가짜 핵 경보가 공식 앱을 뚫었다 — 우크라이나·러시아 정보전의 밤

2026년 11월 1일 밤 11시 직전, 키이우의 한 여성 니나는 침대에 누운 채 휴대전화 화면을 봤다. 화면에는 '방사능 위험'이라는 적색 경보가 떠 있었다. 그녀는 영국 BBC 라디오4에 이렇게 말했다. “잠깐이었지만 겁이 났어요. 침대에 누워서 '이제 무슨 일이 오려나' 생각했죠.” 같은 시각 우크라이나 전역의 공습 경보 앱에는 방사능 위험과 함께 수도 키이우의 화학 공격, 그리고 거리 시가전 경보다 뜨기도 했다. 영어 철자 오류가 섞인 문장들, 그리고 우크라이나어가 아닌 러시아어로 쓰인 경보도 섞여 있었다.

몇 시간 뒤 모스크바에서도 비슷한 일이 벌어졌다. 러시아 비상사태부는 자사 모바일 앱이 '대규모 사이버 공격'을 받아 대중에게 '가짜 정보'가 발송됐다고 밝혔다. 우크라이나어로 이뤄지는 통상 경보와 달리 이번 경보는 언어와 어투부터 어긋났고, 그 어긋남이 피해를 줄인 역설적 장치가 됐다.

밤 11시, 앱이 뱉어낸 붉은 화면

가디언 보도에 따르면 가짜 경보는 우크라이나 시각 밤 11시 직전에 시작됐다. 앱은 방사능 위험 가능성이 '높다'고 표시했고, 화학 위협과 시가지 전투 경보를 덧붙였다. 러시아어로 쓰인 경보 가운데는 핵탄두를 실을 수 있는 '오레시니크' 미사일이 우크라이나 전역에 발사됐다는 내용도 있었다. 크렘린이 그간 사용한 전례는 키이우주, 드니프로, 리비우 세 곳이다.

우크라이나 공군은 텔레그램에서 “공습경보 앱이 적대적 개입을 받은 것으로 보인다. 방사성 위협은 없다! 침착하고 우리 채널의 공지를 따르라”고 즉시 정정했다. 정부는 앱이 '해킹된 것으로 보인다'며 점검을 위해 일시 차단했고, 응급앱 자체도 '비인가 세력'의 개입을 인정하며 “의심스러운 알림의 링크를 누르지 말라”고 경고했다. BBC는 비슷한 시각 키이우 주민에게 번쩍이는 화면과 함께 '거리 시가전' 경보가 뜬 사례를 전했고, 한 여성은 “잠깐이지만 겁이 났다”고 기억을 남겼다.

왜 하필 지금인가 — 휴전이 끝나던 밤

시점이 기묘하다. 가짜 경보가 터진 직전까지 남부 헤르손주에서는 6일간의 국지 휴전이 진행 중이었다. 러시아 점령지 올레시키 시민을 대피시키기 위한 이 휴전은 백악관 기준으로 영부인 멜라니아 트럼프가 중재에 나선 것으로 알려졌다. 휴전은 11월 1일 밤 11시에 만료됐고, 가짜 경보의 시간대는 그 만료 직전과 겹친다. BBC는 “우크라이나 경보가 헤르손 국지 휴전 종료 몇 분 전에 발송됐다”고 전했다.

휴전이 끝난 직후 헤르손 군정은 러시아 드론이 오전 7시 40분 병원을 타격했다고 밝혔다. 인명 피해는 없었지만 창문이 날아가고 문이 부서진 영상이 공개됐다. 같은 날 빈니차주에서는 교육 시설 인근 드론 공격으로 13세 소녀와 여성 한 명이 숨지고 여러 어린이가 다쳤다고 당국이 전했다. 전쟁의 '정상 상태'가 돌아온 밤에, 사람들이 가장 신뢰하던 안내 채널이 오염된 것이다.

