- Shandong University 연구팀이 사람의 눈으로 식별 불가능한 픽셀 조작을 통해 비디오 케이블에서 미약한 전자파 신호를 발생시키는 TrojPix 기법을 공개했다.
- 해당 기법은 에어가디드 시스템의 데이터 유출을 가능하게 하지만, 사전에 대상 기기에 악성코드가 설치되어 있어야만 동작한다.
- 수신 장치가 근처에 있어야 데이터를 디코딩할 수 있어 물리적 근접 접근 조건이 요구된다.
에어가디드 환경의 절대적 격리 보안 가정은 전자파 기반 사이드채널 공격에 노출되며, 사전 악성코드 설치라는 전제조건과 물리적 근접 접근이라는 실행 제약을 함께 고려한 능동적 대비가 필요한 시점이다.
물리적으로 네트워크에서 완전히 분리된 에어가디드(Air-gapped) 시스템은 최고 수준의 보안이 필요한 시설에서 최종 방어선으로 여겨져 왔다. 그러나 2026년 7월 공개된 TrojPix 공격은 이러한 절대적 격리 신화의 맹점을 다시 한번 드러냈다. 본문에서는 비디오 케이블의 전자파 방출을 악용하는 새로운 데이터 유출 기법의 기술적 원리와 현실적 한계를 심층 분석한다.
에어가디드 환경, 왜 안전한 것처럼 보이는가
에어가디드 시스템의 정의와 전통적 격리 보안 모델
에어가디드 시스템이란 외부 네트워크, 특히 인터넷과 물리적 또는 논리적으로 완전히 분리된 컴퓨터 환경을 의미한다. 군사 시설, 정부 연구기관, 중요 인프라 제어망, 그리고 핵심 산업기밀을 다루는 연구소 등에서 표준 보안 모델로 채택되어 왔다. 전통적인 사이버 공격은 네트워크 연결을 전제로 하므로, 네트워크 자체를 차단하면 대부분의 원격 침투 시나리오를 무력화할 수 있다는 논리다.
기존 사이드채널 공격의 한계
에어가디드 시스템에 대한 위협은 2000년대 후반부터 꾸준히 보고되어 왔다. 기존에는 디스플레이 케이블에서 발생하는 전자기파(EM, Electromagnetic) 신호나 온도 변화, 음향, 광 신호 등을 이용한 사이드채널(Side-channel) 공격이 연구됐다. 그러나 이러한 기법들은 대부분 신호 세기가 미약하거나, 수신 거리가 제한적이거나, 특수한 하드웨어 환경을 요구하는 등의 제약이 있었다. 또한 수신 장비가 물리적으로 상당히 가까이 위치해야 데이터 복원이 가능하다는 현실적 한계도 존재했다.
TrojPix 공격의 기술적 해부
Shandong University 연구팀과 발표 배경
2026년 7월 초, 중국 Shandong University 연구팀이 디스플레이 출력을 악용한 전자파 기반 데이터 유출 기법인 TrojPix를 공개했다. 이 연구는 에어가디드 환경의 보안 한계를 재조명한 사례로 보안 커뮤니티의 관심을 끌었다. 연구팀은 디스플레이 출력 단계를 활용한 공격 벡터의 실현 가능성을 실증적으로 보여줌으로써, 기존보다 진보된 위협 모델을 제시한 것으로 평가된다.
픽셀 조작을 통한 비디오 케이블 전자파 방출 원리
TrojPix의 핵심은 디스플레이 출력 영상의 특정 픽셀 값을 미세하게 조작하는 것이다. 사람이 모니터로 시청할 때에는 일반적인 그래픽 출력과 거의 구별할 수 없도록 설계된 미세한 변조 패턴이 적용된다. 그러나 이러한 픽셀 패턴의 변화는 HDMI, DisplayPort, VGA 등 비디오 케이블을 통해 흐르는 신호에 고유한 전자파 스펙트럼 특성을 만들어낸다. 결과적으로 케이블 자체가 안테나 역할을 수행하며, 극도로 미약하지만 복원 가능한 무선 신호를 주변 공간으로 방출하게 된다.
수신 장치의 신호 디코딩 과정
방출된 전자파 신호는 근처에 위치한 수신 장비, 예를 들어 전용 무선 수신기나 SDR(Software Defined Radio, 소프트웨어 정의 무선) 장비를 통해 캡처된다. 캡처된 신호는 디지털 신호 처리(DSP, Digital Signal Processing) 알고리즘과 디코딩 절차를 거쳐 원래 유출 대상이었던 데이터로 복원된다. 이 과정은 자동화될 수 있어, 공격자가 실시간에 가까운 속도로 정보를 추출하는 것이 가능해진다.
