전용선과 폐쇄 프로토콜로 분리돼 있던 전력망 통신은 태양광·풍력 접속 지점이 늘면서 공용 통신망 위로 옮겨갔다. 2019년 미국 태양광 사업자 사고부터 2025년 12월 폴란드 침투, 2027년 시행될 국내 모니터링 의무 확대까지, 확인된 사례로 그 이동을 따라간다.
전력 설비를 다루는 자리에서 오래 통용된 설명이 하나 있다. 발전소와 변전소를 잇는 통신은 외부 인터넷과 끊어져 있으니 해킹의 대상이 되기 어렵다. 이 설명에는 이름이 붙어 있다.
이 설명이 사실이던 시기에는 조건이 세 가지 갖춰져 있었다. 첫째, 감시하고 제어할 대상이 적었다. 한 나라의 발전소가 수백 개 단위이면 전용 회선을 하나씩 깔아 붙이는 일이 가능하다. 둘째, 통신에 쓰는 규약이 바깥 세계와 달랐다. 전용선 위에서 돌아가는 산업용 규약은 일반 인터넷 장비가 해석하지 못했다. 셋째, 원격 접속이 없어도 설비가 돌아갔다. 발전소마다 사람이 상주했으므로 조작은 현장에서 이뤄졌고, 외부 접속은 편의였다.
재생에너지가 늘면서 이 세 조건이 차례로 사라졌다. 사라진 것은 설계의 전제다. 그래서 지금 전력망 통신을 두고 "격리돼 있는가"를 묻는 것은 답을 얻기 어려운 질문이 됐다. 물어야 할 것은 접속 경로가 몇 개이고 경로마다 무엇이 걸려 있는가 쪽이다.
태양광과 풍력은 발전기 한 대의 용량이 작다. 같은 설비 용량을 채우려면 접속 지점의 수가 수백 배로 늘어난다. 지점마다 전용 회선을 깔면 회선값이 발전 설비값을 넘어서므로, 통신은 이동통신망과 인터넷을 빌려 쓰는 쪽으로 옮겨갔다.
대상 설비의 성격도 다르다. 재생에너지 설비가 계통에 전기를 내보내려면 인버터를 거쳐야 한다.
인버터에 통신 기능을 붙인 것은 우연이 아니라 표준이 요구한 결과다. 2018년 개정된 IEEE 1547은 분산전원이 계통에 접속할 때 지켜야 할 요건을 정한 국제 표준인데, 개정판은 설비마다 표준화된 통신 접점을 두고 정해진 규약 가운데 하나를 지원하도록 했다. 전력연구원(EPRI)이 정리한 해설 자료는 제조사마다 제각각인 통신 방식으로는 여러 상표의 설비를 한꺼번에 계통에 붙일 수 없다는 점을 개정 이유로 든다. 미국 국립재생에너지연구소(NREL)의 해설은 이 표준이 접점의 규격만 정했을 뿐 그 기능을 실제로 쓸지는 각 지역의 접속 규정이 정하도록 남겨 두었다고 밝힌다. 통신 기능은 표준이 깔아 두고, 그것을 켜는 결정은 나라마다 규제 기관이 내리는 구조다.
여기에 하나가 더 붙었다. 소규모 설비는 사람이 상주하지 않으므로 고장 진단과 설정 변경, 펌웨어 갱신을 제조사가 원격으로 처리한다. 그 경로는 제조사가 운영하는 클라우드 서버를 거치는 경우가 많다. 발전사업자가 자기 방화벽을 단단히 걸어도 제조사 계정 하나가 넘어가면 설비에 명령이 들어간다는 뜻이다. 격리 여부를 발전사업자 혼자 판단할 수 없게 된 것이 이 구조의 특징이다.
