이란 해커, 미네소타 수도시설 30여곳 공격

2026년 7월 30일 WIRED가 입수한 유출 문서에 따르면 미네소타주 상수도 및 폐수 처리 시설에 대한 일련의 사이버 공격이 이란과 연계된 것으로 나타났다. 물 정보 공유 및 분석 센터(WaterISAC) 문서는 이 연관성을 공식적으로 밝힌 첫 번째 문서로, 미네소타 퓨전 센터가 이 공격이 사이버보안 및 인프라 보안국(CISA)이 이란 연계 해커의 소행으로 규정한 해킹 캠페인과 일치한다고 밝혔다고 전했다.

미네소타주 30개 이상의 지방 상수도 및 폐수 시스템이 표적이 되었다. 해커들은 원격으로 접근 가능한 프로그래머블 로직 컨트롤러(PLC)를 손상시켰으며, 문서에 따르면 시스템 압력 손실과 잠재적 수질 오염을 유발하는 것이 목적이었을 것으로 보인다. 브래햄 시에서는 이 공격으로 정수장이 일시적으로 가동 중단되었다. 당국은 시설이 추가 피해를 막을 수 있었으며 식수는 안전하다고 밝혔다.

로스앨러모스 국립연구소의 전 사이버보안 연구원인 조 슬로윅은 이번 공격이 러시아의 우크라이나 전쟁 외에 민간 인프라를 표적으로 한 국가 주도 공격의 드문 사례라고 말했다. 그는 여러 현장에서 안전 매개변수의 문서화된 교란과 변경이 심각한 우려를 불러일으켜야 하며, 동일한 기술을 사용하는 다른 시설도 여전히 취약하다고 경고했다.

사이버보안 업체 테너블은 7월 28일 보고서를 통해 이란 이슬람 혁명수비대와 연계된 이란 해커 그룹 사이버어벤저스(CyberAv3ngers)가 배후일 가능성을 제기했다. 뉴욕타임스는 7월 30일 당국이 이 공격이 이란 정부 지원 해커의 소행일 가능성이 높다고 결론지었다고 보도했다.

사이버어벤저스는 2023년 말 처음 등장해 수도 시설에 사용되는 유니트로닉스 장비를 표적으로 삼았으며, 이후 미국 석유 및 가스 회사를 침해하고 IOControl이라는 악성코드를 유포하는 등 활동을 확대했다.

미네소타 공격의 배후 그룹이 정확히 어디인지는 불확실하지만(클라로티 연구원 요나탄 하라리는 또 다른 이란 그룹인 한다라를 가리키는 증거가 있다고 언급), 모든 징후는 이란의 개입을 시사한다. 7월 22일 업데이트된 별도의 CISA 권고는 이란 연계 행위자들이 운영 중단을 위해 PLC를 표적으로 삼고 있다고 경고했지만, 미네소타 사건은 언급하지 않았다.

7월 30일 CISA는 새로운 권고를 발표하여 이 공격으로 인해 끓임 경보와 지속적인 수동 운영이 발생했다고 밝혔다. CISA는 수도 시설에 PLC를 인터넷에서 분리하고, 강력한 비밀번호를 사용하며, 신뢰할 수 있는 장치를 허용 목록에 추가할 것을 촉구하며, 위협 행위자들이 규모에 관계없이 모든 수도 시설을 표적으로 삼고 있다고 경고했다.