스턱스넷에 감염시키고
테스트를 다시 실행했어요

사이버 세계에만 존재해야만 하는
소프트웨어 코드가 여기 있는데

공장의 물리적 장치를 감염시킬수 있고
물리적 손상을 줄수있다

실제 세계의 물리적 파괴.

그때쯤 우린 매우 무서워졌죠

사람을 죽일수도 있는 악성코드 하면
헐리우드 영화에나 나올법한 거였고

누가 그런얘기 하면 비웃곤 했잖아요

이시점에서 스턱스넷을 누가 만들었는지
추측하기 시작하셨겠네요

이런 생각은 했었죠,
전세계 나라들중 몇몇 국가만이

이란 핵농축시설을 파괴하려는
동기를 가질수 있겠구나.

미국 정부가 포함될테고,
이스라엘 정부가 분명히 들어갈 것이고요

어쩌면 영국, 프랑스, 독일,
이런류의 국가들

하지만 특정 나라에 100퍼센트 들어맞는
정보는 전혀 찾은바가 없어요

결정적 흔적이 없어요

공격자들은 "이게 나야" 하는 메시지를
코드 내부에 남겨두지 않아요

만약 남겨놨다 하더라도,
그것 역시 조작일수 있어요

컴퓨터 코드를 들여다보면서
배후를 캐내는건 매우매우 힘들어요

추가 취재를 하면서 저희는

이것은 이스라엘과 미국의
합작품이라고 믿게 됐는데요

예, 예

분석 과정에서 제생각과 같은
결론에 이를만한

어떠한 증거라도 찾으신적이 있나요?

카메라 앞에서 얘기할만한건 없습니다

- 왜인지 여쭤봐도 될까요?
- 아뇨

뭐, 질문하셔도 저는 대답 못합니다

국가 단위에서 했다고 해도,
한가지 걱정은...

"이때쯤 정말 짜증이 나기 시작했다"

"스턱스넷 이야기에 관심있는
민간인들조차도"

"텔아비브와 워싱턴의 역할에 대해
확인해주길 거부했다"

"근데 다행히도, 워싱턴은 비밀의
도시이자 폭로의 도시이기도 했다"

"그건 심장박동처럼 규칙적이고도
멈추기 힘든 것이었다"

"내가 기댈 구석은 그거였다"

"물밑에서 사람들과 대화하다가 마침내"

"스턱스넷에서 미국의 역할에 대해
확인받을 방법을 찾았다"

"작전의 상세내용을 얻는 대가로"

"정보제공자의 신원을 숨기는데
동의해야만 했다"

- 괜찮아요?
- 좋아요

(재연)

첫번째로 드릴 질문은
비밀유지에 대한겁니다

(NSA 제보자)

지금은 누구나 스턱스넷을 알잖아요.
왜 우린 터놓고 얘기를 못합니까?

- 비밀 작전이잖아요
- 더이상은 아니죠

- 내용과 주체를 이미 다 알잖아요
- 당신은 생각만큼 잘 알진 못할텐데요

저도 스토리를 정확히 알고 싶어서
당신과 얘기하고자 하는 겁니다

저도 같은 이유로 당신과 만난거예요

비밀 작전임에도 불구하고요?

이봐요, 이건 스노든 사건과는 달라요,
알겠어요?

난 스노든이 틀렸다고 봐요.
너무 멀리 갔어요. 너무 많이 폭로했다고요

스노든은 협력업체 소속이었지만,
난 진짜 NSA 소속이었어요

난 기관을 믿기 때문에 당신한테도
어느 정도까지만 줄거지만,

사람들이 자꾸 조금씩 오해하니까
그걸 바로잡기 위해서 당신을 만난거예요

이 새로운 무기를 이해할 필요가 있어요.
위험부담이 너무 커요

그건 무슨 뜻이죠?

우리가 스턱스넷을 했어요.
그건 팩트예요

재앙에 진짜 근접했었고,
아직도 아슬아슬해요

다국적이고, 기관을 초월한
엄청난 작전이었어요

미국에서는 CIA가 있었고, NSA,
그리고 군 사이버사령부 였어요.

영국엔 GCHQ 출신 이란 전문가가 있었지만,
주로 이스라엘이 파트너였죠

그동네에선 모사드가 쇼를 이끌었고,
기술부분은 8200 유닛이 했어요

진짜 이스라엘이 이야기의 열쇠예요

이스라엘 교통은 예측이 안돼요

요씨, 스턱스넷 스토리에
왜 뛰어들게 됐어요?

이스라엘 정보기관을 취재했거든요

전반적으로 30년 가까이 모사드를 중심으로요

1982년에 저는 런던 특파원이었고
테러리스트 재판을 취재했습니다

테러리즘 관련해서 점점 익숙해졌는데

특종으로 다루기도 했었죠

이스라엘은 참 거친 지역이죠

민주적 가치, 서방의 가치는 극히 드물어요

하지만 이스라엘은 자유롭고 민주적이고
서구화된 사회인척 해요

쾌적한 동네, 부자들

미국인 또는 서유럽인들과 거의 비슷한
사고방식을 지닌 젊은이들

반면 실제 중동지역을 닮은 사건과
풍경을 많이 볼수있어요

테러공격, 극단주의자, 광신도,
종교적 열광자

이스라엘이 이란 핵프로그램을 지연시키려
한다는걸 알고있었고

그래서 제가 내린 결론은
이란 컴퓨터에 전염된 바이러스가 있었다면

이전 사건들에 기반한 큰그림 속에
포함된 한 조각일 것이다.

저는 F-16 파일럿이었어요

어느날 명령을 받았는데, 난투를 벌이거나
미그기를 쏴죽이는 상상과는 달리

중요한 표적을 파괴하는 장거리 격추를
준비해야 했어요

중요한 전략적 표적이 무엇인지
아무도 알려주지 않았죠

이스라엘에서 600마일 거리였어요

임무수행을 위해 어려운 훈련을 했어요.
당시엔 공중급유가 안됐으니까요

정찰 위성도 없었고요

연료는 바닥나고요

"뭐? 억, 억!"

결국 우리는 임무를 완수했어요

그게 뭐였죠?

바그다드 근처의 이라크 핵발전소를
폭파하는 거였어요. 오시라크였죠

이라크는 핵폭탄을 보유할 야망을
실현할수 없었어요

아모스 야들린, 야들린 장군.
군 정보부대장

그 조직의 최대 유닛은 "유닛 8200"였어요

전화도 차단, 팩스도 차단,
컴퓨터도 뚫고 들어갔어요

10여년전에 야들린이
군 정보부대장이 되었을때

8200엔 사이버전투 유닛이 없었어요

그래서 매우 재능있는 인재들을
뽑아오기 시작했어요. 군출신 해커,

사이버전투 유닛 구축 프로젝트에
보탬이 되는 군 외부인력 등.

