미국 정부가 이란 국가 배후 해커들이 미국 내 상수도 및 에너지 공급업체의 산업제어시스템(ICS)에 실제로 침투해 교란을 일으키고 있다고 23일(목) 경고했다. 이번 경고는 연방기관들이 진행 중인 전쟁 속에서 이란 배후 해킹 활동이 격화하고 있다고 밝힌 지 수개월 만에 나온 것이다.
수요일 갱신된 보안 권고문에서 미 연방수사국(FBI), 국가안보국(NSA), 에너지부, 사이버안보·인프라보안청(CISA)은 이란 해커들이 인터넷에 연결된 운영 네트워크 상의 프로그래머블 로직 컨트롤러(PLC)를 표적으로 삼고 있다고 밝혔다. 보도에 따르면 이를 통해 해커들은 디스플레이에 표시되는 데이터를 조작할 수 있으며, 이는 정전이나 서비스 중단 등으로 이어질 수 있다.
이란 해커들은 올해 초 처음으로 록웰(Rockwell)이 제조한 컨트롤러를 표적으로 삼은 사실이 확인됐지만, 이번 권고문에서는 공격 대상 산업제어시스템의 범위가 슈나이더 일렉트릭(Schneider Electric)과 지멘스(Siemens) 제품으로까지 확대된 것으로 나타났다.
관계 당국은 "인터넷에 노출된 모든" 산업제어시스템이 공격에 취약할 수 있다고 경고하며, 핵심 기반시설 운영업체들에 대응 조치를 취할 것을 촉구했다. 권고문에 따르면 이란 배후 해커들은 "미국 내에서 교란 효과를 일으키기 위해" 이러한 활동을 벌이고 있으며, 이는 이란과 미국·이스라엘 간 진행 중인 전쟁에 대한 대응 성격이 짙은 것으로 분석된다.
FBI에 따르면 해커들은 한 핵심 기반시설 공급업체에 침입해 컨트롤러의 프로그래밍 로직을 변경, 긴급 정지 및 경보 처리 프로세스를 무력화한 것으로 확인됐다. 연방 당국은 이로 인해 "시스템이 운영자에게 이상 징후를 알리지 않은 채 위험한 상태로 진입할 수 있게 됐다"고 설명했다.
이번 사안은 지난 2월 전쟁 발발 이후 이란 정부 해커와 그 대리 조직들이 이 지역 전반에서 벌여온 일련의 사이버 공격 중 가장 최근 사례다.
이들의 해킹 활동은 이란이 전형적으로 벌여온 첩보 활동 및 해킹 후 유출(hack-and-leak) 작전에서부터, 대규모 피해나 서비스 중단을 초래하는 이례적인 파괴적 공격에 이르기까지 다양한 양상을 보이고 있다. 전자의 사례로는 카시 파텔(Kash Patel) FBI 국장의 개인 이메일 계정 내용을 유출한 사건이 꼽힌다. 후자 중 특히 주목할 만한 사건으로는 미국 의료기술 대기업 스트라이커(Stryker)에 대한 해킹이 있는데, 이를 통해 이란 해킹조직 '한달라(Handala)'는 수만 대에 달하는 직원 기기를 원격으로 삭제할 수 있었던 것으로 전해졌다.
한달라는 지난 6월 캘리포니아 상수도업체 칼워터(Cal Water)에 대한 데이터 유출 사건의 배후를 자처하며, 자신들이 상수도 공급을 교란할 수도 있었다고 주장했다(다만 이를 뒷받침할 증거는 제시하지 않았다). 이에 대해 칼워터 측은 상수도 공급을 통제하는 운영 네트워크에 무단 접근이 이뤄진 정황은 발견되지 않았다고 밝혔다.