2026년 1월 20일 새벽, 공습 경보 중 키이우 지하철역에 대피한 시민들 — Kyiv City State Administration, CC BY 4.0 (Wikimedia Commons)

누구의 소행인가 — 검증되지 않은 주장들

발행 시점까지 어느 정부도 배후를 공식 확인하지 않았다. 우크라이나와 러시아는 서로를 상대로 사이버 공격을 해온다는 의심을 오래 받아왔지만, 이번 가짜 경보의 문체는 특정 국가 기관보다 '핵티비스트' 그룹에 가까워 보인다는 것이 가디언의 분석이다. 러시아 측 게시물 중 하나는 해킹 그룹 '히트코어(Hitcore)'를 언급했고, 보안기관과 연결된 러시아 텔레그램 채널 마시(Mash)는 히트코어가 공격 책임을 주장했다고 보도했다. 다만 이는 검증되지 않았다.

흥미로운 대목은 러시아 앱 공격이 우크라이나 사건 이후에 벌어졌다는 점이다. BBC에 따르면 사이버 전문가들은 러시아 시스템을 노린 세력이 이미 오래전부터 공격 능력을 갖고 있었지만, 우크라이나 앱이 뚫린 뒤에야 움직였다고 본다. BBC는 이 연결성만으로 두 사건이 같은 세력의 소행이라 단정하지 않았고, 배후와 연관성 모두 “불명확”이라고 유보했다.

양측의 서사는 이렇게 갈린다

우크라이나 측의 프레임은 '정보전에 대한 회복력'이다. 의회 외교위원장 올렉산드르 메레즈코는 BBC에 “패닉이나 극단적 반응은 없었다”며 “키이우 사람들은 거의 쉬지 않는 경보에 익숙하다. 러시아어로 온 메시지라 즉시 의심이 들었다”고 말했다. 그는 “불쾌한 사실이지만 사이버전의 일부이고, 우리는 이런 가능성에 대비돼 있다”고 덧붙였다.

러시아 측은 '피해자이자 방어자'라는 서사를 택했다. 비상사태부는 앱 기능이 당일 안에 완전 복구될 것이라며 광범위한 경보 체계에는 영향이 없다고 밝혔다. 크렘린 대변인 드미트리 페스코프는 이번 사안을 구체적으로 언급하지 않은 채, 대통령실 사이트를 포함한 모든 러시아 정부 인터넷 자원이 “24시간 공격받고 있다”고 말했다. 그는 AI 기술 확산이 사이버 공격 증가에 일조한다고 덧붙였다. 러시아 내에서는 대규모 혼란이나 패닉의 징후가 보이지 않았고, 언론 노출도 크지 않았다고 BBC는 전했다.

반전 — 무기였던 '러시아어'

가장 아이러니한 지점은 공격의 정교함이 아니라 조악함이다. 가짜 경보 문구에는 욕설이 섞였고, 러시아 측 경보에는 “3주치 식량을 급히 사서 숨으라”는 권고까지 들어갔다. 우크라이나 측 경보 중 러시아어로 쓰인 문장은 우크라이나인들이 “이건 우리 알림이 아니다”라고 판단하는 근거가 됐다. 정보 공격의 효과는 내용의 공포보다 '언어의 서명'에 먼저 걸러진 셈이다. 다만 BBC는 일부 주민은 실제로 두려워했다고 전했고, 가디언은 “잠깐 겁먹었다”는 증언을 실었다. 모든 이가 걸러낸 것은 아니었다.

또 다른 반전은 휴전의 부산물이다. 가디언에 따르면 러시아군이 6일 휴전 동안 올레시키에서 진지를 강화하고 병력을 순환시켰다는 정황이 있다. 드론 위협 때문에 낮에도 밤에도 차량 이동이 어려웠던 도시에서 장갑차가 돌아다니고 탄약이 반입됐다는 현장 영상이 스카이뉴스에 전해졌다. 휴전이 인도적 통로였는지, 재정비 시간이었는지는 양측이 다르게 해석한다. 페스코프는 “군이 그런 상황에서 재편성하는 것은 통상 관행이며 우크라이나군도 마찬가지였을 것”이라고 말했다.