19세기엔 육군과 해군만 있었어요

20세기가 되자 3번째 차원으로서
공군이 등장했죠

21세기엔 사이버가 4번째 차원이 될겁니다

다른 종류의 무기죠.
매우 빠른 속도에 범위도 무제한이고

흔적을 매우 적게 남기죠

엄청난 기회를 가져다줍니다

강대국들 역시 전투에 대한 사고방식을
바꿔야만 해요

"마침내 우리 군대의 현재 전투와
미래 전쟁의 형태를 바꾸는 겁니다"

"우리 군대를 잘 훈련시켰고,
좋은 장비를 갖췄고, 잘 준비하여"

"오늘, 내일, 그리고 먼 훗날까지
미국이 당면한 위협에 대응할겁니다"

부시정권 말기로 돌아가보면,
미국정부 내에서는

공격적 사이버무기에 자금을 쏟아붓자고
부시 대통령을 설득하기 시작했었죠

국방부에서 스턱스넷을 시작했고
국방비서관 로버트 게이츠가

이 프로그램을 살펴보더니 하는말이
"이건 국방부에서 할일이 아닙니다"

"정보분야를 아우르는 비밀기관에서
수행해야 합니다"

그래서 이 작전에 CIA가
매우 깊숙히 연관되었어요

그래도 코딩 일의 상당부분은 NSA가 담당했고

이스라엘쪽 담당 8200유닛도 참가했고

미국 사이버사령부라는 군 신설조직이
함께 참여했습니다

재미있는 것은, NSA 기관장이

사이버사령부 사령관도 겸했다는 건데요

사이버사령부는 포트미드의 NSA와
같은 건물에 위치하고 있어요

(개리 브라운) 이라크, 아프가니스탄
공군 작전 자문역으로 1년간 배치됐습니다

그걸 마치고 복귀한후에 새롭게
사이버사령부로 부임했는데요

사이버사령부는...
사이버스페이스에서 발생하는

국내 군사행동 수행을
주로 담당하는 군사령부입니다

미국이 왜 사이버사령부를
두기로 결정했는지 이유는

벅샷 양키 작전 때문입니다

(크리스 잉글리스) 2008년 겨울, 우리측
비밀 네트워크 내부에서 적들을 발견했는데요

항상 예상하진 못했지만, 우린 대체로
경계선 방어에 성공적이었고

그것은 내부와 외부 네트워크를
구분짓는 경계선이었죠

대부분 성공적이었다는 자부심이
상당했습니다

근데 어느날 내린 결론이, 이게 결코
안전하다고 볼수 없다는 거였죠

그에 따라 국방부가 진행시킨 것이
결국 사이버사령부로 발전했습니다

- 안녕하세요
- 안녕하세요

오늘 사이버가 한가지 말씀드릴것은,
안톡 분석가에 따르면 이번주 초에

기존 방식을 이용해서 외국으로부터 미국
군네트워크에 접근하는 시도가 있었습니다

자체 정보확인 및 데이터 수집을 통해
악성활동을 잡아냈고

정보기관의 시그널 역시 확인결과
적국의 사이버 활동이었습니다

해당 데이터를 DOD 내부 사이버
파트너들에게 제공했고...

NSA는 기본적으로 사이버스페이스에서

통신 보호에 도움을 주기위해 능력을
동원하는 기관이라 보시면 됩니다

사이버사령부는 그 역할을 확장해서
공격을 수행할 책임을 지는 역할을 하죠

NSA는 공격을 수행할 법적 권한이 없어요.
이전에도 없었고 앞으로도 없을겁니다

사이버사령부가 포트미드의 NSA 옆에
위치하는 이유가 그거죠

NSA는 일할 능력을 갖추고 있고,
사이버사령부는 일할 권한을 갖고있어요

그 "일"은 사이버 공격을 뜻합니다

정보기관의 관점에서 이건
커다란 변화입니다

NSA는 코드를 만들고 코드를 깨트리는
작전을 수행하는 임무를 맡고

국방을 위해 미국의 적대국 또는 강대국들의
통신을 감시하는 목적이거든요

근데 사이버사령부를 만든건 같은 기술을
공격에 사용하겠다는 뜻이예요

적진 컴퓨터에 침입하면 그곳에
뒷구멍을 열어놔요

그렇게 미국이 확보한 적진 컴퓨터가
수만대에 이릅니다

그렇게 네트워크간 통신 모니터를 하고

사이버무기, 즉 악성코드를 퍼트리는 겁니다

네트워크에 스파이를 심을수 있으면
조작도 자동적으로 가능해요.

단지 수행하려는 의지가 필요할 뿐이죠

저는 이라크에서 활동한적도 있어요.
군사적 활동이었는지 말할수는 없지만요

확실한건 NSA 안에 전투 지원팀이
있다는 사실이예요

NSA 첩보국과 필드 유닛들이 직접
연결된게 그때가 처음이었어요

방어보다는 공격을 먼저 생각했죠,
첩보활동보다는 공격을 먼저요

옛날엔 신호정보 유닛들은 라디오 신호만
엿들었지만, 이라크 NSA를 통해서

해외 통신 네트워크 전부에
접근 가능해졌어요

문자, 이메일, 전화 전부 도청했어요

완벽한 감시 국가죠

나쁜놈들 찾아내는거죠,
폭발물 급조하는 갱들,

네트워크 찾아내고 실제로 추적하죠

"오버"

휴대전화도 뚫고 들어갔죠.
꺼져있어도 좋고, 친구로부터

가짜 메시지 보내도 상관없어요.
만남 장소 알아내서 실제로 잡아내고...

"1A, 발포 허가, 사살 허가"

"잘했다"

사이버사령부 요원들은 대개 아프간 또는
이라크에 있다가 전출된 군인들이었죠

이들은 작전 경험과 전문성이 있으니까요

이들을 통해, 사이버가 전통 군 작전을
어떻게 수월하게 하는지 보실수 있어요

제대 직후 07년부터 NSA에서
감독관으로 일하기 시작했어요

- 정확한 근무지는 어디였죠?
- 포트미드 였어요

날마다 그 복잡한 건물에 출퇴근했죠

저는 TAO-S321, 즉 "더락"에서 근무했어요

TAO요? 더락이요?

아, TAO는 맞춤형 접근 작전(Tailored Access Operations)
이예요. NSA 해커들이 일하는 곳이죠

- 물론 우린 그렇게 안불렀어요
- 그럼 뭐라고 불렀나요?

온넷 운영자요. NSA에서 인터넷 침입
또는 공격을 허가받은건 그들 뿐이죠

TAO 본부에 "더락"(ROC), 원격 작전센터
(Remote Operations Center)가 있어요

미국 정부가 어딘가에 침입하고 싶다면,
더락에게 얘기해요

그러니 요청이 산더미같이 쏟아졌어요

요청된 임무들 중에서 30% 정도밖에
처리할수가 없었어요

웹상으로 한것도 있고, 부품 발송을
탈취하는 식으로 한것도 있어요

가끔씩 컴퓨터에 뒷구멍 심는 작업을
CIA가 도와주는데

대상 네트워크에 한번 들어가면,
저희는 그냥...

지켜보거나...

또는 공격할수도 있었죠

NSA 내부 문화는 약간 이상해요

마초 군인들과 사이버 공대생들의
조합이랄까요,

저는 이라크 출신이니까, 항상 이랬죠.
"예, 알겠습니다, 아닙니다"

하지만 프로그래머들은 새로운 관점에서
생각하는 타입일 필요가 있잖아요

칸막이마다 스타워즈 광선검, 스타트렉 트리블,

나루토 액션 피겨, 아쿠아틴 헝거포스 피겨...

한 남자는, 거긴 대부분 남자들이예요,

그는 노란색 후드 망토를 즐겨 입었고,
데스 스타를 회색 레고로 조립해놓곤 했어요

- 그들이 전부 스턱스넷 일을 했나요?
- 우린 스턱스넷이라고 부른적이 없어요

그건 안티바이러스 쪽에서 지어낸 이름이죠.
신문지상에 처음 등장했을때

기밀작전에 대한 기사를 읽는게 금지됐어요.
뉴욕타임즈에 실렸더라도요

그단어를 안쓰려고 각자 지어내서 불렀죠

"스턱스넷"이란 단어를 말하는건, 마치
해리포터의 "볼드모트"를 말하는것 같았어요

- 금지어였죠
- 그럼 뭐라고 불렀나요?

나탄즈 공격 얘기는 이미 알려진 거니까,

올림픽게임 또는 OG라고 불렸어요

PLC 공격을 테스트하기 위한 거대한
작전이 있었어요. 포트미드에서도 했고

뉴멕시코주 산디아에서도요.

