Quantum Systems 사이버 공격, 독일군 드론 운용 중단

독일 연방군(Bundeswehr)이 바이에른주 방산 기술 기업 Quantum Systems가 사이버 공격을 받은 뒤 이 회사 드론의 사용을 예방 차원에서 중단한 것으로 보입니다. 이는 Golem.de가 사정을 아는 사람들을 인용한 파이낸셜타임스 보도를 인용해 전한 내용입니다. 기체 자체가 아니라 그 주변 소프트웨어가 공격받을 때는 최첨단 드론 시스템도 취약하다는 점을 보여주는 사례입니다.

Quantum Systems에서 무슨 일이 있었나?

통신사 dpa-AFX에 따르면 Quantum Systems는 2026년 10월 말 '사이버 보안 사고'가 확인됐다고 밝혔습니다. 회사 측은 즉시 진행한 내부 조사에서 적대적 행위자의 활발한 사이버 공격이 드러났다고 설명합니다. Golem.de도 같은 설명을 전하며, 사고는 10월 말 무렵 발견됐고 IT 및 보안팀이 관계 당국과 함께 위협을 차단했다고 보도했습니다.

뮌헨 인근 길힝(Gilching)에 본사를 둔 이 회사는 사고를 당국에 신고했으며 조사가 계속되고 있다고 밝혔습니다. dpa-AFX에 따르면 Quantum Systems는 취해진 조치와 사고의 성격을 고려할 때 시스템을 운용하는 최종 사용자와 운영자에게는 위험이 없다고도 설명했습니다. 베를린에서 문의를 받은 국방부는 이 언론 보도에 대해 입장을 내놓지 않았습니다.

악성 코드는 어떻게 고객에게 전달됐나?

Golem.de가 전한 사정을 아는 한 인물에 따르면, Quantum Systems는 고객에게 한 서버를 통해 악성 업데이트 파일이 배포됐다고 알렸습니다. 이 서버는 제조사의 지상 관제 및 임무 계획 소프트웨어인 QBase의 업데이트를 제공하는 곳입니다. 지상 관제 소프트웨어는 운용자가 지상에서 드론을 조종하고 임무를 계획하는 데 쓰는 프로그램입니다.

이런 방식을 공급망 공격이라고 부릅니다. 공격자가 최종 고객에게 직접 악성 코드를 심는 것이 아니라, 고객이 신뢰하는 경로, 여기서는 제조사의 업데이트 서버에 심는 것입니다. 조작된 파일이 실제로 고객에게 얼마나 설치됐는지는 우리가 읽은 출처에 나와 있지 않습니다. Golem.de에 따르면 이번 장애가 개별 고객에게 어떤 영향을 미치는지는 아직 불분명합니다.

연방군에는 어떤 영향이 있나?

Golem.de가 인용한 파이낸셜타임스에 따르면, 이 조치 때문에 Quantum Systems가 최근 군사 훈련에도 참가하지 못한 것으로 보입니다. Quantum Systems는 정찰 드론 Vector를 제작하며 독일, 스페인, 네덜란드 육군을 포함한 여러 유럽 군대에 납품합니다. 스페인과 네덜란드 군대도 드론을 중단했는지는 우리가 읽은 출처로는 확인되지 않습니다.

dpa-AFX가 쓴 것처럼 국방부는 이 보도를 확인하지 않았습니다. 따라서 Golem.de 기사의 '것으로 보인다'라는 표현은 무겁게 받아들여야 합니다. 사용 중단은 공식 발표가 아니라 파이낸셜타임스의 익명 취재원에 근거한 것입니다.

공격 배후는 누구인가?

아직 열려 있는 문제입니다. Golem.de는 이번 공격이 러시아나 다른 국가 또는 조직과 연결된다는 공개적 증거는 현재까지 없다고 씁니다. 다만 독일 국내 정보기관인 연방헌법수호청(Verfassungsschutz)은 7월에 사이버 공격, 스파이 활동, 사보타주를 포함해 독일 방산 부문에 대한 러시아의 활동 위험이 높아졌다고 경고한 바 있습니다. Golem.de에 따르면 이 경고는 특히 우크라이나를 지원하는 기업을 겨냥한 것이었습니다.

Quantum Systems가 바로 그런 기업입니다. Golem.de에 따르면 이 회사는 우크라이나에서 200명이 넘는 직원을 고용하고 있으며 우크라이나 기업들과 세 개의 합작 회사를 운영합니다. 이 제휴는 소형 공격 드론, 요격 드론, 무인 지상 차량을 만듭니다. dpa-AFX에 따르면 우크라이나군은 러시아에 맞선 방어 전쟁에서 Quantum 드론을 사용하고 있습니다.

Quantum Systems는 어떤 회사인가?

Golem.de는 Quantum Systems를 유럽에서 기업가치가 가장 높은 방산 스타트업 중 하나로 꼽으며, 올해 초 투자 라운드에서 보도에 따르면 70억 유로로 평가받았습니다. dpa-AFX에 따르면 이 회사는 군용과 민간용 드론을 모두 만들며 지금까지는 정찰과 감시에 중점을 두었고, 수상 및 수중 드론은 개발 중입니다.

dpa-AFX에 따르면 비교적 새로운 제품으로는 무인 정찰 시스템 'Reliant'가 있습니다. 넓은 지역을 10시간 넘게 연속으로 감시할 수 있고, 수직으로 이륙하며, 기체에 AI를 탑재했습니다. 또 다른 개발 중점은 무인 시스템용 제어 소프트웨어 'Mosaic'입니다. AI 기능을 갖춘 드론은 시스템의 가치가 끊임없이 업데이트되는 소프트웨어에 크게 좌우됩니다.

핵심 요약

• 발견 시점: 2026년 10월 말. Quantum Systems에 따르면 적대적 행위자의 활발한 공격(dpa-AFX, Golem.de).
• 경로: 소프트웨어 QBase용 서버를 통해 배포된 악성 업데이트 파일(Golem.de).
• 대응: 연방군이 예방 차원에서 드론 사용을 중단한 것으로 보임(파이낸셜타임스, Golem.de 경유). 국방부는 입장 없음(dpa-AFX).
• 공격자: 불명. 러시아와의 연관을 보여주는 공개 증거는 없음(Golem.de).
• 고객 영향: Golem.de에 따르면 불분명. Quantum Systems에 따르면 최종 사용자에게 위험 없음(dpa-AFX).

한국 기업에는 무엇이 달라지나?

드론, 로보틱스, AI 기반 시스템을 사용하거나 만드는 한국 기업에게 이 사례는 업데이트 체인 자체를 독립적인 공격 경로로 다뤄야 한다는 경고입니다. 구체적으로는 제조사 업데이트를 서명된 경로로만 받고, 배포 전에 테스트 환경에서 검증하며, 공급사에 사고가 났을 때 장비를 예방적으로 운용 중단할지 누가 결정하는지 미리 정해 두는 것입니다. 방산이나 핵심 기반시설에 납품하는 기업은 독일 연방헌법수호청의 경고도 진지하게 받아들이고 당국에 대한 신고 경로를 사전에 정리해 두어야 합니다.