암호 해독 필요 큐비트 수 급감…Q-데이 시계 빨라진다

수백만 큐비트 전제가 흔들리다

양자 위협이 먼 미래의 일로 간주된 데는 이유가 있었다. 기존 연구에서는 RSA-2048과 같은 공개키 암호를 쇼어 알고리즘으로 해독하려면 수백만 개의 물리 큐비트가 필요하다고 추정했다. 현존 최고 수준의 양자컴퓨터가 수백~수천 큐비트 규모임을 감안하면, 실질적인 위협까지 수십 년이 남았다는 계산이 가능했다.

하지만 2026년 초 발표된 세 편의 연구가 이 전제를 뒤흔들었다. 호주 스타트업 아이스버그 퀀텀은 2월에 '피너클 아키텍처'를 공개하며, 단일 물리 큐비트 묶음에 여러 논리 큐비트를 수용하는 방식으로 RSA-2048 해독에 드는 물리 큐비트를 기존 100만 개 수준에서 10만 개 미만으로 줄일 수 있다고 밝혔다. 캘리포니아공과대(Caltech)와 스타트업 오라토믹 연구진은 3월, 위치를 동적으로 재배치할 수 있는 중성원자 큐비트 약 1만 개만으로 암호 해독 규모의 쇼어 알고리즘을 실행하는 설계를 제안했다. 고효율 오류정정과 회로 최적화를 결합한 결과다. 같은 달 Google 퀀텀 AI 연구진은 비트코인 등에 쓰이는 ECC(secp256k1) 해독 회로를 단순화해, 필요 논리 큐비트를 1,200~1,450개, 오류정정 큐비트를 포함한 전체 물리 큐비트를 50만 개 미만으로 낮출 수 있다고 분석했다. 이는 종전 추정치의 약 20분의 1에 해당한다.

왜 공개키 암호가 핵심 표적인가

RSA와 ECC는 금융·행정·전자상거래의 인증·서명 기반이다. 두 체계 모두 수학적 난제—소인수분해와 이산로그—에 안전성 근거를 두는데, 쇼어 알고리즘은 양자컴퓨터 위에서 이를 효율적으로 풀 수 있다.

대칭키 암호는 키 길이를 늘리는 방식으로 양자 위협에 어느 정도 대응할 수 있다. 그러나 불특정 다수 사용자를 상대하는 서비스에서는 대칭키를 사전에 직접 교환하는 것이 현실적으로 불가능하기 때문에, 키 교환 과정에서 RSA·ECC가 반드시 개입하게 된다. 결국 공개키 암호가 무너지면 대칭키 보호도 출발점부터 흔들린다.

보안 전문가들이 특히 우려하는 시나리오는 '선수집·후해독(HNDL)' 공격이다. 지금 당장 암호화 통신을 저장해 두었다가, 충분한 성능의 양자컴퓨터가 등장했을 때 해독하는 방식이다. 유효기간 3년짜리 금융 거래 인증서도 이 공격 앞에서는 사실상 미래 노출 위험을 안고 있다.

글로벌 금융권의 선제 대응

금융 분야는 PQC 전환 속도가 가장 빠른 영역으로 평가된다. 마스터카드는 NIST가 PQC 표준을 확정하기 3년 전인 2021년부터 결제망 내 취약 암호를 파악하고 전환 계획을 수립했다. 이탈리아 인테사 산파올로는 2023년 양자안전 암호 기능을 지원하는 IBM z16 메인프레임 도입을 결정했고, 영국 HSBC는 2024년 디지털 금 토큰 전송 과정에 PQC를 시험 적용했다. JP모간체이스는 2024년 두 데이터센터 간 양자키분배(QKD) 네트워크를 구축했으며, 이듬해에는 양자내성 다중서명 기술도 공개했다.

국내 금융권의 현황

국내에서도 전환 작업이 본격화하고 있다. 미래에셋증권·메리츠증권·KB은행·Sh수협은행·빗썸은 아톤과 협력해 PQC 인증체계 도입을 추진 중이며, KDB생명보험은 라온시큐어의 PQC 솔루션 도입을 결정했다. 다만 암호 인프라 전반을 교체하는 작업인 만큼 도입 속도와 완성도 양면에서 검증이 필요하다는 지적도 있다.

남은 과제와 한계

큐비트 수 추정치 감소가 Q-데이가 내일 당장 온다는 의미는 아니다. 1만~50만 개의 물리 큐비트를 낮은 오류율로 안정적으로 구동하는 일은 현 기술 수준으로 아직 요원하다. 발표된 연구 대부분은 설계·추산 수준이며 실증 단계가 아니다. 그러나 연구 진전 속도 자체가 가속화하고 있어, PQC 전환을 서두르는 것이 정당화되는 상황임은 분명하다.