부시 정부때 리비아가 원심분리기를
가동했던거 기억하세요?

그것도 이란이 A.Q.칸한테서 받은 것과
같은 모델이예요. P1.

그걸 오크리지에서 받아다가 내부파괴
코드 테스트하는데 사용했어요

이스라엘 역시 디모나에서 P1을 테스트했고요

그러다 이란 정보원의 도움을 일부 받아서
새로운 모델인 IR-2 계획을 알았어요

다양한 방향으로 공격을 시도했죠

로터 튜브를 파괴하는 방식에
초점을 맞추게 됐어요

내부 테스트에서 그것들을 날려버렸죠

전부다 주워담아서 항공기에 싣고
워싱턴으로 보내서

트럭에 실어 보내고
백악관 정문을 운전해 통과하고

상황실, 회의실 탁자 위에 다 늘어놨어요

부시 대통령한테 내려와서
한번 보시라고 했죠

그랬더니 부시가 원심분리기 조각을
하나 집어들더니

할만한 가치가 있다고 마음먹고,
"진행해봅시다" 했어요

이것이 선전포고 없는 전쟁이라는
법적인 우려가 부시 행정부 안에 있었나요?

저는 그런 우려를 들어본적이 없어요

우려가 아예 없었다는 뜻은 아닙니다만

어떤 변호사들은 별로 걱정하지 않았지만

이건 완전히 새로운 분야였으니까요

당시엔 전쟁과 사이버 분야의
전문가가 거의 없었어요

기본적으로 "이게 대략 우리의 방향이다"
이런식으로 했어요

그런 커다란 방향을 실현하기 위해
기술적으로 어떤 일을 할수 있을까?

그럼 아마...
저 아니면 변호사가 와서 말했죠.

"그래, 이정도는 우리가 해도 될거야"

우리가 할수 있지만 하도록 허가받지
못한 일들이 많지 않습니까

따라서 그후에 최종 단계에서
"우리가 뭘 해야 하나?" 하는거죠

기술적으로 가능하고 합법이지만
안좋은 생각인 경우가 많이 있으니까요

나탄즈 경우는 CIA 주도 작전이었어요.
그래서 CIA의 허가를 받아야 했죠

- 정말로요?
- CIA에서 파견된 누군가가

운영자와 분석가 뒤에 서서
매 공격마다 시행 명령을 내렸죠

공격 시작전에 벌써 코드가 작동 중지하는
파괴일자가 코드 내부에 박혀있었어요

종료일 같은건 보통 다른 공격에선
찾아보기 힘들죠, 그래서 우린 생각했죠

"왜 종료일이 이 안에 있는걸까?"

점점 깨달았죠. 정부가 분명히
스턱스넷을 만들었고

이런류의 소프트웨어를 사용하는 방식에
대한 법도 있을것이고

법무팀이 따로 있어서
"안돼. 코드 안에 종료일도 넣어야 하고..."

"...이런 일만, 여기까지만 해야하고,
합법인지 체크도 해야해" 이런거잖아요

그 날짜는 오바마 취임일로부터
며칠 전이었어요

어떤 특정 시간에 멈춰야만 하는
작전이었다는 가설인거죠

정부 인계 이후에는 또다른 허가가
필요할테니까요

- 취임선서할 준비 되셨습니까?
- 네

- 저 버락 후세인 오바마는...
- 저 버락...

- 엄숙하게 선서합니다...
- 저 버락 후세인 오바마는 엄숙하게 선서합니다

올림픽게임은 오바마 대통령
임기 첫해인 2009년에 재허가됩니다

재미있죠, 왜냐하면 그해에

오바마 행정부는 사이버 방어에 대해
끝없이 강조했거든요

"우린 석유, 가스, 전기, 수도를 공급하기
위해 컴퓨터 네트워크에 의존합니다"

"대중교통, 항공제어를 위해서도 그렇습니다"

"하지만 과거 우리가 도로,교량,철도 등
물리적 기반시설 투자에 실패했기 때문에"

"디지털 기반시설 보안 투자
역시 실패했습니다"

백악관 이스트룸 행사를 열고
사람들을 모아서 사이버 네트워크를

보호하고 미국 기반시설을 보호할
필요성을 강조했죠

하지만 공격적 사이버 무기의 사용에
대한 질문을 하면, 벙어리가 됐어요

협조가 전무했죠.
백악관도 그렇고 펜타곤도 마찬가지.

NSA도 마찬가지.
아무도 그 주제로 얘기 안하려 했어요

하지만 오바마 행정부의 사이버 예산
집행안을 파고들다 보니

상당 부분이 공격적 사이버 무기에
쓰여졌단걸 발견했습니다

"526억달러"

"타이틀 10 CNO" 같은 문구가 있어요

타이틀 10은 미군 작전을 뜻하고,
CNO는 컴퓨터 네트워크 작전을 뜻합니다

이것은 스턱스넷이 완전히 새로운
형태의 무기를 개발하기 위한

미국 정부의 중점사업의 시작에
불과하다는 강력한 증거입니다

스턱스넷은 단순한 진화가 아니라
악성코드계의 혁명이었어요

옛날엔 악성코드 대부분이 어딘가에 있는
운영자가 항상 제어하는 식이었어요

컴퓨터를 감염시키지만, 그후에 이른바
콜백, 또는 명령-제어 채널을 썼죠

악성코드가 운영자한테 물어보는거죠,
"다음엔 어딜 공격했으면 좋겠니?"

그럼 운영자가 명령을 주는거예요
"디렉토리를 검색해봐"

"폴더를 찾아내, 파일을 찾아내, 나한테
업로드해, 다른데 뿌려" 이런 식이죠

하지만 스턱스넷은 명령-제어 채널을
쓸수 없었어요

나탄즈 안에 한번 침입한 후엔,
공격자한테 되돌아갈수 없었기 때문이죠

나탄즈 네트워크는 외부 인터넷으로부터
완전히 차단되어 있어요

인터넷 연결이 없는
그들만의 고립 네트워크예요

보통 이런 에어갭을 넘어가는게
공격자들한테 주어진 최대의 도전이죠

그런 침입을 막기위한 모든게
갖춰진 곳이기 때문이예요

정책, 절차, 물리적 네트워크 등 모든것이
에어갭 넘어가는걸

차단하기 위해 특별히 디자인된 셈이예요

하지만 실제 생산현장에서 보는
에어갭 네트워크도 아니고요

사람이 직접 코드를 들고 나탄즈에 가고,
로그 파일을 나탄즈로부터 들고와야해요

사람이 장비를 업그레이드하고,
컴퓨터를 업그레이드 해야해요

이 분야의 최대 보안 이슈 중의 하나가
바로 그거죠

"발전소와 화학공장을 공격할순 없어,
왜냐하면 인터넷이 없거든."

이런 생각은 기이한 환상이예요

나탄즈에 처음 코드를 퍼트릴때
우린 요원을 이용했어요

아마 CIA 또는 모사드요. 우리 팀은
최후의 보루로 비밀속에 감춰졌죠

모스크바쪽 소문은, 지멘스 기술자의 USB가
이란 노트북을 감염시켰다는데

그가 나탄즈의 이중첩자였다고 하죠.
하지만 저는 잘 모르겠어요

우리는 한번 침입한 후엔 스스로 작동하는
웜을 만드는데 중점을 뒀어요

모든걸 스스로 수행하는게 가능하도록
악성코드 내부 로직이 짜여졌어요

스스로 전파하도록 짜여졌고요

맞는 PLC냐? 나탄즈에 도착했냐? 타겟에
도착했냐? 등을 판단할 능력이 있었죠

한번 타겟에 도착한 후엔
독립적으로 작동합니다

이말은, 즉 공격 취소가
불가능하다는 뜻이예요

원하는 바를 정확히 결정한 누군가가
행한 공격임이 확실합니다

스턱스넷이 풀린 후엔 되돌릴 방법이 없어요

실제 공격을 시작할때가 됐다 치죠

거대한 홀에 놓인 수많은 캐스케이드 배열의
원심분리기가 있을거예요

홀을 벗어나면 운영자실이 있을거고

운영자들 앞엔 제어 패널이 있고,
홀을 내려다보는 큰 창문도 있겠죠

컴퓨터를 통해서 원심분리기 상황을
모니터하고요

원심분리기는 전기 모터로 움직이고

전기 모터의 속도는 또다른 PLC에
의해 제어됩니다.

