7월 26일 일요일 새벽, 미국 미네소타주의 작은 도시 브래험(Braham)에서 정수장 운영자들이 제어 시스템에 접근하지 못하는 상황이 발생했습니다. 누군가가 원격으로 PLC 관리자 비밀번호를 바꿔버렸고, 운영자들은 자신들의 시설에서 잠금 처리된 것입니다. 브래험시는 즉시 정수장 가동을 중단하고 주민들에게 수돗물 사용을 최소화해 달라고 공지했습니다.
같은 날, 인근 플리머스(Plymouth), 사우스 세인트 폴(South St. Paul), 메이플 플레인(Maple Plain) 등 미네소타주 전역 30곳이 넘는 상수도·하수도 시설에서 동일한 공격이 연쇄적으로 발생했습니다. 미국 역사상 수처리 시스템을 겨냥한 공격 중 가장 광범위한 사례로 기록됐습니다. 미국 정보당국은 이란 연계 해킹 그룹을 유력한 배후로 보고 있으며, FBI와 CISA가 합동 수사를 진행 중입니다.
공격자들의 목표가 무엇이었는지는 이미 수사 결과로 공개됐습니다. 수압을 떨어뜨려 수질을 오염시키는 것이었습니다. 이번에는 다행히 실제 오염으로 이어지지 않았습니다. 하지만 한 단계만 더 진행됐다면 결과는 달랐을 것입니다.
정교한 해킹이 아니라 더 충격!
이 사건에서 주목해야 할 부분은 공격 방식의 단순함입니다. 공격자들은 인터넷에 직접 노출된 PLC에 접속해 관리자 비밀번호를 변경하고 IP 주소를 바꿔 장비를 네트워크에서 이탈시켰습니다. 정교한 제로데이 취약점을 악용한 것도, 수개월에 걸친 침투 작전을 펼친 것도 아니었습니다. 자물쇠가 없는 문으로 걸어 들어가 안에서 잠근 것입니다.
CISA는 즉각 긴급 권고문을 발령했습니다. 핵심 메시지는 하나였습니다. 인터넷에 노출된 PLC를 즉시 차단하고, 기본 비밀번호를 교체할 것. 그리고 원격 접근은 반드시 신뢰된 경로를 통해서만 허용할 것.
특히 CISA는 이번 공격이 성숙한 사이버보안 프로그램을 갖춘 시설도 표적으로 삼았다고 밝혔습니다. 방화벽이 있어도, 네트워크 모니터링을 해도, PLC에 접근하는 사람이 누구인지 확인하는 체계가 없다면 소용이 없다는 의미입니다.
OT 보안이 아직도 못 채운 빈자리
이 사건이 불편한 이유는 새로운 문제가 아니기 때문입니다. OT 환경, 특히 PLC·RTU·HMI 같은 현장 제어 장치는 설계 당시부터 폐쇄망을 전제로 만들어졌습니다. 외부와 연결되지 않는다는 전제 아래, 강력한 인증보다 안정적인 가동이 우선이었습니다. 그런데 원격 유지보수, 스마트 팩토리 전환, 공급망 연동으로 OT 환경은 이미 외부와 연결되어 있습니다. 인증 체계만 과거에 머물러 있을 뿐입니다.
공유 계정, 정적 비밀번호, 협력업체에게 나눠준 채 회수되지 않은 접근 권한. 이것들은 이번 공격의 진입로였고, 동시에 전 세계 수많은 OT 현장에 지금도 존재하는 구조적 취약점입니다.
특히 올해 들어 AI 에이전트가 취약점을 스스로 탐색하고 침투 경로를 자동화할 수 있다는 사실이 잇따라 확인되고 있습니다. 국내 보안 연구팀이 AI 도구를 활용해 30분 만에 AD 서버를 장악하는 실험에 성공한 사례도 있습니다. 그 핵심 침투 경로는 인증 부재와 과도한 권한이었습니다.
인증이 없거나 고정된 비밀번호가 있는 시스템은 AI 에이전트에게도 열린 문입니다. 사람이 수동으로 시도하던 공격이 자동화되면 속도와 규모가 달라집니다. OT 환경이 이 변화에 얼마나 준비되어 있는지 돌아볼 시점입니다.
접근하는 사람이 누구인지 묻는 것에서 시작돼야
이번 사태가 남긴 질문은 단순합니다. 지금 이 장비에 접근하려는 사람이 누구인지, 그 접근이 정당한지를 매번 확인할 수 있는가.
고정된 비밀번호는 한 번 탈취되면 영구적으로 유효합니다. 공유 계정은 누가 무엇을 했는지 추적을 불가능하게 만듭니다. 반면, 접속 시마다 새롭게 생성되고 재사용이 불가능한 인증 방식은 이 문제를 구조적으로 해소할 수 있습니다. 설령 인증 값이 유출되더라도 이미 만료된 값이기 때문입니다.
수돗물은 이번에는 안전했습니다. 다음에도 그럴 것이라고 장담하려면, 지금 OT 현장의 문 앞에 자물쇠가 있는지 확인해야 합니다.
