이란과 연계된 해커들이 지난달 영국의 한 소형 발전소를 나흘간 가동 중단시킨 것으로 추정된다고 폭스뉴스(Fox)가 24일(월) 보도했다. 이는 그동안 미국 당국이 경고해온 이란발 사이버 위협이 단순한 시스템 탐색 단계를 넘어 실제 시설 마비로 옮겨가고 있음을 보여주는 최신 사례로 지목된다.
폭스뉴스에 따르면 영국 보안당국 관계자들은 복수의 언론사와의 접촉에서 이번 발전소 정전 사태의 배후로 이란 연계 해커를 지목했다. 마이클 섕크스(Michael Shanks) 영국 에너지장관은 성명을 통해 "분명히 말하지만 광역 전력망에는 아무런 위협이 없었고 정전 피해를 입은 사람도 없었다. 우리는 세계에서 가장 안정적인 에너지 시스템 중 하나를 갖추고 있다"고 밝혔다. 그는 문제가 된 발전소를 "아주 작은 규모"라고 설명하면서도, 해당 침입 사건 이후 소관 부처가 여러 기업 최고경영자(CEO)들을 대상으로 보안 유지를 위해 취해야 할 조치를 설명하는 브리핑을 진행했다고 덧붙였다.
이번 영국 사례는 해커들이 미국 미네소타주의 30여 개 지역 상수도 시스템을 공격한 지 몇 주 만에 발생했다. 당시 해커들은 펌프 등 설비를 원격으로 감시·제어하는 데 쓰이는 기술에 접근한 것으로 알려졌다. 미네소타 당국은 이 공격의 배후를 공식적으로 지목하지 않았지만, 복수의 언론은 미국 정부 관계자들과 업계 위협정보 공유 메모 유출본을 인용해 이란이 유력한 배후일 가능성이 크다고 보도했다. 다만 도널드 트럼프 대통령은 이란이 배후라는 평가를 공개적으로 부인하며 이란 책임론을 믿지 않는다고 밝힌 바 있다.
폭스뉴스는 이 두 사건이 미국과 이란 간 갈등의 또 다른 전선으로 민간 인프라를 부각시키고 있다고 짚었다. 군사적 대치가 6개월째로 접어드는 가운데, 상대적으로 규모가 작고 방어 수준이 취약한 상하수도·에너지 시설들은 대형 전력망을 뚫거나 군사 목표물을 직접 타격하지 않고도 물리적 혼란을 일으킬 수 있는 통로가 되고 있다는 설명이다.
이런 시설들이 특히 취약한 이유는 다수가 인터넷에 연결된 산업제어시스템(ICS)에 의존해 운영자가 물리적 장비를 원격으로 감시·관리할 수 있도록 하고 있기 때문이다. 일단 내부에 침투하면 해커들은 운영을 중단시키거나 운영자의 접근을 차단하고, 펌프 등 기계 장치의 제어권을 조작할 수 있다.
미 연방수사국(FBI)과 환경보호청(EPA)은 지난 7월 발표한 경보에서, 악성 행위자들이 최소 7개 주의 상하수도 시설을 대상으로 외부에 노출된 프로그래머블 로직 컨트롤러(PLC)에 접근해 인터넷 주소와 비밀번호를 변경하는 방식으로 공격을 감행했다고 밝혔다. 일부 사건에서는 실제로 수압 저하와 침수 등 운영 차질이 보고됐다.
연방 기관들은 또한 이란 연계 행위자들이 상하수도, 에너지, 정부 부문 전반에 걸쳐 유사한 산업용 장비를 표적으로 삼아 이를 제어하는 소프트웨어 접근권을 노려왔다고 경고했다. 이 같은 활동은 이미 운영 차질과 금전적 손실을 초래한 것으로 전해졌다.
이란 연계 해커들이 미국 인프라를 겨냥한 것은 이번이 처음이 아니다. 위협은 산업제어시스템에 국한되지 않는다. 지난 18일 미 법무부는 이란에 기반을 둔 한 업체 소속 17명을 대규모 사이버 절도 캠페인 혐의로 기소했다. 이들은 수백 곳의 대학, 민간기업, 정부기관을 표적으로 삼았으며, 검찰은 이 중 다수의 침입 행위가 이란혁명수비대(IRGC) 등 이란 관련 조직을 위해 이뤄졌고, 그 결과 31테라바이트(TB)가 넘는 학술 데이터와 지식재산이 탈취됐다고 밝혔다.
앞서 2016년에도 미 법무부는 뉴욕주 라이(Rye) 지역 댐의 제어시스템에 접근한 혐의로 이란 국적 해커를 기소한 바 있다. 당시 해당 댐의 수문은 유지보수를 위해 연결이 끊겨 있어 해커가 수위와 유량을 조작하지는 못했다.
보다 최근에는 미 정부 기관들이 '사이버어벤저스(CyberAv3ngers)'로 알려진 IRGC 연계 캠페인을 2023년 말부터 2024년 초 사이 미국 내 수십 곳 시설에서 발생한 이스라엘산 산업용 컨트롤러 침해 사건과 연결지었다. 피해 시설에는 상하수도 시스템, 에너지 기업, 식품 제조업체, 의료기관 등이 포함됐다. 이 캠페인은 기본 비밀번호를 그대로 사용한 채 공개 인터넷에 노출돼 있던 장비들을 악용한 것으로 나타났다.
최근 발생한 일련의 공격들은 물리적 피해를 일으키는 데 필요한 접근 수준이 얼마나 낮은지를 잘 보여준다는 평가다. 미네소타 사례에서 해킹된 컨트롤러는 수위, 압력, 펌프 작동, 장비 경보 등을 추적하는 시스템에 영향을 미쳤으며, 일부 지역에서는 운영자가 시스템을 복구하는 동안 장비가 일시적으로 오프라인 상태로 전환되기도 했다.
이란 정부가 서구 인프라를 겨냥한 더 광범위한 공격을 계획하고 있는지는 아직 불분명하다. 다만 이번 영국의 나흘간 발전소 마비 사태는 해커들이 소규모 산업 시스템에 접근권을 확보했을 때 무엇을 할 수 있는지를 보여준다. 대형 전력망 운영사를 침해하거나 즉각적인 군사적 대응을 촉발할 만한 대규모 정전을 일으키지 않고도 물리적 운영을 마비시킬 수 있다는 것이다.
한편 전 국방부 고위 관계자이자 헤리티지재단(Heritage Foundation) 방문연구원인 스티브 부치(Steve Bucci)는 폭스뉴스 방송 '폭스 앤드 프렌즈 퍼스트(Fox & Friends First)'에 출연해 미국 상수도 인프라를 겨냥한 사이버 공격 증가세를 분석했다. 그는 이란 지원을 받는 해커를 포함한 국가 배후 행위자들이 지방자치단체 유틸리티의 취약한 디지털 시스템을 악용하고 있다고 경고하며, 지방정부가 핵심 제어 시스템을 공용 인터넷망으로부터 격리해야 할 필요성이 시급하다고 강조했다.