스턱스넷은 행동을 시작하기 전에
13일을 기다립니다

원심분리기 배열 전체를 우라늄으로
채우는데 걸리는 시간이 13일 정도거든요

분리기가 비었거나 농축과정 초기에
있을때엔 공격을 하지 않습니다

스턱스넷은 기본적으로 13일동안
가만히 앉아서

정상 작동을 감시하고 기록,
저장하는 일을 했어요

13일째 정상작동한걸 인식한 순간,
공격이 시작되죠

원심분리기는 약 1천 헤르츠의
빠른 속도로 회전해요

안전작동 회전수 분당 6만3천회로
정해져있어요

스턱스넷은 이 농축 원심분리기의
속도를 1천4백 헤르츠까지 올려요

분당 최대 8만회까지 올라가죠

그러면 원심분리기들이 이른바
공진주파수에 진입합니다

금속이 제어할수 없을만큼 흔들려서
파괴되는 주파수를 뜻합니다

우라늄 기체가 사방에 퍼지겠죠

그후 두번째 공격에서는 이 주파수를
2헤르츠로 낮추려 합니다

거의 정지 상태까지 낮추는거죠

2헤르츠에서는 반대 현상이 발생해요

팽이가 빠르게 돌다가 속력을 낮추면,
비틀거리는걸 상상해보세요

분리기가 그렇게 되는거예요

비틀거리다가 결국 깨지고 파괴됩니다

그리고 컴퓨터한테는 현재 상황 대신에
예전에 기록해둔 정상 데이터를 보냅니다

그러니 컴퓨터가 볼때엔,
"응, 1천헤르츠, 오케이.", "1천헤르츠, 괜찮네"

하지만 원심분리기가 거칠게 돌아가면,
소음도 심해지겠죠, 제트엔진 같아요

그럼 운영자가 "와, 뭔가 잘못됐다"고
알아차릴테죠

모니터를 보고는 "어, 1천헤르츠 그대론데",
하지만 옆방에선 끔찍한 일이 벌어지는거죠

운영자들만 모든게 괜찮다고 속은게 아니라

일종의 자동 보호 로직 역시 속는거예요

원심분리기를 그냥 꺼버릴순 없어요.
정해진 절차에 따라 전원을 내려야해요

그렇게 빨간버튼을 눌러서 점차 중지를
하면, 스턱스넷이 명령을 가로채요

운영자는 버튼을 계속 누르지만
아무 일도 안일어나게 되겠죠

사이버무기가 꽤 괜찮고
적들이 그 존재를 모르면

무슨일이 벌어지는지 적들도 모르기
때문에 이상적인 무기가 됩니다

- 적들이 스스로 능력을 의심한다면 더 좋겠네요
- 물론이죠

어떻게 보면, 나탄즈에서 발생한
일들이 엔지니어들을

미치게 만들었을수 있어요.
사건의 진짜 원인을 파악할 능력이

안되는 유지보수 엔지니어들한테
최악의 일이 발생할수 있었을테니까요

분명히 지독하게 원인을 분석하려 했을거예요

원심분리기가 터졌다고 해봅시다.
컴퓨터 스크린을 봤는데 속도는 정상이예요

적정 기압도 정상. 모든게 정상이예요

2009년 내내 잘 굴러갔어요.
원심분리기가 파괴됐죠

IAEA 조사관들은 나탄즈에 가서 분리기
한구역 전체가 없어진걸 발견했고

미국은 이란 과학자들과 엔지니어들이
원심분리기 사건 때문에

해고당한 사실을 정보채널로 전해들었어요

이란은 이 사건이 생산과정의 잘못 때문에
발생했다고 여기고 있었고요

누군가의 잘못이긴 했죠

계획은 원래대로 잘 돌아갔어요

원심분리기를 파괴했고,
아무런 흔적을 남기지 않았고

사건 원인에 대해 이란을 의문속에
남겨두었으니 말이죠

올림픽게임 참 훌륭했죠

거대기관의 전 국장으로서, 나탄즈
원심분리기 1천개를 오작동시켰으니...

엄청나게 좋았죠

시간을 벌어야 할 필요가 있었고,
그들의 발목을 잡을 필요가 있었어요

그들을 협상테이블로 나오게할
필요도 있었어요

많은 요소가 있다는 얘기입니다

오바마 대통령이 상황실로 내려왔어요

그리곤 그의 앞에
이른바 "모포"란걸 내려놨는데

그건 나탄즈 핵농축시설의
거대한 도면이었어요

올림픽게임 디자이너들은 대통령께
그동안 어떤 진척이 있었는지 설명했고

다음 공격 진행을 위한
허가를 받고자 했어요

토론 중에 그가 보좌관들한테 이러는 거예요

"걱정되는게 있는데, 만약 이사실이
밖에 알려지면..."

언젠가 알려질것을 다 예상했겠죠

"...중국의 대미 공격에 대한 빌미가 되잖아요,
러시아, 또는 다른 나라들도요."

분명히 불안해했지만, 그렇다고 작전을
중단시킬 정도의 큰 불안은 아니었어요

그러다 2010년, 코드 변경 결정이 내려졌죠

우리 요원이 항상 나탄즈 코드 업데이트에
성공한건 아니었는데

정확히 왜 못했는지는 모르겠어요,

아무튼 나탄즈 코드 전달용 솔루션을
만들라는 지시를 받았어요

하지만 배달 시스템이 까다로웠어요.
어느정도 이상 공격적이지 않으면 침입이 안돼요

너무 공격적이면 확산되어서
들킬 위험이 있고요

최초 샘플을 받았을때, 그안에는
설정값 정보 몇개가 있었어요

그중 하나는 버전 번호, 1.1이었어요

그걸 보면서 든 생각은,
이것 말고 다른 버전도 있나봐

우리 데이터베이스를 뒤져서
스턱스넷과 비슷한걸 찾기로 했죠

샘플을 여러개 모으기 시작했을때,
스턱스넷의 초기 버전을 찾아냈어요

그걸 분석했더니, 1.1 이전 버전은
훨씬 덜 공격적이더라고요

스턱스넷 초기 버전은, 기본적으로
인간이 클릭 몇번을 해야만

컴퓨터 사이를 오가며 전파시킬수
있도록 만들어졌어요

코드를 본 후에 우리 생각은
크게 두가지였어요

첫째, 이들도 초기 버전을 통해서
나탄즈에 침투하진 못했다

충분히 공격적이지 못했고, 에어갭을
가로지를수 없었기 때문이다

둘째, 메인 코드 역시 기대만큼 잘
작동하지 않았는데

충분히 폭발적이지 못했던것 같다

원심분리기 배열의 각 부분들을 노린
서로 약간씩 다른 버전들이 있었어요

근데 시만텍 얘기론, 초기 버전이 침입과
작동을 못해서 당신이 코드를 바꿨다던데.

헛소리. 우린 에어갭 가로지르는
방법을 항상 찾아냈어요

누군가 에어갭에 보호받는다고
할때마다 TAO 사람들은 비웃었어요

OG 작전에서 초기 버전의 메인 코드
역시 작동했어요

하지만 NSA 일은...

