Epic Fury 공습 뒤 사이버전: 이란 인터넷 4%로 추락, 핵티비스트 디도스 주장 149건

무슨 일이 일어났나

2026년 2월 28일, 미국과 이스라엘이 이란을 공습했습니다. 미국은 이 작전을 Operation Epic Fury, 이스라엘은 Roaring Lion이라고 불렀습니다. Epic Fury는 군사 작전 전체의 이름이고, 사이버 작전만 가리키는 말이 아닙니다.

같은 날 이란 인터넷이 거의 끊겼습니다. 인터넷 감시 기관 NetBlocks는 이란 전국 연결이 평소의 4% 수준까지 떨어졌다고 확인했습니다. 글을 쓴 뒤 나온 Unit 42의 4월 17일 업데이트에 따르면, 이란은 47일 동안 인터넷을 끊었다가 4월 중순부터 일부만 다시 열기 시작했습니다.

시점	사건
2월 28일	미국·이스라엘 공습 시작, NetBlocks 기준 이란 인터넷 연결 평소의 4%
2월 28일	이란 지지 핵티비스트 연합 'Electronic Operations Room' 결성, 공습 약 9시간 뒤 첫 보복 디도스
2월 28일~3월 2일	핵티비스트 디도스 주장 149건, 16개국 110개 조직 대상
3월 2일	FT, 이스라엘이 수년간 테헤란 교통카메라를 해킹해 왔다고 보도
4월 중순	47일간의 차단 뒤 이란, 인터넷 일부 복구 시작(Unit 42 4월 17일 업데이트)

인터넷 차단은 누가 했나

Jerusalem Post는 공습 당일 이 차단을 '이스라엘의 역대 최대 사이버공격'이라고 보도했습니다. 근거는 익명의 보도와 서방 정보 소식통이었습니다. IRNA 사이트 장애와 Tasnim 해킹도 '보도에 따르면'이라는 단서를 달아 전했습니다.

반대 해석도 있습니다. Forbes는 NetBlocks가 이번 차단을 지난해 이스라엘과의 전쟁 때 쓰인 조치와 같은 양상이라고 밝혔다고 전했습니다. 그러면서 이스라엘이나 미국의 사이버공격이라는 증거는 없고, 1월부터 이어진 이란 정부의 인터넷 차단이 강화된 것으로 보인다고 썼습니다.

지금까지 공개된 자료로는 차단 원인을 하나로 확정할 수 없습니다. '역대 최대 사이버공격'이라는 평가도 공식 확인된 것은 아닙니다.

테헤란 교통카메라

FT는 3월 2일, 이스라엘이 수년 동안 테헤란의 교통카메라를 해킹해 왔다고 보도했습니다. Iran International이 전한 FT 보도에 따르면 테헤란 교통카메라 거의 전부가 해킹돼 있었습니다. 영상은 암호화돼 텔아비브와 이스라엘 남부의 서버로 전송됐습니다.

CNN은 이스라엘 관리를 인용해 이 카메라가 수년 전에 해킹됐다고 전했습니다. 이스라엘은 카메라로 도시를 자세히 지도화하고 사람들의 이동 패턴을 파악했습니다. 카메라는 더 큰 시스템의 일부였고, 한 이스라엘 소식통은 이를 방대한 데이터를 처리하는 AI 기반 '표적 생산 기계'라고 불렀습니다.

교통카메라 장악은 공습 당일에 한꺼번에 일어난 일이 아닙니다. 수년에 걸친 침투가 하메네이 최고지도자를 노린 공습 준비에 쓰인 것입니다.

이란 쪽 보복 사이버공격

Radware에 따르면 핵티비스트들은 Epic Fury 시작 약 9시간 만에 움직였습니다. 2월 28일부터 3월 2일까지 사흘 동안 디도스 공격 주장 149건이 나왔고, 대상은 16개국 110개 조직이었습니다. 12개 그룹이 참여했고 Keymous+, DieNet, NoName057(16) 세 그룹이 전체 주장의 74.6%를 차지했습니다.

이 숫자는 핵티비스트가 텔레그램에 올린 '주장'을 센 것입니다. Radware도 이를 실제 피해 규모가 아니라 공격 의도를 보여 주는 지표로 다뤘습니다. Unit 42는 3월 2일 기준 활동 중인 핵티비스트 그룹이 60개에 이른다는 추정을 인용했습니다.

Unit 42가 정리한 주요 주장은 다음과 같습니다.

이스라엘 결제 인프라: 장악했다는 주장
쿠웨이트 정부·국방부·군 웹사이트: 공격했다는 주장
걸프 지역 공항: DieNet이 바레인·UAE 공항을 공격했다는 주장

Radware 집계에서 중동 대상 주장의 76.6%가 쿠웨이트, 이스라엘, 요르단에 몰렸습니다. 직접 전쟁을 치르지 않는 나라도 주요 표적이 됐습니다.

일반 사용자가 알아야 할 것

1. 핵티비스트 주장은 부풀려진 경우가 많습니다 Unit 42는 핵티비스트가 자신들의 영향력을 과장하는 경우가 많다고 경고했습니다. 텔레그램에 올라온 'OO 해킹' 주장을 바로 사실로 받아들이지 마세요.

2. 분쟁 당사국이 아니어도 표적이 됩니다 Radware 집계에서 쿠웨이트(28%)와 요르단(21.5%)이 중동 대상 디도스 주장의 절반 가까이를 차지했습니다. 해외 서비스를 쓴다면 장애에 대비해 두는 편이 좋습니다.

3. 인터넷에 연결된 카메라는 감시 도구가 될 수 있습니다 테헤란 사례처럼 카메라는 오랫동안 몰래 감시에 쓰일 수 있습니다. 집에 있는 IP 카메라도 기본 비밀번호를 바꾸고 펌웨어를 최신으로 유지하세요.

4. 전쟁을 미끼로 한 사기를 조심하세요 Unit 42는 3월에 이란 위기 지원을 사칭한 기부 사기와 배송비·벌금 결제를 사칭한 피싱 도메인을 확인했습니다. 분쟁 관련 모금이나 결제 링크는 공식 채널에서만 이용하세요.

참고