이 변화가 사고로 나타난 첫 사례는 2019년 3월 미국 서부에서 나왔다. 북미전력신뢰도협회(NERC)가 그해 9월 4일 공개한 교훈 문서 LL20190901은 사업자 이름을 밝히지 않은 채 사건을 이렇게 적었다. 어떤 제조사 방화벽의 웹 관리 화면에 있던 취약점이 악용돼, 인증 없이 접근한 공격자가 장비를 반복해서 재부팅시켰다. 10시간 동안 재부팅이 이어졌고 그때마다 5분 미만의 통신 두절이 생겼다. 끊긴 구간은 관제센터와 원격 발전 지점 사이, 그리고 각 지점 안의 장비 사이였다.
NERC 문서는 발전에는 영향이 없었다고 적는다. 사고를 발견한 경위도 적혀 있다. 여러 지점에서 같은 통신 두절이 반복되는 것을 감시 도구가 잡아냈고, 그래서 조사가 시작됐다. 문서가 권고 목록의 앞자리에 올린 항목은 인터넷에 노출된 장비를 최대한 줄이라는 권고다. 사고의 대상이 된 관제센터와 발전 지점은 모두 저영향(low-impact) 등급이었다. 미국의 전력 보안 규제인 NERC CIP는 설비의 중요도에 따라 요구 수준을 나누는데, 작은 설비는 낮은 등급으로 분류돼 요구 사항이 적다. 피해 사업자가 뒤에 태양광·풍력 사업자 sPower로 확인되면서, 규제 문턱 아래의 재생에너지 설비가 실제 공격 대상이 된다는 점이 함께 드러났다.
두 번째 사례는 통신 경로를 남과 공유할 때 무슨 일이 생기는지 보여준다. 2022년 2월 24일, 러시아가 우크라이나를 침공한 시각과 거의 같은 때에 위성 인터넷 사업자 바이어샛(Viasat)의 KA-SAT 망이 마비됐다. 보안업체 센티널원(SentinelOne)은 모뎀과 공유기의 저장 장치를 지우는 악성코드를 찾아내 에이시드레인(AcidRain)이라 이름 붙이고, 이 공격의 여파로 독일에 있는 에너콘(Enercon)의 풍력 발전기 5,800기가 원격 감시와 제어를 잃었다고 보고했다. 태양광 발전 전문지 pv magazine은 해당 설비의 합계 용량을 11GW로 전했다.
발전은 멈추지 않았다. 통신이 끊긴 발전기는 자동 운전으로 계속 전기를 만들었고, 계통운영자가 출력을 제한하는 경로도 살아 있었다. 잃은 것은 제조사 쪽의 감시와 정비용 접속이다. 고장이 나도 원격으로 손을 쓸 수 없어 현장에 인력을 보내야 하는 상태가 이어졌다. 자기 설비도 자기 나라의 분쟁도 아닌 사건 때문에 독일의 발전 설비가 관측을 잃었다는 점이 이 사례의 내용이다. 통신 경로를 남과 공유하면 그 경로에 실린 다른 이용자의 위험까지 함께 진다.
2025년 3월 27일 미국 보안업체 포어스카우트(Forescout)의 연구조직 베데레 랩스(Vedere Labs)는 태양광 인버터 제조사 세 곳의 제품에서 새로 찾은 취약점 46건을 공개했다. 대상은 중국의 성글로(Sungrow)와 그로와트(Growatt), 독일의 에스엠에이(SMA)다. 회사가 낸 발표문에 따르면 그로와트 쪽은 제조사 클라우드를 통한 계정 탈취가 가능했고, 성글로 쪽은 통신 동글의 일련번호를 긁어모으고 기기에 박혀 있던 자격증명을 써서 원격으로 코드를 실행하는 경로가 있었다. 세 회사는 통보 후 모두 수정했다.
취약점이 인버터 본체보다 계정 관리와 웹 서비스 쪽에 몰려 있다는 점이 이 조사의 내용이다. 전력 설비의 보안을 설비 자체의 문제로 보는 시각으로는 이런 경로가 잡히지 않는다. 발표문은 장악한 인버터를 한꺼번에 조작해 계통에 부하 변동을 일으키는 시나리오까지 제시하는데, 이 시나리오는 관측된 사실이 아니다. 위험 평가에 해당한다. 포어스카우트는 산업 설비 보안 제품을 파는 회사이므로 위험을 크게 잡을 유인이 있다는 점을 함께 놓고 읽어야 한다. 확인된 사실은 취약점 46건의 존재와 제조사들의 수정이고, 대규모 동시 조작은 아직 관측된 적이 없다.
