보안 업계가 최근 다시 주목한 오래된 악성코드 Fast16은, 2005년 무렵 만들어졌을 가능성이 있으며 스턱스넷보다 앞선 사이버 사보타주 도구일 수 있다는 분석이 나왔습니다. 이 악성코드는 파일을 훔치거나 설비를 바로 멈추는 대신, 공학·물리 시뮬레이션 소프트웨어의 계산 결과를 미세하게 바꾸는 쪽에 초점이 맞춰져 있었습니다.12
이게 지금 중요한 이유는 분명합니다. 오늘날 기업과 정부는 운영을 "소프트웨어가 내놓는 출력" 위에 점점 더 많이 올려두고 있습니다. 문제는 공격자가 시스템을 망가뜨리지 않아도 된다는 점입니다. 그저 사람들이 믿는 결과값만 조금 틀리게 만들면 됩니다.
가장 무서운 공격은 소프트웨어가 멀쩡해 보일 때 일어난다
대부분이 떠올리는 악성코드는 랜섬웨어처럼 티가 납니다. 화면이 잠기고, 서비스가 멈추고, 알람이 울립니다. 대응은 늦어도 인지는 빠릅니다.
Fast16은 반대편에 있습니다. 공개된 분석에 따르면 이 샘플은 fast16.sys 드라이버를 설치하고, 부동소수점 계산 결과를 변형하는 루틴을 포함했으며, LS-DYNA 970, PKPM, MOHID 같은 정밀 계산·시뮬레이션 도구를 찾으려 했습니다.2 LS-DYNA는 충돌 해석, 구조 해석, 고난도 물리 시뮬레이션에 쓰였고, 이란 핵 프로그램과의 연관 가능성도 제기됐습니다. 다만 "실제로 어디에 배포됐는지", "누가 만들었는지", "어떤 피해를 냈는지"는 공개 정보만으로 확정되지 않았습니다.13
핵심은 공격 방식입니다. 출력 조작형 악성코드는 시스템 가용성을 깨는 대신 의사결정의 기반을 오염시킵니다. 설계값이 조금 틀어지고, 시뮬레이션이 약간 낙관적으로 나오고, 검증 결과가 미세하게 어긋나면, 사람은 오히려 더 오래 속을 수 있습니다.
이 위협 모델은 스파이웨어나 랜섬웨어 분류만으로는 잘 보이지 않습니다. 전통적 보안은 "침입했는가"와 "중단됐는가"를 많이 봅니다. 하지만 Fast16이 던지는 질문은 다릅니다. "누군가 결과를 조용히 바꿨다면 우리는 알아챌 수 있는가?"
지금의 Fast16는 어디를 노릴까
이 개념을 2026년 환경으로 옮기면 적용 범위는 훨씬 넓습니다.
가장 먼저 떠올려야 할 곳은 엔지니어링 툴체인입니다. CAD/CAE, 구조·유체·충돌 해석, 공정 최적화, 디지털 트윈 같은 시스템은 모두 "출력 신뢰"가 자산입니다. 결과 파일이 정상 형식이고 애플리케이션도 잘 실행되면, 보안팀보다 엔지니어가 먼저 속을 가능성이 큽니다.
두 번째는 AI 파이프라인입니다. AI는 본질적으로 확률적 출력에 익숙한 환경을 만들었습니다. 그래서 "조금 이상하지만 그럴듯한 결과"가 더 잘 통과됩니다. 학습 데이터, 피처 엔지니어링, 추론 후처리, 평가 지표 중 하나만 교란돼도 시스템은 계속 돌아가면서 틀린 결론을 낼 수 있습니다.
세 번째는 금융·공급망·운영 계획 소프트웨어입니다. 거래 모델, 수요 예측, 재고 배치, 경로 최적화처럼 출력이 곧 행동으로 이어지는 영역에서는, 정답을 훔치는 것보다 정답을 비틀어 놓는 편이 더 효율적일 수 있습니다.
여기서 반론도 가능합니다. "그 정도면 QA나 현업 검토가 잡아내지 않나?" 일부는 맞습니다. 하지만 검토자가 같은 툴, 같은 데이터, 같은 가정 위에서 검산하면 독립 검증이 아닙니다. 같은 오염원을 두 번 확인하는 셈입니다.
실무 질문은 간단하다: 그럴듯한 오답을 잡을 수 있는가
Fast16 같은 위협에 대한 방어는 EDR 하나 더 넣는 문제로 끝나지 않습니다. 출력 무결성을 따로 다뤄야 합니다.
보안 리더와 엔지니어링 조직이 최소한 점검할 질문은 이 정도입니다.
첫째, 중요한 계산은 독립된 경로로 재현 가능한가. 다른 버전, 다른 엔진, 다른 팀이 같은 입력으로 비슷한 결과를 내는지 봐야 합니다.
둘째, 기준선이 있는가. 정상 상태에서 결과 분포가 어떤지 모르면, 미세한 왜곡은 이상 징후가 아니라 자연 변동처럼 보입니다.
셋째, 모델·도구·플러그인의 출처와 변경 이력이 추적되는가. 특히 오래된 산업용 소프트웨어나 특수 해석 도구는 최신 보안 통제가 약한 경우가 많습니다.2
넷째, "사람 검토"가 아니라 "사람이 의심해야 할 조건"이 정의돼 있는가. 예를 들어 설계 마진 급감, 과거 대비 비정상적 성능 향상, 재현성 저하 같은 신호가 나오면 자동으로 2차 검증을 거치게 해야 합니다.
이건 구매 기준이기도 합니다. 새 소프트웨어를 들일 때 기능·성능만 볼 게 아니라, 결과 재현성, 로그 무결성, 계산 경로 감사 가능성까지 같이 물어야 합니다.
결국 Fast16의 진짜 교훈은 과거 NSA나 이란 이야기만이 아닙니다. 출력이 곧 현실을 움직이는 조직이라면, 이미 같은 문제 안에 들어와 있습니다. 지금 신경 써야 할 사람은 보안팀만이 아닙니다. 시뮬레이션을 믿고 설계하는 엔지니어, AI 결과로 의사결정하는 운영팀, 모델 출력으로 자본을 움직이는 리스크 조직입니다. 앞으로의 보안 경쟁은 "누가 막느냐"만이 아니라 "누가 더 빨리, 더 그럴듯한 오답을 의심하느냐"에서 갈릴 가능성이 큽니다.
참고
1Newly Deciphered Sabotage Malware May Have Targeted Iran's Nuclear Program--and Predates Stuxnet
2Researchers find cyber-sabotage malware that may predate Stuxnet by five years
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.