돗토리현 방사선 감시 시스템 랜섬웨어 공격, 시마네 원전 인근서 무슨 일 있었나

[핵심요약] 2026년 9월 2일 새벽 일본 돗토리현의 환경방사선 감시 시스템이 랜섬웨어 공격을 받아 메인 서버(주감시국)가 암호화됐어요. 원격지에 분리된 백업 서버 덕분에 방사선 감시는 끊기지 않고 계속됐어요.

2026년 9월 2일 새벽 3시 반, 일본 돗토리현이 운영하는 환경방사선 모니터링 시스템에서 이상 신호가 감지됐어요. 담당 직원이 시스템에 접속해 보니 화면이 열리지 않았고, 조사 결과 주감시국 서버 안의 방사선량·기상 데이터 파일이 통째로 암호화된 상태였어요. 이 시스템은 시마네 원자력발전소 인근의 방사선량을 24시간 감시하는 공공 인프라인데, 돗토리현은 다음 날인 9월 3일 랜섬웨어 공격을 공식 발표했어요. 서버에는 돈을 내지 않으면 데이터를 지우겠다는 영문 협박 메시지까지 남아 있었어요.

무슨 일이 있었나?

돗토리현청 내부에 설치된 주감시국(메인 서버)이 이번 공격의 표적이 됐어요. 자동 발송 메일로 이상 징후가 포착된 뒤 담당자가 접속을 시도했지만 이미 파일이 열리지 않는 상태였고, 시스템 유지보수업체가 정밀 조사에 들어가 랜섬웨어 감염을 확인했어요. 현은 피해 확산을 막기 위해 해당 시스템의 통신 경로를 전부 차단하는 봉쇄 조치를 취했고, 현청 디지털국 산하 CSIRT와 현경찰본부 사이버범죄대책과가 함께 침입 경로와 원인을 조사하고 있어요. 다행히 원격지에 별도로 설치해 운영하던 부감시국(백업 서버)은 피해를 전혀 입지 않아서, 방사선량 감시 업무 자체는 끊기지 않고 계속됐어요. 이 시스템이 다루는 데이터는 원래 대외 공개를 목적으로 하는 방사선량·기상 정보라 개인정보나 기밀정보는 포함돼 있지 않았고, 이 글을 쓰는 시점 기준으로 추가 정보 유출 정황은 확인되지 않았어요.

왜 중요한가, 무엇이 위험한가?

이번 사고가 눈길을 끄는 이유는 공격 대상이 원자력발전소 인근의 방사선 감시라는, 국민 안전과 직결된 공공 인프라였기 때문이에요. 다행히 이번엔 부감시국이 살아있어서 실질적 피해로 이어지지 않았지만, 만약 백업 서버까지 같은 네트워크 안에 있었거나 원격 접근이 가능한 구조였다면 얘기가 완전히 달라졌을 거예요. 최근에는 공격자들도 AI 기반 정찰 도구로 목표 네트워크의 백업 체계까지 자동으로 스캔해서, 주 서버와 백업 서버가 실제로 얼마나 분리돼 있는지부터 확인하고 침투 경로를 짜는 사례가 늘고 있어요. 즉 이번 사건이 다행으로 끝난 건 설계가 좋았기 때문이지 운이 좋아서가 아니에요. 원격지 분리라는 원칙 하나가 시스템 정지와 감시 지속의 갈림길을 갈랐어요.

우리 회사도 대비하려면?

이번 사례는 백업이 있다는 것과 백업이 실제로 분리돼 있다는 것이 전혀 다른 얘기라는 걸 보여줘요. 같은 네트워크, 같은 관리자 계정으로 접근 가능한 백업은 랜섬웨어 입장에서 그냥 또 하나의 폴더일 뿐이에요. 실제로 방어에 성공하려면 백업 서버가 물리적으로든 네트워크상으로든 원본 시스템과 분리돼 있어서, 주 서버가 뚫려도 공격자의 권한이 백업까지 넘어가지 못하는 물리적 에어갭 구조가 필요해요.

국내 제조업·공공기관도 사정은 다르지 않아요. 국내 지자체와 산업시설 상당수가 감시·제어 시스템(SCADA·OT)과 백업 인프라를 같은 사내망에 묶어 운영하고 있어서, 이번 돗토리현과 똑같은 시나리오가 국내에서도 얼마든지 재현될 수 있어요. 실시간 모니터링 시스템을 운영하는 조직이라면 이번 기회에 백업 서버가 정말 별도 네트워크에 있는지, 아니면 이름만 백업이고 사실은 같은 망 안의 다른 서버인지부터 점검해 볼 필요가 있어요.

이런 증상이 보이면 이미 위험 신호예요.

• 백업 서버가 운영 서버와 같은 관리자 계정·같은 도메인으로 로그인되나요?
• 백업 서버에 원격 데스크톱(RDP)이나 SSH로 직접 접속할 수 있나요?
• 감시·제어 시스템(SCADA·OT) 담당자와 IT 보안 담당자가 서로 다른 팀이라 소통이 끊겨 있진 않나요?
• 최근 6개월 안에 백업 복구 테스트를 실제로 해본 적이 있나요?
• 서버 이상 알림 메일을 새벽 시간대에도 즉시 확인할 담당자 체계가 있나요?
• 랜섬노트(협박 메시지) 발견 시 통신 차단까지 걸리는 시간이 몇 분 이내인가요?

방사선 감시 시스템이 멈추면 실제로 위험한가요?

이번 사고에서는 원격지 백업 서버가 감시를 그대로 이어받아서 방사선량 모니터링에 공백이 없었어요. 하지만 백업 서버까지 함께 뚫렸다면 방사선량 급증 같은 실제 이상 상황을 놓치는 훨씬 심각한 사태로 번질 수 있었어요.

공개용 데이터만 다루는 시스템도 랜섬웨어 표적이 되나요?

네, 이번 시스템은 원래 대외 공개 목적의 방사선·기상 데이터만 다뤘는데도 공격을 받았어요. 공격자 입장에서는 데이터의 기밀성보다 시스템을 멈출 수 있는지, 몸값을 낼 만한 조직인지가 더 중요한 판단 기준이에요.

협박 메시지가 영문으로 남았다는데, 국내 지자체도 해외 랜섬웨어 조직의 표적이 될 수 있나요?

네, 랜섬웨어 조직 대다수는 국경과 무관하게 자동화된 스캐너로 취약한 시스템을 찾아 공격하기 때문에 언어나 지역은 표적 선정 기준이 아니에요. 국내 공공·산업 시스템도 이미 반복적으로 해외발 랜섬웨어 조직의 공격 대상이 되어 왔어요.

이번 돗토리현 사고는 방사선 감시처럼 24시간 멈추면 안 되는 공공 인프라조차 랜섬웨어의 사정권 안에 있다는 걸 보여줬어요. 다만 원격지에 진짜로 분리된 백업 서버 하나가 있었던 덕분에, 최악의 시나리오로 번지지 않고 해프닝 수준에서 끝날 수 있었어요. 백업을 갖추는 것과 그 백업이 공격자 손이 닿지 않는 곳에 있는 것은 완전히 다른 이야기라는 교훈을 다시 한번 확인시켜준 사고예요.

이런 사고를 막으려면 주 서버가 뚫려도 백업까지는 공격자 손이 닿지 않는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 백업 서버가 진짜로 분리돼 있는지 궁금하다면 여기서 확인해보세요.