2025년 10월 말, 캐나다 사이버보안센터(Canadian Centre for Cyber Security)가 이례적인 경보를 발표했습니다. 캐나다 전역의 수도·석유·농업 관련 시설 일부가 핵티비스트(hacktivist) 그룹의 공격을 받았다는 내용이었습니다. 해커들은 산업제어시스템(ICS)에 침입해 수도 밸브의 수압을 바꾸고, 유류탱크의 경보를 조작했으며, 곡물 저장 사일로의 온도와 습도를 임의로 변경했습니다.
많은 사람들은 이 사건을 단순히 ‘해외에서 일어난 사이버 사고’ 정도로 생각했지만, OT(운영기술) 환경을 운영하는 사람이라면 그 메시지가 무엇인지 즉시 알 수 있었을 겁니다.
“이제 OT 영역을 겨냥한 사이버 위협도 더 이상 남의 일이 아니구나. 바로 코 앞까지 다가왔네.”
공공기관이 먼저 뚫릴 수밖에 없는 배경
이번 공격 양상은 이미 유럽연합 사이버보안기구(ENISA)가 발표한 Threat Landscape 2025 보고서의 흐름과 일치합니다. 유럽에서도 사이버 공격의 표적이 가장 많이 된 분야는 에너지나 제조가 아니라 공공기관(Public Sector) 이었습니다.
이유는 분명합니다. 공공서비스를 마비시키면 사회적 파급력이 크고 언론의 관심도 집중됩니다. 또한 민간기업에 비해 공공기관은 보안 예산과 투자 결정이 느리게 이뤄지는 구조적 한계를 안고 있습니다. 예산은 세금으로 충당되고, 승인 과정은 길며, 기술 교체 주기도 길죠.
여기에 오래된 레거시 설비가 문제를 키웁니다. 대부분의 공공 인프라는 수년, 혹은 수십 년 된 장비 위에서 돌아가고 있고, 이 장비들은 처음부터 ‘보안’을 전제로 설계된 시스템이 아닙니다.
결국 사회 기반을 지탱하는 시스템일수록 가장 취약한 방어선 위에 서 있는 셈입니다.
핵티비즘, 이제 현실의 위협으로
과거 핵티비스트들은 웹사이트 변조나 DDoS 공격을 통해 정치적 메시지를 퍼뜨리는 수준이었습니다. 하지만 이번 캐나다 사건은 다릅니다.
공격자들은 실제 산업제어 명령에 접근해 제어값을 조작했습니다. 캐나다 사이버보안센터는 이번 공격을 특정 기업을 노린 표적 공격이 아니라, 인터넷에 노출된 ICS 장비를 무차별적으로 스캔한 뒤 취약한 시스템을 공격한 사례로 분석했습니다. 즉, 피해자는 ‘선택된 표적’이 아니라 ‘노출된 시스템’이었던 셈입니다.
이번 사고는 대규모 피해로 이어지기 전에 차단됐지만, 그 의미는 결코 가볍지 않습니다. 수도 밸브를 열었다면, 다음에는 화학공장의 밸브를 조작하거나, 하수처리 경보를 끌 수도 있다는 뜻이니까요. 그리고 이런 공격은 폐쇄망(air gap) 환경이라고 해서 완전히 막을 수 없습니다. 원격 유지보수, VPN 연결, 데이터 통합 등으로 대부분의 OT 시스템은 이미 외부와 닿아 있기 때문입니다.
“우린 폐쇄망이라 괜찮다”는 착각
많은 기관들이 여전히 이렇게 말합니다. “우리는 인터넷에 연결돼 있지 않아요.”
하지만 현실은 다릅니다. 원격 진단, 클라우드 분석, 공급망 시스템 등으로 인해 OT 환경의 경계는 이미 허물어졌습니다. 이번 캐나다 사례는 이런 착각이 얼마나 위험한지를 보여줍니다.
취약점은 ‘연결’에서만 생기지 않습니다. 인증이 약하거나 신원 확인 체계가 느슨한 순간에도 침입은 가능합니다.
보안을 미루면 비용이 줄어드는 게 아니라, 오히려 복구 비용이 눈덩이처럼 불어납니다. 운영 중단, 이미지 손상, 규제 위반 등 결국 대응 비용이 예방 비용보다 훨씬 큽니다. 보안은 이제 선택이 아니라 운영 연속성(Operational Continuity)의 필수 조건입니다.
규정 준수에서 진짜 회복력으로
IEC 62443이나 NIS2 같은 국제 규제가 강화되면서, OT 보안은 더 이상 권고 사항이 아닌 법적·제도적 의무로 자리 잡고 있습니다. 그러나 진짜 회복력(Resilience)은 단순한 규정 준수로는 만들어지지 않습니다. 연결이 끊겨도 인증이 유지되고, 레거시 환경에서도 신뢰를 보장할 수 있는 구조적 변화가 필요합니다.
이런 배경에서 주목받는 개념이 바로 단방향 다이내믹 인증입니다. 이는 인증 토큰이 매번 새롭게 생성되고 네트워크 상에서 재사용되지 않아, 외부 연결이 없더라도 신뢰 기반 인증을 유지할 수 있는 구조입니다.
OTAC(One-Time Authentication Code) 기술은 이러한 원리에 기반해 상용화된 기술입니다. 망분리 환경에서도 인증과 접근 통제가 가능하도록 설계된 구조죠. 결국 보안과 가용성은 이제 상충되는 개념이 아니라, 함께 설계되어야 할 요소입니다
신뢰를 다시 세우는 일
공공 인프라가 멈추는 것은 단순한 기술적 문제를 넘어, 사회의 신뢰가 흔들리는 사건입니다. 이제 정부, 산업계, 기술 기업이 함께 움직여야 합니다. 공유 체계를 만들고, 공동 모의훈련을 하고, 위험을 투명하게 관리해야 합니다.
하지만 결국 핵심은 각 조직 스스로의 인식 전환입니다. 보안은 한 부서의 업무가 아니라 모든 구성원이 함께 지켜야 하는 기본책임입니다. 규제나 공급업체, 예산 주기 같은 외부 요인에만 의존해선 안 됩니다. 보안은 끊임없이 작동해야 하는, 눈에 보이지 않는 인프라입니다.
더 이상 뒤쳐지지 않으려면
전 세계가 2026년 예산을 확정하는 지금, 이번 캐나다 사건은 우리 모두에게 분명한 메시지를 던집니다. OT 보안 투자를 미루는 것은 비용 절감이 아니라 위험을 축적하는 일이라고 말입니다.
중요한 것은 “좀 더 고민해 보겠다”고 망설일 게 아니라, “언제 대응을 시작할 것인가”입니다.
보안은 넘지 못할 벽을 세우는 게 아니라 간단해 보이지만 신뢰할 수 있는 사람만 들어올 수 있는 자동문을 만드는 것과 같습니다. 그리고 그 자동문은 네트워크가 끊겨도 작동해야 합니다.
2026년이 되기 전에, 더 많은 공공 인프라가 혼란에 빠지기 전에, 그리고 기업들의 시스템이 중단되기 전에, OT 시스템 속에 신뢰를 설계해야 할 때입니다. 아직도 고민이 된다면, 서서히 끝나가는 타이머를 보시기 바랍니다.
