미국 수도 시설 해킹, 미네소타 등 7개 주 30여 곳 동시에 뚫렸다

미국 7개 주, 30여 곳. 지난주 동시다발적으로 사이버공격을 받은 수도 시설 숫자입니다. 미국 수도 시설 해킹 사고가 이 정도 규모로 한꺼번에 확인된 건 최근 몇 년 사이 꽤 드문 일인데요, 다행히 지금까지는 실제로 물이 오염되거나 끊긴 사례는 보고되지 않았습니다. 문제는 이게 끝이 아니라 시작일 수도 있다는 겁니다.

사건을 정리하면

지난 7월 26일 밤부터 27일 오전 사이, 미네소타주 수도 시설 30여 곳의 운영기술(OT) 시스템이 거의 동시에 이상 징후를 보였습니다. 미네소타 IT서비스국(MNIT)은 이를 “조율된 사이버공격”이라고 규정했고, 플리머스·사우스세인트폴·브레이엄 등 여러 지자체가 한동안 시설을 수동 운영 모드로 전환했습니다. FBI는 미네소타를 포함해 최소 7개 주의 수도·하수 시설이 비슷한 유형의 공격을 신고했다고 밝혔습니다.

공격자들이 노린 건 정수·배수 펌프나 밸브 같은 물리 설비를 원격으로 켜고 끄는 산업용 제어장치, 이른바 PLC(프로그래머블 로직 컨트롤러)였습니다. 운영자를 시스템에서 몰아내려는 듯 비밀번호를 임의로 바꿔놓은 정황도 확인됐고요. 목적은 수압을 떨어뜨려 오염 가능성을 만드는 것으로 추정됩니다.

다만 사우스세인트폴 시는 정수·수질·수압·공급에는 영향이 없었고 고객 정보 유출 정황도 없다고 밝혔습니다. 브레이엄에서는 담당 직원이 수위 이상을 먼저 알아채 90분 만에 백업 계통으로 복구했다고 하네요. 사람이 빨리 알아챈 덕에 더 커지지 않은 셈입니다.

이런 수도 시설 해킹이 위험한 이유

이번 미국 수도 시설 해킹이 눈에 띄는 이유는 규모나 결과보다 ‘겨냥한 대상’에 있습니다. PLC는 원래 공장이나 상하수도처럼 물리적 설비를 다루는 현장에서 쓰이는데, 이런 장비가 인터넷에 그대로 노출돼 있는 경우가 생각보다 많습니다.

벤더나 시스템 통합업체가 유지보수용으로 달아둔 셀룰러 모뎀처럼, 운영 기관도 파악하지 못한 우회 경로가 있다는 게 CISA(미 사이버보안·인프라보안국)의 설명입니다. 관리자도 모르는 뒷문이 있었던 셈이죠.

사실 이런 유형의 공격이 처음은 아닙니다. 2023년에도 이란 혁명수비대(IRGC) 연계 조직이 미국 여러 주의 수도·하수 시설을 공격한 적이 있는데, 그때는 인터넷에 노출된 PLC의 기본 비밀번호를 그대로 악용한 방식이었습니다. 두 사건을 나란히 놓고 보면 이렇습니다.

3년 전과 침입 방식은 조금 다르지만 “노출된 PLC”라는 약점은 그대로 반복되고 있는 셈입니다. 배후에 대해서는 미 정부가 아직 공식 발표를 하지 않았고, 일부 관계자는 실제 이란이 아닌 다른 행위자가 미·이란 갈등 국면을 틈타 이란인 척했을 가능성까지 함께 들여다보고 있다고 합니다.

미국 수도 시설 해킹, 정부가 권고한 대응 조치

CISA는 지난 30일 낸 권고문에서 수도·하수 시설 운영 기관에 아래 조치를 권고했습니다.

• 외부에 공개적으로 노출된 PLC 등 운영기술(OT) 장비를 인터넷에서 즉시 분리할 것
• 벤더나 시스템 통합업체가 설치해 문서화되지 않은 셀룰러 모뎀 등 외부 연결까지 전수 점검할 것
• 원격 접속 구간에는 다단계 인증을 적용할 것
• 장비 초기 설정 그대로 남아있는 기본 비밀번호 여부를 재확인할 것

특히 마지막 항목은 2023년 사고 이후로도 여전히 반복되는 문제라는 점에서, “매뉴얼에만 있고 실제로는 안 지켜지는” 대응 수칙의 전형이라는 지적도 나옵니다.

자주 나오는 질문들

PLC가 정확히 뭔가요?
정수장 펌프나 밸브처럼 물리적인 설비를 자동으로 켜고 끄는 산업용 제어장치입니다. 공장 자동화 설비부터 상하수도까지 폭넓게 쓰입니다.

실제로 수돗물이 오염된 건가요?
아닙니다. 미네소타주와 CISA 모두 이번 사고로 실제 수돗물이 오염되거나 공급이 끊긴 사례는 아직 보고되지 않았다고 밝혔습니다.

배후가 이란으로 확정된 건가요?
아니요. 미 정보당국은 이란 연계 가능성을 조사 중이라고만 밝혔을 뿐, 공식적으로 특정 행위자를 지목하지는 않았습니다.

한국 지자체 상하수도 시설도 원격 감시·제어를 위해 비슷한 방식의 PLC·SCADA 설비를 쓰는 건 마찬가지입니다. 태평양 건너 일이라고만 보기엔, 노출된 제어장치 하나가 문제가 될 수 있다는 이번 사고의 교훈은 크게 다르지 않아 보입니다.

출처

• U.S. investigating whether Iran was behind cyberattack on Minnesota water systems – CBS News
• Sweeping cyberattack on water systems in multiple states has US officials on edge – CNN
• Hackers targeted municipal water systems in 7 states this week, FBI says – NBC News
• CISA Urges Water and Wastewater Systems Sector to Protect OT Against Activity Targeting PLCs
• 미국 미네소타 수도 시스템 30여 곳 사이버공격…이란 연계 여부 조사 – 세이프타임즈