현실적 실행 조건과 위협 시나리오
사전 악성코드 설치라는 필수 전제조건
TrojPix 공격이 현실적으로 성립하기 위한 가장 핵심적인 전제조건은 대상 에어가디드 시스템에 사전에 악성코드가 설치되어야 한다는 점이다. 에어가디드 환경 자체가 네트워크 침투를 차단하므로, 악성코드 유입 경로는 USB 메모리, 내부자 위협, 공급망(Supply Chain) 공격 등 비네트워크 경로에 한정된다. 이는 공격 실행의 난이도를 높이는 요소로 작용한다.
물리적 근접 접근 요구사항
비디오 케이블에서 방출되는 전자파 신호는 그 세기가 매우 미약하기 때문에, 수신 장비가 대상 시스템과 물리적으로 상당히 가까운 거리에 위치해야 데이터 디코딩이 가능하다. 일반적으로 수 미터 이내의 근접 거리가 요구되며, 이는 공격자에게 물리적 접근 기회를 제공할 수 있는 시설 환경(예: 창문, 환기구, 인접 공간 등)에서만 실행 가능함을 의미한다.
주요 표적 시나리오 (정부·연구·산업시설)
이러한 공격 조건을 고려할 때, TrojPix와 유사한 전자파 유출 공격은 다음과 같은 고가치 표적을 중심으로 현실적 위협이 될 수 있다.
| 표적 시설 유형 | 주요 유출 대상 정보 | 공격 실행 가능성 평가 |
|---|---|---|
| 정부 및 군사 시설 | 기밀 문서, 암호키, 전략 정보 | 내부자 또는 공급망 침투 시 매우 높음 |
| 국가 핵심 연구기관 | 기초연구 데이터, 설계 도면 | 장기 침투 운영 시 가능 |
| 산업기밀 보유 기업 | 소스 코드, 제조 공정 데이터 | 경쟁사 스파이 활동 시 가능 |
| 핵심 인프라 제어망 | SCADA 설정값, 운영 명령 | 지능형 지속 위협(APT) 시나리오에서 가능 |
대응 전략 및 보안 시사점
전자파 차폐(패러데이 케이지)와 TEMPEST 대응
전통적인 전자파 유출(EMSEC, Emissions Security) 대응 방안인 TEMPEST 표준이 여전히 유효하다. 서버룸과 중요 단말기에 대한 패러데이 케이지(Faraday cage) 설치, 차폐 케이블 사용, 신호 필터링 장비 도입 등을 통해 전자파 방출을 억제하거나 차단할 수 있다. 단, 이러한 물리적 차폐는 구축 비용과 운영 복잡성이 높다는 현실적 제약이 따른다.
주변 RF 모니터링 및 비인가 장비 탐지
에어가디드 시설 주변에서 비인가된 무선 수신 장비나 SDR 활동이 발생하는지 모니터링하는 RF(Radio Frequency, 무선 주파수) 감시 체계를 구축하는 것이 권고된다. 비정상적인 전자파 신호의 탐지는 잠재적 공격 시도 조기 탐지에 기여할 수 있다. 이는 신호 분석과 물리 보안 감시의 융합이 필요함을 시사한다.
에어가디드 정책 재평가 필요성
TrojPix와 같은 연구 결과는 에어가디드 정책이 네트워크 격리만을 절대적 기준으로 삼아서는 안 됨을 보여준다. USB 매체 관리 강화, 내부자 통제, 공급망 검증, 물리적 출입 통제, 그리고 전자파 유출에 대한 정기적 보안 감사가 종합적으로 결합된 다층 방어(Multi-layered Defense) 전략이 요구된다. 완벽한 보안은 존재하지 않으며, 위협 모델을 지속적으로 업데이트하는 것이 보안의 핵심이라는 교훈을 다시 한번 확인한 사례로 분석된다.
핵심 요약
- TrojPix는 비디오 케이블 전자파를 악용한 에어가디드 우회 기법으로, Shandong University 연구팀이 2026년 7월 공개했다.
- 공격 실행을 위해서는 대상 시스템에 사전 악성코드 설치와 물리적 근접 접근이라는 이중 전제조건이 필요하다.
- 패러데이 케이지, TEMPEST 표준, RF 모니터링 등 전자파 유출 대응이 에어가디드 보안의 새로운 필수 요소로 부상했다.
- 네트워크 격리만으로 안전한 에어가디드 정책의 한계가 드러나며, 다층 방어 체계의 재설계가 시급하다.