항상 위축되고 민감했죠

문제는 이스라엘 8200유닛이 우리한테
더 공격적으로 하라고 요구했어요

스턱스넷 후기 버전 1.1은
다양한 확산 경로를 갖고 있었어요

아무일 안해도 스스로 확산 가능하도록
자체 제로데이를 4개 가지고 있었죠

네트워크 공유로도 전파됐고,
USB 키로도 전파됐어요

네트워크 취약점 공격 전파도 가능했죠

우리가 그 샘플을 보고 도난 디지털
인증서를 찾아냈죠

그 샘플 때문에 갑자기 유명세를 타고
안티바이러스 업계의 주목을 끌었어요

첫 샘플에선 그런 특징은 없었어요

이건 매우 이상한데요,
왜냐하면 개발 과정에서 공격자들이

운영상 보안에 대해 덜 걱정했다는걸
뜻하기 때문입니다

스턱스넷은 그동안 감염시킨 컴퓨터
전부를 기록하는 로그를 자체 내장했어요

이 컴에서 저 컴으로 옮겨다녔을테니까요

우린 모을수 있는 샘플은 전부
모을수 있었어요.

1만여개에 달했는데,
그 로그를 전부 추출했어요

스턱스넷의 발자취를 정확히 따라갔죠

최초 버전의 스턱스넷이 세계 최초로
감염시킨 5개의 사례를 찾아냈는데

그 5개의 감염은 전부 나탄즈 시설 외부면서,
이란 내부 기관 소속이었어요

산업제어시스템, 산업제어 건설시스템,

나탄즈 시설에서 일하는 하청업체 등이
포함됐어요.

공격자도 알았던거죠.
이들은 전기회사 또는 파이프 회사,

이런 종류의 회사였어요

이 회사 출신 기술자들이 나탄즈를
방문할것을 공격자들도 예상했던 거죠

이런 업체를 감염시키고, 그 기술자가
컴퓨터, 노트북, USB키를 갖고...

그가 나탄즈를 방문해서
감염된 USB키를 꽂고,

이사람도 나탄즈 네트워크에 접속해야겠죠

그럼 스턱스넷이 나탄즈 안에서
공격을 수행할수 있게 됩니다

이 5개 회사들은 나탄즈에 스턱스넷을
퍼트리기 위해 선별되었어요

스턱스넷이 나탄즈를 탈출해서
전세계에 전파된게 아니예요

"아, 이렇게 널리 퍼지게 하려던게 아닌데
실수해서 이렇게 됐어" 그런게 아니었어요

우리 생각에, 공격자들은 그걸 나탄즈에
가져갈만큼만 전파시키려 했어요

새롭고 진화된 뭔가를 만들어야 한다는
결정이 누군가에 의해 내려지면

그럼 훨씬더 공격적이어야 하잖아요

솔직히 저흰 괜찮아요

적군 찾아내려고 전세계 죄없는 컴퓨터
죄다 감염시켜도 괜찮아요

모사드도 역할이 있었고,
나탄즈 원심분리기에

영향을 주기 위해 스턱스넷을 나탄즈에

배달하는 임무를 수행한게 맞습니다

모사드 국장 메이르 다간은

벤자민 네타냐후 총리로부터 결과를
내놓으라는 압박에 시달리고 있었어요

더락 내부에서 우린 열받았어요

이스라엘이 우리 배달시스템 코드를
가져가다 바꿨거든요

그리곤 우리의 동의도 받지않고
지들 맘대로 실행한거예요

2010년쯤에 그놈들은 이란 과학자들을
죽이기 시작하더니, 코드도 망쳐놨어요

코드는 정체를 숨기지 못하고 컴퓨터를
다운시켰고, 당연히 발각됐죠

그들이 서둘렀기 때문에
판도라의 상자를 열었고

그냥 꺼내서 전세계에 퍼지게 만든거예요

웜은 빠르게 확산했지만, 벨라루스에서
확인될때까진 어쨌든 눈에 안띄었다

얼마후, 이스라엘 정보국은 이 코드가
KGB의 후신인

러시아 연방보안국의 손에 들어갔다는
사실을 확인해준다

미국과 이스라엘이 디자인한
비밀 사이버무기의 공식이

러시아, 그리고 공격대상 국가의
손에 들어간 것이다

"그들은 전자부품 소프트웨어를 통해 우리
원심분리기에 사소한 문제를 일으켰습니다"

"지저분하고 비윤리적인 행동이지만"

"다행히도 우리 전문가들이 발견하여
더이상 그들은 같은짓을 못할 것입니다"

국제법상, 국가 또는 국가의 동맹이

핵시설을 타격하면,
그건 전쟁 행위입니다

제발 솔직히 말해봅시다

만약 이란이 아니었다면

예를들어 미국의 핵시설이
같은 방식으로 공격당했다면

미국 정부는 가만히 앉아
구경만 하지는 않았을 겁니다

스턱스넷은 평화기에 핵심 기반시설을
공격한 사례입니다

맞아요. 제가 그걸 읽었을때 이랬어요.
"우와, 이거 굉장한 일이다"

예

당시 CIA 국장 레온 파네타를 비롯해
이 프로그램을 진행한 사람들은

상황실로 내려가서 오바마 대통령과
바이든 부통령한테,

이 프로그램이 풀려서 돌아다닌다고
설명했어요

토론 중에 바이든 부통령은

특유의 스타일로 격노하며
이스라엘을 비난했죠

"코드를 고쳐서 바깥에 퍼지도록 한건
분명히 이스라엘이다"

오바마 대통령은 기관장한테 말했죠.
"외부로 안나간다고 했잖소. 근데 나갔소"

"이란이 미국 짓인줄 모를거라고 했지만
역시 틀렸소."

"이란 핵프로그램에 큰 영향을 줄거란
예상 역시 틀렸소"

나탄즈 시설은 몇주에 한번씩 IAEA의
감사를 받습니다

감사 보고서에서 공격에 대한 내용을
읽어보시면, 어떨지 짐작가실 거예요

IAEA 보고서를 보시면, 원심분리기들의
전원이 꺼졌고 사라졌다고 돼있어요

거의 수천대가 감염되었어요.
이걸 종합해보면

핵프로그램이 1년 연기됐다고 해도
놀랍지 않았을것 같습니다

하지만 2012, 13년으로 가서 원심분리기가
어떻게 재가동됐는지 살펴보세요

원심분리기는 급격히 늘어서 2만4천개가
됐어요. 저농축우라늄 비축분도 있고요

이건... 이건 많은거죠

이란 핵시설은 포르도를 비롯한
보호시설 건축을 통해 팽창했습니다

아이러니죠, 사이버 전투...

핵과학자 암살, 경제 제재,
정치적 고립...

이란은 미국, 이스라엘, 그리고
그 동맹국들의 정책 코러스를

A부터 X까지 다 겪었어요

근데 이란은 그들 덕분에 고도로
발전된 핵프로그램을 만들었어요

우리가 걷는 지뢰밭은 매우매우 위험합니다

이런 비밀 작전을 수행을
결정하는 국가들은

윤리적 측면을 비롯해서 모든 결과를
고려해야만 합니다

이 전쟁에서 우리가 지불해야할 댓가가
그것인것 같습니다

정의를 위한 우리의 칼날이
그렇게 날카로워선 안되겠죠

이스라엘과 미국에서
정의의 칼날은 양면적이다

아군과 적군 모두를 찌른다

스턱스넷이 미국 컴퓨터를 감염시켰을때,
NSA 사이버무기를 알리없는 홈랜드 시큐리티는

자신들의 정부로부터 시민들을 보호하기 위해
엄청난 자원을 쏟아부었다

우리의 적은 바로 우리 자신이었다

"감시소의 역할은 눈앞에 보이는 데이터를
통합하는 것입니다"

"다양한 곳으로부터 들어오는 사이버
공격이고요"

"공격을 찾아내면 사기업과 연방기관에게
함께 실시간 추천을 보내줍니다"

- 스턱스넷에 대해서도 알려주실수 있어요?
- 예, 물론 그문제 토론할 준비가 됐습니다

"그럼 그건..."

