2025년 OT 보안사고 패턴 ‘조용하지만 더 깊숙하게’

2025년은 전 세계 곳곳에서 현실적인 OT·인프라 사고가 잇달아 발생한 해였습니다. 노르웨이의 댐 수문이 해킹으로 열렸고, 유럽 주요 공항이 단일 공격으로 마비되었으며, 캐나다와 폴란드에서는 공공 인프라 운영망이 직접적인 침투 압력을 받았습니다.

이 사건들을 살펴보면, 공격자들은 기술 취약점을 정교하게 파고들기보다 운영망 주변부·공급망·외부 연계 시스템을 먼저 건드리고, 그 여파를 OT 운영 전체로 확산시키는 패턴을 반복했습니다.

2025년 발생한 OT 사고 Top 5

① 수문이 열린 노르웨이 브레망거 댐 해킹 사고

2025년 4월, 노르웨이 브레망거(Bremanger) 지역의 라이세바트네트(Risevatnet) 댐에서 수문이 원격으로 개방되는 사이버 사고가 확인되었습니다. 이 사건은 오랫동안 ‘가능한 최악의 시나리오’로만 여겨졌던 일이 실제로 일어났다는 점에서 큰 의미를 남겼습니다.

공식 발표와 다수 보도에 따르면:

• 공격자는 제어 계층까지 침투했습니다.
• 실제 수문이 열리며 수위·유량 등 운영 변수에 변화가 발생했습니다.
• 노르웨이 PST(경찰 보안기관)가 사이버 공격임을 공식 언급했습니다.
• 여러 보안 전문가들은 약한 인증·접근 관리가 핵심 원인 중 하나였을 가능성을 지적했습니다.

대규모 물리 피해가 없었다고 해서 이 사건의 의미가 줄어들지는 않습니다. 오히려 “제어 명령이 잘못 들어갔을 때 실제로 어떤 일이 일어날 수 있는지”를 OT 업계 전체에 매우 직접적으로 보여준 사고로 남았습니다.

② 서비스 중단을 불러 온 캐나다 공공 인프라·수자원 연계 시스템 침해

2025년 캐나다 여러 지역에서는 공공 인프라, 특히 수자원 운영과 연결된 시스템이 공격을 받으면서 시민 서비스 중단, 내부 시스템 격리, 일부 비상 운용 절차 가동이 있었습니다.

확인된 내용들을 정리하면 다음과 같습니다.

• 행정·시민 서비스를 담당하는 내부 시스템 일부가 침해되었습니다.
• 일부 지역에서는 온라인 서비스가 중단되고 수동 절차로 전환되었습니다.
• 수자원 운영과 밀접하게 연계된 IT 보조 시스템이 보호를 위해 격리 조치되었습니다.
• 펌프나 밸브와 같은 OT 제어장비를 직접 조작했다는 보고는 없었지만, 운영팀은 실제 서비스 영향에 대응하기 위해 긴급 조치를 취해야 했습니다.

이 사고는 OT 제어망을 정면으로 공격하지 않더라도, 운영과 시민 서비스 전체가 사이버 사고에 얼마나 취약한지를 보여준 사례입니다. 다시 말해, “OT와 붙어 있는 IT가 무너지면 OT도 안전하지 않다”는 메시지를 남겼습니다.

③ 제조 OT 운영에 직접 영향을 준 랜드로버 생산 관련 사이버 사고

2025년 자동차 제조 분야에서는 랜드로버 생산 관련 사이버 사고가 크게 보도되면서 제조 OT 운영이 사이버 사고에 의해 얼마나 쉽게 흔들릴 수 있는지가 다시 한번 확인되었습니다.

핵심 포인트는 다음과 같습니다.