공급망 쪽에서는 확인의 수준이 더 낮다. 2025년 5월 14일 로이터는 미국에서 계통에 연결된 중국산 인버터를 분해해 점검하던 전문가들이 제품 문서에 없는 통신 장치를 발견했다고 보도했다. 이동통신 모듈이 포함돼 있었고, 배터리 제품에서도 같은 것이 나왔다는 내용이다. 이 보도는 익명의 관계자 두 명에게서 나왔고 미국 정부의 공식 확인은 뒤따르지 않았다. 사실로 확정된 것은 그런 주장이 제기됐다는 점까지이며, 방화벽 우회 경로의 실재 여부는 공개 자료로 확인되지 않는다.
여기까지의 사례는 인터넷에 노출된 장비, 위성 회선, 제조사 클라우드처럼 외부에 열린 경로를 다뤘다. 그렇다면 이동통신사에서 따로 받은 폐쇄 회선은 안전한가. 폴란드에서 나온 답은 그렇지 않다는 쪽이다.
2025년 12월 29일 폴란드의 에너지 설비를 겨냥한 공격이 하루 동안 동시에 벌어졌다. 폴란드 국가 침해사고대응팀 CERT Polska가 2026년 1월 공개한 보고서는 대상이 다수의 풍력·태양광 단지와 제조업체 한 곳, 그리고 50만 명 가까운 주민에게 열을 공급하는 열병합 발전소였다고 적는다. 목적은 파괴였다. 데이터를 지우는 악성코드 다이노와이퍼(DynoWiper)와 레이지와이퍼(LazyWiper)가 쓰였고, 열병합 발전소에서는 사전 침투가 여러 달 이어졌다. 폴란드 디지털부와 에너지부는 이 보고서를 정부 누리집에 함께 게시했다. CERT Polska는 공격 인프라가 정보보안업계에서 각각 스태틱 툰드라, 버서크 베어, 고스트 블리자드, 드래건플라이로 부르는 활동군과 상당 부분 겹친다고 밝혔고, 그 활동군에 파괴를 목적으로 한 사례가 공개적으로 기록된 것은 처음이라고 적었다.
중요한 대목은 일곱 달 뒤에 나왔다. CERT Polska는 2026년 8월 8일 보완 보고서를 내고, 같은 시기에 또 다른 열병합 발전소에서 벌어진 사건을 공개했다. 주민 5만 명에게 열을 공급하는 시설로, 공격으로 증기 터빈과 공업용수 처리 설비가 멈춰 전기와 열을 함께 생산하는 열병합 운전이 중단됐다. 현장 인력이 빠르게 대응해 열 공급 중단으로 번지지는 않았다. 석 달 넘는 조사 끝에 밝혀진 침투 경로가 사설 APN이었다.
pierwszym tego typu przypadkiem zaobserwowanym podczas rzeczywistego ataku
실제 공격에서 관측된 이런 종류의 첫 사례
CERT Polska, 「2025년 12월 에너지 부문 사고 보고서 보완」, 2026년 8월 8일
CERT Polska는 사설 APN을 통해 산업 제어망에 접근한 사례가 실제 공격에서 관측된 것은 자신들이 아는 한 처음이라고 적었다. 가능했던 이유로는 설정 오류를 들었다. 같은 사설 APN 안에 들어 있는 기기끼리 아무 제한 없이 서로 연결할 수 있게 돼 있었다. 그리고 같은 방식을 쓰는 폴란드 내 기관들을 조사한 결과 이 설정이 여러 곳에서 발견됐으며, 다른 나라에서도 널리 쓰이는 것으로 파악된다고 덧붙였다.