(숀 맥거크) 2010년 7월초에 전화가 와서
이런 악성코드가 있으니 한번 보래요

분석을 처음 시작했을때,
보다가 "이런 젠장" 했고요.

앉아서 보다가, 이건 심각한거다 했죠.
산업제어를 건드리더라고요

실제 피해를 입히고, 장비를 파괴하는것
뿐만 아니라 인명을 해칠수도 있더라고요

스턱스넷은 이전에 보지못한 종류의 것이어서
저희는 매우 걱정됐습니다

그날밤 잠을 잘 못잤어요

전화기를 들고 아는 사람들 모두한테
전화를 걸었죠, 비서관, 백악관,

다른 기관, 요원들

전부다 깨워서 이 악성코드가 대체
어떤건지 알아내고자 했죠

"안녕하세요, 리버만 의장님,
콜린스 간부회원님"

"이렇게 간단하고 무해해보이는 물건이
중요 시스템의"

"제어 및 관리의 신뢰성에 문제를 일으킵니다"

"스턱스넷 바이러스가 담겨있거든요"

이런 질문을 몇번 받았습니다
"이게 우리꺼란 생각을 해봤느냐?"

그런 생각을 해본적은 전혀 없습니다

홈랜드의 적들이 만든거라는
관점에서 생각해왔거든요

여기 미국의 산업제어에 영향을 주는게
무엇일까요?

전투 현장과 비교해보죠

당신 뒤에 있는 아군 저격수가
당신을 쏠거란 생각은 절대 안하잖아요

"스턱스넷 사건에서 누가 공격자였는지
우린 모릅니다"

"이게 무엇인지 이해할수 있도록
좀 도와주세요"

"누가 누굴 대상으로 했는지
우린 지금 이해가 안됩니다"

이걸 이미 알고 있었다는
암시를 준 사람이 있었나요?

아뇨. 어느 누구도 제 머리를 토닥이고
문밖으로 사라지진 않았어요

철수 명령을 받은적도 없습니다,
"그만 들여다보라"고 말한 사람도 없어요

"이게 국가적 행위자가 저지른 행위고"

"특정 국가가 그 작전을 수행할 역량을
갖추고 있다고 생각합니까?"

홈랜드 시큐리티 숀 맥거크
사이버 국장이

스턱스넷은 미국에 대한 끔찍한 위협이라
여긴다고 상원에서 증언했습니다

이건 문제 안됩니까?

난 잘... 무슨 뜻입니까?
스턱스넷이 나쁜 생각이었단 겁니까?

- 아뇨, 그가 악성코드 공격대상을 알기 전에...
- 아, 알겠어요

- 예...
- 예...

그가 대답한 질문이 우리가...

그는 이것이 미국 중요 기반시설에 대한
위협이 될수 있다고 생각했어요

- 예, 웜이 풀렸어요!
- 웜은 풀렸어요, 그건 압니다

하지만 연관 여부에 대한 추가 가설이 있고,
데이빗 생어의 얘기를 따르면 말이죠

그얘긴 알겠어요, 누가 했단 말이었죠?
이스라엘이었나요? 그리고...

전 정말 모르고요. 만약 안다고 해도,
아직 얘기할수가 없어요

스턱스넷은 누군가의 비밀 작전이었고요,
비밀 작전의 정의는

행위자가 영원히 비밀로 남는
작전을 뜻합니다

정의를 따라, "우린 여기에 대해 더이상
얘기 안한다"는 거예요

(극비 / 해외배포금지)

지금까지 미국 정부는 세계 어느 곳에서도

공격적 사이버무기를 사용한 것을
인정하지 않고 있어요

(스노든 유출문서)

하지만 스노든 덕분에 우리는 오바마
대통령이 2012년 특정 사이버 무기의

특정 조건하에서의 사용을
지시했다는 것을 알고있죠

재미있는건, 모든 사이버무기 사용은
대통령 허가를 필요로 한다는 겁니다

실세계에서 핵무기에 대해서는
그말이 맞아요

핵전쟁과 핵무기는 사이버전쟁,
사이버무기와 매우 달라요

반면 공통점도 있습니다

1960년대초, 미국정부는 갑자기 깨닫죠

수천개의 크고작은 핵폭탄들이 있잖아요

지프 무기, 잠수함 무기 등,
근데 아무 원칙이 없는거예요

전략도 없었고 이 모든 것을

어떻게 사용할 것인지 정책 레벨에
대한것도 몰랐던 거죠

학자들이 공개 문서를 쓰기 시작했어요

핵전쟁과 핵무기에 대해서요

그 결과로 20년 이상 미국에서는

핵무기를 어떻게 할것인지에 대한
매우 격렬한 토론이 있었어요

그 결과로 하원과 워싱턴 지도자들만
이문제를 생각한게 아니예요

러시아도 생각을 한거예요

핵 독트린과 모든 복잡한 핵정치공학에서

빠져나와 상호 핵감축으로 가죠

"오늘 이 중요한 문제에 함께 힘을 모으면
이룰수 있다는걸 확인했습니다"

사이버 전쟁과 사이버 무기에 대한
합리적 토론이 안되는건

모든게 비밀이기 때문이예요

전현직 정부 인사들과 토론을 하게되면

기밀유지 의무 때문에
막다른 벽에 부딪혀요

"이란을 막는건 제 최우선 과제이고
저는..."

"그럼 제가 스턱스넷 컴퓨터 바이러스에
대한 질문을 드리고 싶은데요..."

"질문하셔도, 전 답변 못합니다"

- 단 하나라도 말씀 못하시나요?
- 안됩니다

"스턱스넷 바이러스 같은 핵정책 결정에
가장큰 영향을 주는건 뭘까요?"

"스턱스넷 얘기는 못하겠습니다"

"이란 원심분리기 작전에 대한건
얘기 못합니다"

"스턱스넷 개발에 미국이 조금이라도
연관이 있었나요?"

"조사가 끝날때까지는 그문제에 대해
코멘트하기 힘듭니다"

"근데 저는 다른 나라가 연관됐는지
여쭌게 아니라"

"미국이 연관됐는지 여쭌 겁니다"

"현 시점에서 이 문제에 대해
답변드릴순 없을것 같습니다"

오랜 시간동안 제가 이 문구를
입에 올리기 두려웠어요

"컴퓨터 네트워크 공격"

이 주제는 무시무시하게 극비이고
동시에 공적 토론의 장에 속하는데

사이버 세계에서 민주주의가 국가에게
요구하는것 만큼을 요구하죠

제가 NSA와 CIA 전직 국장으로서
이 사안이 극비라고 말씀드립니다

이것이 극비인건, 이게 매우
특별한 무기 시스템이기 때문이예요

이 무기 시스템은 스파이 커뮤니티와
기밀성을 체화한 사람들한테서 나왔어요

기밀성은 정보원 보호, 국가안보 보호
등의 경우엔 정당화 가능합니다

하지만 시민들이 결국 봐야할 것들이나
공개해야 할 대상의 경우

기밀성을 필수적인 정보 공개를
회피하는 구실로 사용하지 마세요

대부분의 정부 관리들이 작전의
존재를 확인해주지 않았지만

적어도 한명의 내부고발자가
이야기 일부를 언론에 전했다

2012년, 데이빗 생어의 올림픽게임
기사에는, 나탄즈 사이버공격을 위한

미국과 이스라엘의 광범위한
공동작전이 소개되어 있다

이 얘기를 공개할 때는 몇몇 국가안보
스토리가 공개됐었고

이에 따라 법무장관 수사명령이
공표됐을 시점이었죠

- 언론보도와 유출 모두에 대해서요?
- 예

기사 공개후, 오바마 행정부는
제임스 카트라이트 장군을

스턱스넷 기밀을 유출한 혐의로
형사 기소한다

"이란 핵프로그램에 대한 사이버 공격를
지시하셨단 보도가 있습니다"

"이에 대해 하실 말씀은 없습니까?"