• 사고는 처음에는 IT 영역에서 시작된 것으로 알려졌습니다.
• 그러나 영향은 생산 일정, 라인 가동 계획, 출하 일정 등 OT 운영 전반으로 확산되었습니다.
• 외부 벤더 또는 유지보수 공급망 계정이 약점이 되었을 가능성이 지적되었습니다.
• 결과적으로, 제조 현장의 OT 장비·라인은 사이버 사고의 ‘결과’를 직접 떠안게 되었습니다.

이는 오래전부터 지적되어 온 “IT 사고가 곧 OT 가용성(Availability) 문제로 이어진다”는 명제가 2025년에 현실에서 다시 한번 증명된 장면이었습니다.

④ 운영 기능 주변부까지 접근한 폴란드 공공 인프라 및 교통 시스템 침해

폴란드에서는 2025년, 공공 서비스와 교통 인프라를 대상으로 하는 사이버 공격이 여러 차례 보고되었습니다. 이 중 일부 사건에서는 운영 기능과 인접한 내부 시스템까지 침투한 흔적이 확인되었고, 교통·행정 서비스가 일시적으로 중단되거나 지연되는 일이 발생했습니다.

보도 및 전문가 분석을 종합하면:

• 공격자는 공공 인프라 운영과 연계된 내부 시스템 일부에 접근했습니다.
• 일부 구간에서는 교통 정보 제공, 행정 처리 등이 영향받았습니다.
• OT 제어 장비(신호 제어기, 현장 컨트롤러 등)를 직접 조작했다는 증거는 없지만, 운영 기능의 ‘바로 앞 단계’까지 공격자가 다가간 정황은 분명했습니다.

즉, 폴란드 사고는 “물리 제어 장비에 손대기 직전 단계까지 위협이 다가온 사건”으로 볼 수 있습니다. OT와 IT, 운영망과 외부망의 경계가 얼마나 얇아졌는지를 보여준 사례이기도 합니다.

⑤ 다수 산업군에서 보고된 ‘운영망 주변부 침해’

2025년의 또 다른 특징은 OT 중심부가 아닌 운영망 주변부(Operational Perimeter) 침해가 대규모 운영 차질로 이어진 사례들이 여러 산업에서 동시에 나타났다는 점입니다.

• 유럽 주요 공항 마비로 이어진 동시다발 서비스 장애

2025년, 체크인·탑승 시스템을 공급하는 외부 업체가 사이버 공격을 받으면서 영국 런던 히스로, 벨기에 브뤼셀, 독일 베를린 브란덴부르크 등 유럽 주요 공항이 수 시간 동안 탑승 수속·체크인 업무를 제대로 처리하지 못하는 마비 상태에 빠졌습니다. 이 사고는 OT 제어 시스템이 직접 공격당한 것은 아니었지만, 다음과 같은 사실을 보여주었습니다.

• 운영에 필수적인 단일 시스템 하나가 무너졌을 뿐인데도, 교통 인프라 전체가 연쇄적으로 멈출 수 있다는 점
• 공격의 타깃이 공항 그 자체가 아니라, 공항에 서비스를 제공하는 공급망 시스템이었다는 점
• 결국, OT와 밀접하게 연결된 운영 서비스가 “Single Point of Failure”가 될 수 있다는 점

OT 보안 관점에서 보면 이 사건은 “공격이 꼭 제어망을 향하지 않아도, 결과적으로 OT 운영과 직접 연결된 영역을 흔들 수 있다”는 것을 보여준 대표 사례입니다.

• 제조·항만·에너지 현장에서 반복된 주변 단말기·계정 침해

유럽 공항 사례 외에도 2025년에는 다양한 산업군에서 비슷한 유형의 침해가 보고되었습니다.

• 제조 현장의 HMI·현장 랩톱 단말기 악성코드 감염
• 유지보수 벤더의 VPN 계정 탈취 후 내부망 접근 시도
• 항만 운영 보조 시스템 침해로 인한 스케줄물류 흐름 지연
• 에너지 시설의 모니터링지원 시스템 교란

공통적인 그림은 명확합니다. 공격은 OT의 심장이 아니라, 그 주변을 지탱하는 ‘관절부’부터 무너뜨린다는 것입니다.

