핵심 요약: 미국 최소 7개 주의 상수도가 한꺼번에 사이버 공격을 당했습니다. 공격자는 원격 제어를 차단해 시설을 마비시켰는데, 몸값은 요구하지 않았죠. FBI는 이런 ‘혼란 조성’ 수법이 과거 이란 혁명수비대의 해킹과 비슷하다며 이란을 주요 용의자로 보고 수사 중입니다.
정말? 미국 수도꼭지가 해커 표적이 됐다고?
네, 농담 아닙니다. 미국 최소 7개 주의 상수도 시설이 동시다발적인 사이버 공격에 휘말렸습니다. 특히 미네소타주에서는 30곳 이상의 지자체 상수도 시스템이 피해를 입었다고 해요 최소 7개 주·미네소타 30곳 이상.
영향은 생각보다 컸습니다. 단순히 컴퓨터가 먹통이 된 수준이 아니라, 실제로 수압이 떨어지거나 물이 범람하는 사고로 이어졌다고 합니다. 자동 제어가 불가능해져 수동으로 긴급히 전환해야 했던 시설도 있었다네요. 다행히 식수 오염 사례는 보고되지 않았답니다 수압 손실·범람·수동 전환.
해커들은 어떻게 침투했을까?
인터넷에 그대로 노출된 ‘산업용 컨트롤러(PLC)’가 뚫렸습니다. 공격자들은 이 장치에 원격으로 접속해, IP 주소와 비밀번호를 마음대로 바꿔버렸죠 PLC IP·비밀번호 변경. 이렇게 되면 운영자는 자기 시설을 원격으로 감시하거나 컨트롤할 수 없게 됩니다. 마치 집 문고리를 바꿔놓고 열쇠를 가져가 버린 것 같은 상황이죠.
이 미국 상수도 사이버 공격 사건에서 FBI가 주목하는 점은, 공격자가 랜섬웨어처럼 몸값을 요구하지 않았다는 것입니다. 그냥 시스템을 마비시켜 혼란을 조성하는 데 그쳤어요. 뉴욕타임즈 보도에 따르면, 이런 수법이 2023년 이란 혁명수비대(IRGC)와 연계된 해커들이 썼던 방식과 유사하다는 점이 수사의 핵심 단서로 떠올랐습니다 1.
미국 정부, 미리 몰랐다고? 아뇨, 경고했는데…
알고도 막지 못한 사건이었을 수 있습니다. 미국 사이버보안·인프라보안청(CISA)은 사건 발생 약 1주일 전인 7월 22일, ‘이란 계열 사이버 행위자가 미국 주요 인프라의 PLC를 노리고 있다’는 경보를 재발령했거든요 CISA 7월 22일 경보. 미네소타주의 최고정보보안책임자(CISO)는 연방 정부가 국가적 차원의 평가와 위협 주체 규명을 주도하고 있다고 밝혔습니다 2. 그런데도 피해가 발생한 걸 보면, 연방의 경고가 현장의 작은 정수장까지 제대로 전달되고 실행되는 데는 여전히 빈틈이 있는 모양이에요.
왜 하필 이란? 정치적 파장은?
트럼프 전 대통령은 이란 개입 가능성을 부인했지만, 미 정부 소식통들은 초기 평가에서 이란 소행으로 잠정 결론을 내린 것으로 알려졌습니다 1. 이런 미국 상수도 사이버 공격 사건은 수사 자체도 민감할 뿐더러, 백악관과 정보기관의 공개 입장이 다를 수 있는 정치적 이슈가 되고 있네요.
한국은 안전할까? 결코 아니에요!
한국도 이번 미국 상수도 사이버 공격 사건을 통해 우리 인프라의 취약점을 점검해야 합니다. 한국의 중소규모 지자체 상수도 역시 PLC 기반 자동화에 의존하고 있고, 특히 노후 시설은 인터넷에 무방비로 노출된 경우가 적지 않거든요. 미국에서 공격자들이 공장 출고 시 기본 비밀번호를 그대로 둔 약한 PLC를 표적으로 삼았다면, 한국에도 똑같은 ‘약점’이 널려 있을 수 있습니다. 미국은 CISA 같은 연방기관이 전국을 총괄 점검할 수 있는 체계인 반면, 한국은 지자체별 보안 수준이 천차만별이라 관리 사각지대가 더 클 수 있다는 지적이 나오고 있어요.
생각해볼 점: 경고만으로는 부족하다
- 경고와 실행의 괴리: CISA가 1주일 전에 경고했음에도 피해가 발생한 점은, 사이버 위협 정보가 현장에 제때 도달하고 실제 조치로 이어지는 ‘마지막 1마일’ 문제를 보여줍니다.
- 연방 vs 주의 역할: 미네소타주가 ‘연방이 주도한다’고 말한 것처럼, 이런 국가적 사이버 공격은 연방 정부와 주 정부의 협력과 권한 조율을 시험에 들게 합니다.
용어 정리
- PLC: 공장, 정수장 등에서 펌프나 밸브를 자동으로 제어하는 소형 컴퓨터. 이번 공격의 직접 표적.
- CISA: 미국 국토안보부 소속으로, 사이버 위협 경보를 내리는 기관.
- IRGC: 이란 혁명수비대. 정규군과 별도의 조직으로, 사이버 작전 능력으로 유명.
- 랜섬웨어: 몸값을 요구하는 악성 소프트웨어. 이번 공격과는 달리 몸값 요구가 없었다는 점이 특징.