한국과의 연결 — 직접 영향은 제한적이지만

이 사안이 한국 경제나 외교에 즉각적 파장을 주지는 않는다. 직접 영향은 제한적이다. 그러나 구조적 함의는 있다. 첫째, 전시 상황에서 민간이 매일 쓰는 공공 알림 인프라가 표적이 된다는 점은 한국에도 그대로 적용된다. 재난문자, 민방위 경보, 지진·미세먼지 알림 체계는 인증·서명·이중 확인 없이 단일 경로에 의존할 경우 같은 취약점을 공유한다. 둘째, 오염된 정보가 '공식 경보'를 통해 유포되면 신뢰 회복 비용이 공격 비용보다 훨씬 크다. 셋째, 러시아·우크라이나 양측 사례 모두 '국가가 직접 지휘하지 않는 대리 행위자'의 개입 가능성을 보여준다. 대리 행위자를 다루는 규범의 공백은 한국의 대북 사이버 위협 대응 논의에도 직접 닿는다.

반론 — 과장일 수 있다

다르게 보는 시각도 있다. 우크라이나 측의 '패닉은 없었다'는 평가는 당사자 발표에 가깝다. BBC가 인용한 주민들은 실제로 두려움을 호소했고, 앱을 이미 꺼둔 사람들도 많아 '피해 수준'의 측정 자체가 어렵다. 러시아 측의 '체계 영향 없음'도 자체 발표이며 독립 검증은 없다. 또한 두 사건을 하나의 시나리오로 묶는 해석은 매체들도 채택하지 않았다. 우연한 동시 발생일 수 있다.

전문가 코멘트도 신중하다. 스탠퍼드대 사이버정책 연구원 허버트 린은 BBC에 “우크라이나 공식 정보 앱에 이런 해킹이 벌어진 것은 처음인 것 같지만 마지막은 아닐 것”이라고 말했다. 이는 '전례 없는 사태'라는 해석과 '반복될 사안'이라는 예측을 동시에 담는다.

사료의 한계 — 무엇이 확정이고 무엇이 주장인가

확정된 사실은 제한적이다. 양국 정부가 앱이 해킹을 당했다고 인정한 것, 가짜 경보가 발송됐다고 밝힌 것까지다. 배후는 미확인이다. 히트코어의 책임 주장은 러시아 보안기관과 연결된 채널의 보도에 근거하며, 스크린샷도 아직 독립 검증되지 않았다. 가짜 경보의 내용, 시각(11시 직전), 수신 지역(키이우 등)은 복수 매체가 유사하게 보도해 상대적으로 신뢰도가 높다. 정부 발표와 제3자 확인을 구분해서 읽어야 한다.

독자에게 묻는다

매일 경보를 받는 도시에서, 그 경보가 틀릴 수 있다는 전제가 얼마나 준비돼 있는가. 한국의 재난문자가 뚫린 밤을 상상해 보자. 우리는 무엇을 '공식 채널'로 믿고, 그 채널이 오염됐을 때 어디서 확인할 것인가. 전시·재난 상황에서 '정보의 회복력'은 군사력만큼 중요한가, 아니면 그보다 더 중요한가.

참고 자료

BBC News, “Fake nuclear warnings issued after Ukrainian and Russian air alert apps hacked” (2026-11-02)
https://www.bbc.com/news/articles/c51kdy1ew7zvo

The Guardian, “Hackers send fake nuclear threat alert to Ukraine emergency app” (2026-11-02)
https://www.theguardian.com/world/2026/nov/02/hackers-fake-nuclear-chemical-threat-alert-kyiv-ukraine-emergency-app

France 24, “Ukraine and Russia report fake emergency alerts after cyberattacks target apps” (2026-11-02, 영상 보도)
https://www.france24.com/en/ukraine-and-russia-report-fake-emergency-alerts-after-cyberattacks-target-apps