이 확인은 한 회사의 보안 수준을 넘어 사설 APN을 격리망으로 취급해 온 관행에 걸린다. 어떤 통신 경로를 두고 분리돼 있다고 말하려면 세 가지가 함께 성립해야 한다. 경로 목록이 실제와 일치해야 하고, 경로마다 들어오는 쪽을 인증해야 하며, 경로 안에서 기기끼리 임의로 연결되지 않아야 한다. 사설 APN은 앞의 두 가지를 만족시키지만 세 번째는 이용 기업이 따로 설정해야 하는 항목이다. 그 설정을 하지 않으면 발전소 수십 곳의 원격 단말이 하나의 평평한 망에 함께 놓인다. 한 곳을 장악한 공격자가 나머지로 옮겨 다닐 수 있다는 뜻이다.
같은 구조 변화가 국내에서도 진행 중이다. 기후에너지환경부 계통운영혁신과는 2026년 9월 3일 「‘재생에너지 모니터링·제어 장비’ 의무 구축 대상 확대로 전력망 안정성 높인다」라는 보도자료를 냈다. 9월 4일자로 「송·배전용 전기설비 이용규정」을 고쳐, 발전량을 실시간으로 확인하고 필요하면 출력을 원격으로 조정하는 장비의 설치 의무를 넓힌다는 내용이다. 기존에는 90kW 이상 설비가 대상이었고, 2027년 1월 1일 접수분부터는 사업용과 전력거래용 태양광·풍력·연료전지 가운데 20kW 이상이 모두 대상이 된다. 이 제도는 2020년 10월 제주도의 100kW 이상 신규 설비에 처음 적용된 뒤 단계적으로 범위를 넓혀 왔다.
함께 발표된 비용 대책이 통신 경로를 바꾼다. 지금까지 이 장비들은 주로 한국전력이 소유한 자가 무선망 e-WSN에 붙었다. 산악이나 외곽에서는 케이블 포설 비용이 커지고 개통에 평균 3개월이 걸린다는 문제가 있었다. 개정과 함께 정부는 일반 이동통신사의 LTE 상용망 이용을 허용하고 그 방식의 단말을 도입한다고 밝혔다. 올해 4월부터 진행한 시범 적용에서는 구축비가 약 460만 원에서 200만 원으로, 개통 기간이 약 84일에서 10일로 줄었다.
접속 지점의 수: 의무 대상이 90kW에서 20kW로 내려가면 새로 계통 감시 체계 안에 들어오는 설비의 수가 크게 늘어난다. 정부가 목표로 삼은 2030년 재생에너지 100GW를 감안하면 단말의 총수는 십만 대 단위가 된다.
경로의 종류: 한국전력 자가망 한 갈래였던 통신이 이동통신 상용망으로 갈라진다. 통신 구간의 관리 주체가 전력회사 밖으로 나간다.
보도자료가 제시한 절감 수치는 시범 적용에서 나온 값이며 장비값과 개통 기간만 센 것이다. 상용망을 쓰는 단말에 상호 인증을 걸고 기기 간 통신을 막는 데 드는 비용은 이 수치에 들어 있지 않다. 발표는 계통 안정성과 출력제어 쏠림 완화를 이유로 들었고 통신 보안은 언급하지 않았다. 정책의 목적이 계통 운영이므로 자연스러운 구성이지만, 그 결과로 보안 요건을 어느 문서가 정할지는 정해지지 않은 채 남는다.
폴란드에서 확인된 것이 바로 이 구간이다. 이동통신사에서 받은 폐쇄 경로에 발전 설비 수십 곳의 단말을 함께 올려 두고 기기 간 연결을 막지 않으면, 그 경로는 전용선보다 공용 구내망에 가깝게 동작한다. 국내 개정 규정이 상용망을 허용하면서 단말끼리의 통신 차단과 상호 인증을 함께 요구하는지는 세부 기술기준이 나와야 확인된다. 2027년 시행 전까지 그 문서에 해당 요건이 명시되지 않으면, 대상 확대는 감시 능력과 함께 침투 경로의 수도 같이 늘리는 결과가 된다. 반대로 세부 기준에 기기 간 통신 차단이 들어가고 단말 인증 방식이 규정되면 이 예측은 성립하지 않는다.