"우선 전혀 대답하지 않겠습니다"

"자세한 것들은..."

"기밀사항이 될테니까요"

"취임 이후부터, 제생각은,
이런 유출은 절대 용납 안된다는 겁니다"

"유출자를 밝혀낼 시스템이 있고,
유출자는 댓가를 치를 것입니다"

첨예한 이슈가 됐고,
광범위한 수사가 벌어졌어요

그러면서 올림픽게임 관련 인물들
대부분이 이래저래 인터뷰되지 않았을까요

스턱스넷이 처음 보도됐을때, 사무실
전원이 거짓말 탐지기 검사받았어요

아무것도 모르는 사람까지도요,
인턴까지 했다니까요, 세상에

"정보를 이렇게 유출한건
형사사건입니다"

"과거에 그랬듯이, 철저한 수사를 할겁니다"

정부는 기소를 한적이 없다. 검찰수사가
스턱스넷의 기밀을 드러낼것이 두려웠을까.

지금까지 미국과 이스라엘 정부 어느 누구도
협력 작전의 존재를 공식 확인하지 않았다

진행중인 작전에서 타협은 안하고 싶지만

역량에 대해 얘기할순 있어야죠

벙커 파괴자 얘기는 해도 되는데
사이버 무기 얘기 하면 왜 안돼요?

이 작전의 기밀성은 벌써 무너졌어요

이스라엘 친구들은 미친짓 막는답시고

합동 개발했던 무기를 들고 나가서
맘대로 사용했어요

그때문에 작전이 날아갔고
전쟁으로 이어질수도 있었어요

근데 우린 얘기하면 안됩니까?

스턱스넷 얘기를 하는 방식이 있죠.
이미 일어났어요

일어난걸 부정하는건 바보같잖아요

일어났다고 말하는게 하나의 방식이예요

스턱스넷 이후 세상에 산다는 것의
의미는 뭘까요?

"데이빗 생어 님께 말씀드렸던건,"

"파괴의 결과가 극적인건 이해하지만,
이건 1945년 8월의 향기를 풍긴다"

"누군가 새 무기를 사용했는데,
무기가 상자 안으로 다시 안들어가려 한다"

작전 상세 내용은 잘 몰라요

무기 사용결정 이전에 누가 뭘 했고
안했는지 이런건 몰라요

근데 이건 알아요

우리가 밖에 가서 뭔가 했다면
전세계 사람들이 생각하길

이게 새로운 표준이네. 그러면서
자신들도 그래도 되겠네.

약속 규칙, 국제 규범, 협약 표준,
이런게 지금은 없어요

오래전부터 발전한 전쟁의 규칙은 역학적
사고방식과 물리적 범주에 의존해요.

예를들어 공격을 생각해봅시다

실제 세계에 발생한 공격을 알게되면,
미스터리가 생길 이유가 없죠

하지만 사이버스페이스에선
생각이 혼란스러워져요

어느 순간부터 어떤 행위를 공격으로
판단할수 있을까?

그래서 모든 어휘를 끄집어내고 전략용어,

군사작전 용어를 고안해서
사이버 세계에 적용시켜요

전세계에 핵에 대한 광범위한
조사체제가 있습니다

러시아도 우리 사일로 검사하고,
우리도 러시아 사일로 검사하죠

양국 관계가 악화되면,
이 검사체제가 중지될겁니다

하지만 사이버 무기에 대해서는
그런게 불가능해요

조사관을 어디로 보낼겁니까?
노트북 안으로 들어가야겠죠

미국과 러시아에 노트북이 몇대 있죠?

사이버 영역에서는 국제체제를
구축하는게 훨씬 힘들어요

조약 체결, 채널 확보 등...

그동안 중국, 러시아와 이문제를
논하려 시도했습니만

매우 어렵습니다

도망갈수 있다면 뭐든지 다 하는게
현재 사이버스페이스 규범입니다

좋은건 아닌데, 현 상황은 그래요.
국가들이 그런 규범을 선호하죠

국가들은 국가안보에 도움된다 싶은
다양한 종류의 활동에 연관되니까요

사이버 리더들은 규제 도입 절차를
억제하려 노력합니다

우리같은 피해자들은 이른 시일내
공개적 규제도입을 선호하고요

이분야 국제법은 관습과 관습적 법에
따라 쓰여져서 국가가 반드시

행위와 사유를 밝혀야만 해요

미국은 행위 비공개를 선택했으니까
그런 방향의 법 제정을 원하지 않고요

제가 올림픽게임 이야기가 중요하다고
여긴 이유중 하나는

멋있는 스파이 얘기라서가 아니예요.

이 나라에서 사이버 무기를 어떻게
사용할지 토론이 필요하기 때문입니다

지구상에서 우리가 사이버 공격에
제일 취약한 나라거든요

아침에 일어나서 알람시계를 끄고

커피 마시고 주유하고 현금인출기 쓰면,
벌써 산업제어 시스템 쓰신거예요

우리 삶의 핵심이죠

불행히도 모든 시스템이 어떤 형태로든
연결되어서 공격에 취약한겁니다

중요 산업기반 시스템은 오래전에
보안에 신경쓰지 않고 만들어졌어요

세상이 이렇게 바뀔줄 몰랐고
인터넷에 연결될줄도 몰랐겠죠

여러번의 실험과 여러번의 공격을
통해서 우리가 볼수 있었던건

이런 시스템에 침투하는건 고급
해커들한테는 별로 안어렵다는 겁니다

철도 제어시스템에 침투했다고 하면,
선로를 변경할수 있어요

폭발물을 운반하는 열차를
탈선시킬수 있는거예요

송유관 제어시스템을 예로 들면,
밸브가 열려있어야 할때에

실제론 잠겨버리면 유압이 상승해서
송유관이 터질수 있잖아요

어떤 회사들은 발전기 또는
배전기를 운영하는데

이곳이 외부의 해킹을 받아서
전력망이 꺼져버린 경우도 있었어요

생각해보세요

미국 동부 전체가 정전되는것 뿐만 아니라
인터넷 전체가 다운될수 있어요

24시간 동안만 지속됐다 해도
경제적 영향이 어떨지 상상해보세요

"관리들에 따르면 중동에서 미국과 이스라엘이"

"사이버 전쟁을 벌인 곳은 이란이
처음이라고 합니다"

"최근 사이버 공격이 그들의 사이버 부대
구축의 일환이라면..."

"그들은 컴퓨터 학자들, 프로그래머,
소프트웨어 엔지니어 등을 모아서..."

청소년 한명이 핵과학자 암살사건을 보고

자국 핵시설이 공격당한걸 본다면,
자신이 직접 사이버부대에 지원하겠죠?

