해커, 노출된 컨트롤러로 미국 30개 정수장 공격

2026년 7월 26~27일 미네소타주 최소 30개 지방 정수장을 겨냥한 해킹 시도가 발생했으며, 이후 미시간주와 다른 5개 주에서도 유사한 사이버 공격이 보고됐다. 공격자들은 사무용 네트워크가 아니라 펌프, 밸브 등 장비를 작동시키는 소형 컴퓨터인 프로그래머블 로직 컨트롤러(PLC)를 노려 핵심 수자원 인프라를 장악하려 했다. 이에 유틸리티 당국은 제어 컴퓨터를 끄고 장비를 수동으로 작동시켰으며, 식수 안전에는 문제가 없다고 밝혔다. 연방수사국(FBI)과 환경보호청(EPA)은 7월 30일 공동 권고문을 내고, 공격자들이 인터넷에 직접 연결된 록웰 오토메이션 MicroLogix 컨트롤러에 원격 접속해 IP 주소와 비밀번호를 변경한 사실을 확인했다. 미국 정부는 아직 공격 주체를 특정하지 않았지만, 이란과 연계된 해커들이 유력 용의자로 지목되고 있다. 사이버보안인프라보안국(CISA)에 따르면 일부 정수장은 여전히 제조사 기본 비밀번호를 사용 중인데, 이는 2023년 이란 연계 해커들이 유니트로닉스 컨트롤러를 노린 유사 공격에서 악용된 취약점이다. 미국표준기술연구소(NIST) 연구원들은 침입자가 정상 제어 명령을 악성 명령으로 바꿔 수류나 수질을 교란할 수 있다고 경고한다. 이번 공격은 미국 내 약 15만 2천 개 공공 식수 시스템의 취약성을 드러냈다. 이들 중 상당수는 노후 산업 장비에 의존해 현대적 보안 기능이 부족하고, 인력도 소규모로 운영된다. 이에 CISA는 정수장에 컨트롤러와 대시보드를 인터넷에 직접 연결하지 말고, 원격 접속 시 보안 게이트웨이나 VPN을 사용하며, 기본 비밀번호를 변경하고, 운영 네트워크와 업무 시스템을 분리할 것을 촉구했다. 자원봉사 사이버보안 전문가 그룹이 지침을 제공하고 있지만, 소규모 정수장은 향후 침입을 막기 위해 정부 자금 지원이나 공동 서비스가 필요할 수 있다.