규제 쪽 움직임은 유럽이 앞서 있다. 유럽연합은 국경 간 전력 거래의 사이버보안 규칙을 담은 위임규정 2024/1366, 이른바 사이버보안 네트워크 코드를 2024년 6월 13일 발효시켰다. 에너지규제협력청(ACER)의 설명에 따르면 이 규정은 위험 평가와 최소 보안 요건, 제품·서비스 인증, 감시와 보고, 위기 관리를 함께 다룬다. 적용 대상은 고영향·중대영향으로 지정된 사업자이며, 지정과 위험 평가부터 단계적으로 진행된다. 소규모 분산자원을 어느 선까지 이 틀 안에 넣을지는 회원국이 지정 기준을 어떻게 잡느냐에 달려 있다.
재생에너지 시대의 전력망 통신은 격리망이 아니다. 이 판단을 떠받치는 것은 세 갈래의 확인된 사실이다. 첫째, 통신 경로가 공용 인프라로 옮겨갔다. 위성 회선을 남과 공유한 결과 독일의 풍력 5,800기가 관측을 잃었고, 국내에서는 2026년 9월 개정으로 한국전력 자가망 대신 이동통신 상용망을 쓸 수 있게 됐다. 둘째, 제어 경로가 발전사업자 밖으로 나갔다. 인버터 제조사 세 곳에서 확인된 취약점 46건은 계정과 클라우드 쪽에 몰려 있었다. 셋째, 폐쇄 회선이라는 분류 자체가 보장을 주지 못한다. 폴란드의 사설 APN은 외부 인터넷과 분리돼 있었지만 그 안에서 기기끼리 자유롭게 연결됐고, 그 설정이 폴란드에서 흔하고 다른 나라에서도 널리 쓰인다는 것이 국가 침해사고대응팀의 조사 결과다.
그렇다고 전력망 전체가 열려 있다는 결론으로 건너뛸 근거는 없다. 지금까지 확인된 피해는 관측 상실에 몰려 있다. 설비는 자동 운전으로 계속 돌고 운영자가 상태를 보지 못하는 상태이며, 2019년 미국과 2022년 독일 사례가 여기 해당한다. 수만 대의 인버터를 동시에 조작해 광역 정전을 일으키는 쪽은 취약점과 시나리오가 제시됐을 뿐 실현된 사례가 없다. 폴란드에서도 파괴는 개별 시설의 제어용 컴퓨터와 설비 정지에 그쳤고 전력 공급은 끊기지 않았다. 두 위험을 같은 무게로 다루면 대비의 우선순위가 흐려진다.
판단의 기준을 옮겨야 할 지점이 여기다. 어떤 설비를 두고 망이 분리돼 있느냐고 묻는 것으로는 안전 여부가 가려지지 않는다. 경로 목록이 실제와 맞는가, 경로마다 들어오는 쪽을 인증하는가, 같은 경로에 올라탄 기기끼리 서로 붙지 못하게 막았는가. 폴란드 사례가 이 세 질문을 실제 사고로 확인해 주었고, 국내는 그 질문에 답해야 할 설비의 수를 2027년부터 크게 늘린다.
남아 있는 물음은 책임의 소재다. 통신 구간을 이동통신사가 제공하고 설비는 제조사가 원격으로 관리하며 계통 운영은 전력회사가 맡는 구조에서, 사설 APN 내부의 기기 간 통신을 막을 의무가 누구에게 있는지는 어느 문서에도 명확히 적혀 있지 않다. 유럽은 위임규정 2024/1366으로 사업자 지정과 최소 요건부터 정하는 길을 택했고, 국내에서는 계통 운영 목적의 규정 개정이 통신 경로를 먼저 바꾸고 있다. 소규모 설비를 어느 규제 문턱 안에 넣을지, 그 문턱 아래에 남는 설비의 통신을 누가 책임질지가 다음 몇 해의 쟁점이다.