실제로 많이들 그랬어요

그래서 오늘날 이란 사이버 부대가
세계 최대규모에 속하는 거예요

그일을 벌이고 이란 핵시설에 잠깐
들어간걸 자랑스러워한 사람이 있다면

이젠 뒤를 돌아보고, 그게 커다란
실수였단걸 인정해야 해요

이란은 즉시 미국에
매우 구체적인 메시지를 보냈고,

두차례의 보복 공격을 했어요

첫째로 이란은 세계 최대 석유회사인
사우디 아람코를 공격해서

3만대의 컴퓨터에서 모든 소프트웨어를
지우고, 코드도 전부 지웠어요

둘째로, 이란은 미국 은행들에 대해
대대적 공격을 했어요

"중동에서 행해진 미국은행 공격 중에서
가장 광범위한 겁니다"

"수백만 고객들이 이번주 해킹당한
은행 온라인 뱅킹을 다시 시도했습니다"

"뱅크오브 아메리카, PNC, 웰스 파고,
미국은 이란 해커들의 연관성을 의심중입니다"

이란이 우리 은행을 공격했을때,
그놈들 봇넷을 우리가 꺼버릴수도 있었지만

국무부가 두려워했죠. 그 서버들은
이란에 있는게 아니었으니까요

외교적 해결을 볼때까지, 오바마는
민간 부문이 문제를 해결하도록 했어요

백악관 상황실에 사람들 모여앉아서
이러는게 상상이 돼요

아, 상상이 아니라, 진짜로,
상황실에 모여앉아서 이랬어요

이란이 우리한테 메시지를 보냈는데

내용은 "나탄즈 스턱스넷 공격과 같은
사이버스페이스 공격을 멈추라"

"우리도 똑같이 해줄수 있다"

스턱스넷 공격은 의도치 않은
효과들을 불러일으켰죠

적국을 혼란시키고 피해를 주려 했지만,
반대로 적국도 똑같이 보복할수 있어요

괴물은 창조자에게 칼을 겨눴고
모두가 게임에 뛰어들었죠

적국을 비롯해 전세계에 쇼를
보여주는데엔 성공했죠

부상 또는 사망 위험까지 동반한
중대한 위험을 일으키면서요

더많은 국가들이 사이버에 역량을
투자할 것은 불보듯 뻔해요

스파이 또는 파괴행위 등을 위해서요

최근 사건들에서 러시아가 연관된
것을 발견했습니다

전쟁이 발발하면 누군가 우리 통신
채널 또는 레이다에 발견될테죠

국가에서 설치한 사이버 스파이 셀은
오늘날 전세계에 있어요

통신 목적 또는 적국 탈출 목적으로요

미래 스턱스넷의 수단이 될수도 있고요

스턱스넷에 초점을 맞추시지만, 그건
커다란 이란 미션의 일부에 불과해요

커다란 이란 미션이 있었어요?

나이트로 제우스(Nitro Zeus). NZ.

거기에 쏟아부은 돈이 수억달러,
어쩌면 수십억달러죠

이스라엘이 이란을 공격했을때
갈등에 끌려들어 갈걸 예상했어요

이란 명령-제어 시스템을 공격해서
그들의 작전중 통신을 방해하려 했어요

우리측 전투기 격추를 방해하려고
IAD와 군 항공보호 시스템에 침입했어요

이란 민간지원시스템, 전력망, 운송,
통신, 금융시스템도 공격했어요

내부에서 기다리고 관찰하면서 그들
시스템을 방해,훼손,파괴할 준비를 했어요

그에 비하면,
스턱스넷은 뒷골목 작전이었어요

NZ는 흔적을 남기지 않는 전면적인
사이버전쟁 계획이었어요

이런게 우리가 살고 싶어하는 세상인가요?

아니라면, 시민으로서 우린 좀더
이성적 토론 절차를 만드는건 어떨까요?

이 문제를 어떻게 풀것인지에 대한
완전히 새로운 사고가 필요합니다

완전히 새로운 문제 해결방식을
위해서는 우선

우리 역시 사이버무기 보유를
공개적으로 인정해야 하고

타국의 사용을 제한하려면 우리의 사용
역시 제한하는데 동의해야 할겁니다

일방통행은 안통하죠

제가 평생을 핵무기 제어, 생화학무기
제어, 화학무기 제어 분야에서 일했는데

각 유형의 무기 제어를 할때마다
초기엔 이런 얘기를 들어요

"너무 어렵다. 문제 투성이다.
기술적이고, 엔지니어링이다"

"과학 문제다. 검증의 어려움이 있다"

"실현 불가능하다"

물론 어떤 경우엔 20,30년 걸렸지만
생화학무기 협약, 그거 엄청 잘됐거든요

화학무기 협약, 역시 아주 잘됩니다

3~4개의 핵무기 협약 역시 있고요

예, 힘들수도 있어요.
20~30년 걸릴수도 있고요

하지만 심각히 안다루면 아무것도 못하죠,
시작도 안하면 아무일도 못합니다

"오늘 2년여의 협상 끝에 미국은
국제 파트너들과 함께"

"수십년의 증오가 이루지 못했던 것을
성취했습니다"

"이란의 핵무기 보유를 방지하는
포괄적 장기 협약입니다"

"스위스 로잔에서, 이란,미국,영국,프랑스,
독일,러시아,중국이 체결했습니다"

"이란이 현재 설치된 원심분리기의 3분의2
이상을 감축하는 협약입니다"

"이란은 향후 최소 10년간 원심분리기로
우라늄 농축을 하지 않는 조건입니다"

"이로써 우리나라, 우리 동맹국들,
그리고 우리 세계가 안전해질 겁니다"

"6백만 유대인 학살 이후 70년이 지나서"

"이란 지도층은 우리나라를
무너뜨릴것을 약속했고"

"해당 정부들 거의 모두가 아무런
응답없이 침묵했습니다"

"다들 귀먹은 모양입니다"

"협약에 이스라엘이 참여하지 않은
이유를 아마 이해하실 거라 믿습니다"

"미국이 능력 뿐만 아니라 원칙까지
이끌어야 한다는게 역사의 교훈입니다"

"우리가 강해지려면, 혼자여서는 안되고
세계와 함께해야 합니다"

"오늘 발표로써 안전하고 서로 도움되는
희망찬 세계를 이루기 위한"

"한 챕터를 열었습니다. 감사합니다"

"신이시여 당신께 축복을, 미국에 축복을"

제가 아는 사람들은 대부분 이란 협약을
반겼어요. 제재와 외교가 통했으니까요

하지만 협약 뒤에는 우리 사이버 역량에
대한 자신감이 숨어있어요

우린 이란 내부를 장악했고, 지금도 그래요

앞으로 뭘 어디서 할것인지 작전
세부사항을 얘기하진 않겠지만

공상과학 사이버전쟁 시나리오가 나왔어요.
나이트로 제우스.

하지만 제 걱정은,
이걸 밝히는 이유는...

국가의 전력망을 꺼버린다고 생각해봐요

그냥 다시 켜지는게 아니잖아요,
쉽게 원상복구 안될거라고요

전부다 달려들어도 불을 다시 못켜거나

몇주동안 상수도 필터를 못하면,
수많은 사람들이 죽을수도 있어요

우리가 다른 나라에 어떤 짓을 했다면,
그들이 우리한테 보복할수도 있어요

우리가 입다물고 있어야 하는게 맞나요?
아니면 얘기를 해야 하는 건가요?

영화 만들면서 많은 이들을 만났는데
친구들조차 NSA와 스턱스넷 얘기를

안하려고 해요, 비보도 하에서도요.
감옥갈까봐 두려운거죠

두려움이 우릴 지켜줄까요?

아뇨, 하지만 저는 지켜줄거예요

아니면 우릴 지켜준다고 해야할까요?

저는 증언해주신 여러분들의 역할을
재연한 배우입니다

이분들은 NSA와 CIA 출신으로, 기밀에
분개하면서도 앞에 나서긴 두려워했습니다

이제 우리가 앞에 나섰습니다

뭐, 한발짝 앞으로죠.

영화 제작에 도움주신 용기있는 모든 분들께
제작진은 감사드립니다

알렉스 기브니 감독 작품

한글번역: 박동수 (advance38@gmail.com)