지난 몇 년간 OT 보안의 최우선 과제는 명확했습니다. IT와 OT가 연결되면서 제조업과 국가 기반시설이 사이버 공격에 노출되기 시작했고, 기업들은 VPN, MFA, PAM 등 IT 환경에서 검증된 보안 체계를 제어망으로 확대 적용하는 데 집중해 왔습니다. 최근 NIS2와 IEC 62443 등 주요 규제와 국제 표준 역시 접근 통제와 사용자 인증을 핵심 요구사항으로 제시하면서 이러한 흐름은 더욱 강화되고 있습니다.
이러한 변화는 분명 OT 보안 수준을 한 단계 끌어올린 중요한 진전입니다. 그러나 2026년 상반기 공개된 위협 인텔리전스와 주요 산업제어시스템(ICS) 공격 사례를 종합해 보면 또 하나의 변화가 나타나고 있습니다. 공격의 무게중심이 단순한 네트워크 침투에서 산업 설비를 제어할 수 있는 권한(Control Privilege) 확보로 이동하고 있다는 점입니다.
이 변화는 단순히 새로운 공격 기법이 등장했다는 의미가 아닙니다. 앞으로 OT 보안이 무엇을 가장 우선적으로 보호해야 하는지에 대한 기준 자체가 달라지고 있음을 보여주는 신호일 수 있습니다.
공격자의 최종 목표는 네트워크가 아니라 제어 권한
대부분의 랜섬웨어 공격은 IT 시스템을 마비시키고 생산을 중단시켜 금전적 이익을 얻는 것을 목표로 합니다. 하지만 OT 환경에서 공격자가 궁극적으로 원하는 것은 파일 서버나 업무 시스템이 아니라 실제 산업 설비를 움직일 수 있는 권한입니다.
가스 밸브를 열거나 닫고, 발전기를 정지시키거나, 보호 계전기의 설정을 변경하는 행위는 단순한 사이버 공격을 넘어 실제 물리적 결과를 만들어냅니다. 결국 OT 공격의 본질은 컴퓨터 시스템이 아니라 산업 공정을 통제하는 권한을 확보하는 것에 있습니다.
이러한 흐름은 이미 여러 공격 사례에서 확인할 수 있습니다. 우크라이나 전력망을 겨냥했던 Industroyer2는 산업용 통신 프로토콜을 이용해 실제 전력 설비에 명령을 전달하도록 설계되었습니다. Triton(Trisis)은안전계장시스템(SIS)을 무력화해 플랜트의 마지막 안전장치까지 제거하려 했습니다. 또한 PIPEDREAM(INCONTROLLER)은 특정 취약점을 악용하는 악성코드가 아니라 다양한 산업용 제어기를 직접 제어하도록 설계된 공격 프레임워크라는 점에서 업계의 주목을 받았습니다.
이들 사례는 서로 다른 환경에서 발생했지만 하나의 공통점을 보여줍니다. 공격자가 궁극적으로 확보하려는 것은 PLC 자체가 아니라 PLC를 제어할 수 있는 권한입니다.
왜 엔지니어링 워크스테이션이 새로운 공격 거점이 되는가?
최근 미국을 비롯한 여러 국가의 사이버 보안 기관들은 공동 권고문을 통해 국가 차원의 공격 그룹이 취약한 라우터와 네트워크 장비를 악용해 중요 인프라 환경에 장기적인 접근 권한을 확보하려 하고 있다고 경고했습니다. 이 경고가 곧 PLC 직접 공격을 의미하는 것은 아닙니다. 그러나 공격자가 중요 인프라 내부에서 지속적인 접근 권한을 확보하려 한다는 점은 분명한 흐름입니다.
그리고 그 다음 단계에서 가장 가치 있는 자산 가운데 하나가 바로 엔지니어링 워크스테이션(Engineering Workstation)입니다. 엔지니어링 워크스테이션은 PLC 프로그램을 다운로드하고, 파라미터를 변경하며, 설비를 구성하고 유지보수하는 핵심 관리 지점입니다. 다시 말해, 산업 설비를 제어할 수 있는 권한이 집중되어 있는 위치입니다.
만약 공격자가 이 권한을 확보한다면 별도의 취약점을 추가로 악용하지 않더라도 정상적인 운영 절차를 가장해 프로그램 변경이나 설정 수정 등을 시도할 수 있습니다. 이러한 행위는 정상 사용자의 권한 범위 안에서 이루어질 수 있기 때문에 기존 접근 제어나 네트워크 중심의 보안만으로는 충분히 대응하기 어려운 영역입니다.
2026년 하반기 주목해야 할 OT 공격 변화
2026년 상반기의 공격 사례들은 하나의 공통된 질문을 던지고 있습니다.
“우리 조직은 무엇을 보호하고 있는가?”
많은 기업은 네트워크 경계와 원격 접속, VPN 보안, 취약점 관리에 상당한 투자를 하고 있습니다. 물론 이러한 노력은 앞으로도 중요합니다. 그러나 공격자의 목표가 점차 정상적인 제어 권한 확보로 이동하고 있다면, 방어 전략 역시 같은 방향으로 발전해야 합니다.
누가 네트워크에 접속했는지 확인하는 것만으로는 충분하지 않습니다. 더 중요한 것은 누가 산업 설비를 제어할 수 있는 권한을 갖고 있는지, 그리고 그 권한이 실제로 행사되는 순간까지 신뢰할 수 있는지를 검증하는 것입니다.
앞으로 OT 보안이 보호해야 할 대상은?
지난 수년간 OT 보안은 Identity와 Access를 중심으로 발전해 왔습니다. 사용자의 신원을 확인하고 접근 권한을 검증하는 것은 앞으로도 가장 중요한 보안 원칙 가운데 하나일 것입니다. 그러나 2026년 상반기 위협 데이터가 보여주는 또 하나의 변화는 공격자가 궁극적으로 노리는 대상 역시 달라지고 있다는 점입니다.
그들이 원하는 것은 PLC도 HMI도 아닙니다. 궁극적으로 확보하려는 것은 산업 설비를 움직일 수 있는 제어 권한(Control Privilege)입니다.
따라서 앞으로의 OT 보안은 단순히 네트워크 접근을 허용하거나 차단하는 수준을 넘어, 제어 권한이 행사되는 마지막 접점에서 사용자의 신원을 어떻게 검증하고, 승인되지 않은 사용자의 실행을 어떻게 원천적으로 차단할 것인가를 더욱 중요하게 고민하게 될 것입니다.
2026년 상반기가 공격자가 무엇을 노리고 있는지를 보여준 시기였다면, 하반기는 기업이 무엇을 보호해야 하는지를 다시 정의해야 하는 시기가 될 것입니다. 그 중심에는 네트워크가 아니라 ‘제어 권한(Control Privilege)’이 자리할 가능성이 높습니다.