• 인프라 복원력의 취약점을 드러낸 스페인·포르투갈 대규모 정전 사태

2025년에는 사이버 공격이 직접 원인이라고 확인된 것은 아니지만, 스페인과 포르투갈을 강타한 대규모 정전 사태도 OT·인프라 관점에서 눈여겨볼 필요가 있습니다.

전력망의 과부하·운영상 문제 등 복합적인 요인으로 발생한 이 정전은:

• 대도시와 주요 지역의 전력 공급이 광범위하게 끊기면서
• 교통, 통신, 상점, 공공 서비스 등 도시 기능 전반이 동시에 멈추는 상황을 만들었습니다.
• 공항철도·도로 등 핵심 인프라도 차질을 빚으며
  현대 사회에서 전력·인프라 레이어가 멈출 경우 어떤 파급 효과가 발생하는지를 적나라하게 보여주었습니다.

공식 조사 결과에 따르면, 이 정전은 사이버 공격이 아닌 노후 전력망·운영상 구조의 취약성에서 비롯된 사고로 평가되고 있습니다. 그럼에도 불구하고 OT 보안 관점에서 이 사건이 가진 메시지는 분명합니다. “사이버 공격이 아니어도, 인프라 복원력이 낮으면 결과는 똑같이 치명적이다.”

이 말은 곧, OT 보안과 인프라 복원력(Resilience)을 분리해서 생각할 수 없다는 것을 의미합니다.

2025년 실제 사고들이 말해주는 OT 보안의 흐름

올해의 사건들을 하나로 모아 보면 공격자들이 바꾼 것은 기술이 아니라 진입 경로(Entry Path)라는 사실이 드러납니다.

• 공격은 OT 중심부가 아니라 운영 주변부·공급망·연계 서비스에서 시작되었습니다.
• 외부 벤더, 유지보수 업체, IT 기반 운영 시스템이 가장 큰 약점으로 거듭 드러났습니다.
• 작은 IT 기반 장애가 OT 운영, 나아가 국가 기반시설 전체에 연쇄적인 영향을 미칠 수 있음이 확인되었습니다.
• 심지어 스페인·포르투갈 정전처럼 사이버 공격이 아닌 사고조차, 복원력이 부족한 인프라에서는 동일한 수준의 혼란을 초래했습니다.

2025년의 실제 사고들은 과장 없이 다음과 같은 결론을 보여줍니다: “OT 보안의 취약점은 더 이상 제어망 내부가 아니라, 운영망과 IT, 공급망이 만나는 경계와 인프라 복원력에 있다.

이 경계와 복원력이 취약한 상태라면, 우리가 제어망 안에서 아무리 많은 보안 장비를 추가해도 결국 현실에서 벌어지는 사고를 막기 어렵습니다.

2026년을 앞두고 다시 던져야 할 질문

2025년의 사고들은 규모보다 방향이 더 충격적입니다. 무언가 완전히 무너졌느냐가 아니라, 위협이 어디까지 들어왔고, 앞으로 어디까지 갈 수 있는지가 너무 명확해졌기 때문입니다.

노르웨이에서 수문이 열린 그 순간, 유럽 공항 수천 편이 멈췄던 날, 캐나다와 폴란드에서 운영망이 급히 차단되던 장면, 그리고 스페인·포르투갈의 도시 전체가 어둠 속에 멈춰 섰던 시간은 모두 같은 질문을 던지고 있습니다.

“OT와 그 주변 인프라는 이미 하나의 연결된 시스템입니다. 우리의 보안 관점도 그에 맞춰 변하고 있을까요?”

2026년의 OT 보안 전략은 이 질문에 솔직하게 답하는 것에서 출발해야 합니다.