- 미국 사이버보안·인프라보호청(CISA)은 상하수도 및 폐수처리(WWS) 시설을 겨냥한 사이버 공격이 유의미하게 증가하고 있다고 공식 경고했다.
- 공격자는 인터넷에 직접 노출된 산업 제어 장비인 PLC(Programmable Logic Controllers)를 악용해 운영 중단을 시도하는 것으로 분석된다.
- 원격 접속 관리 인터페이스, 기본 자격증명, 미적용 패치 등이 주요 침투 경로로 지목되며, 국내 핵심인프라 사업자도 즉시 점검 체계를 가동할 필요가 있다.
상하수도 PLC 노출 자체가 곧 침해로 이어지는 구조이기 때문에, 자산 가시성 확보와 위험 기반 우선순위 설정이 가장 시급한 1차 방어선이다.
2026년 7월 31일, 미국 사이버보안·인프라보호청(CISA)은 상하수도 및 폐수처리(Water and Wastewater Systems, WWS) 시설을 대상으로 한 사이버 공격이 유의미하게 증가하고 있다고 공식 경고했다. Bleeping Computer 보도에 따르면 공격자는 인터넷에 직접 노출된 PLC를 주요 표적으로 삼고 있으며, 원격 관리 인터페이스와 기본 자격증명을 악용해 운영 중단을 시도하는 것으로 나타났다. 생활필수 인프라에 대한 공격 시도가 현실화되면서, 국내 OT/ICS 보안 실무자도 자사 환경 점검에 속도를 올려야 할 시점이다.
1. CISA 경고의 배경과 공격 표면
CISA는 자사 공식 채널을 통해 WWS 부문의 보안 위협 수준이 상승하고 있음을 알렸다. 이번 경고에서 주목할 부분은 공격 표면이 전통적인 IT 시스템이 아니라 운영기술(OT) 영역, 구체적으로는 인터넷에 노출된 PLC라는 점이다. PLC는 펌프, 밸브, 정수 처리 등 시설 운영의 핵심을 제어하는 장비이기 때문에, 단 1대의 침투가 시설 가동 중단과 직결될 수 있다. Bleeping Computer 기사에 따르면 CISA는 노출된 관리 인터페이스, 기본 비밀번호, 패치 미적용 등을 주요 침투 경로로 분석하고 있다.
2. 상하수도 시설이 반복적으로 표적이 되는 이유
상하수도 시설은 국가 핵심인프라 중에서도 시민의 일상과 직결되는 영역이기 때문에 랜섬웨어 행위자와 국가 배후 공격자 모두에게 매력적인 목표가 된다. 특히 WWS 시설은 다음과 같은 구조적 특성을 갖고 있다.
- 운영 연속성이 최우선이므로 시스템 중단 허용 시간이 짧고, 공격자에게 압박 수단으로 활용되기 쉽다.
- 노후 PLC와 단독 운영되는 원격 단말이 다수 잔존해 인터넷 노출 위험이 높다.
- 자산 목록과 네트워크 가시성이 부족해 침해 발생 시 영향 범위 파악이 지연된다.
- 예산과 인력 측면에서 보안 성숙도가 상대적으로 낮아 진입 장벽이 낮다.
이러한 요인이 결합되면서, 상하수도는 단순 데이터 유출이 아닌 물리적 영향을 유발할 수 있는 사이버 공격의 대표적인 사례로 부상하고 있다.
3. CISA 권고를 기반으로 한 즉시 점검 체크리스트
아래 표는 CISA의 공식 권고와 일반적인 OT/ICS 보안 모범 사례를 결합해, 국내 핵심인프라 사업자가 우선 점검해야 할 항목을 정리한 것이다. 본 표의 권고 항목 중 출처가 명시되지 않은 일반 항목은 일반적인 산업 보안 관행에 근거한 의견이며, CISA 공식 권고는 별도 인용한다.
| 점검 영역 | 즉시 확인 항목 | 권장 조치 |
|---|---|---|
| 자산 가시성 | 인터넷 노출 PLC 및 HMI 목록 작성 여부 | Shodan, Censys 등 노출 점검 수행 후 비공개 IP 전환 또는 VPN 경유 |
| 인증 관리 | 기본 비밀번호, 공용 계정, 변경 이력 부재 여부 | 개별 계정 적용, 다요소 인증 도입, 정기적 비밀번호 변경 |
| 패치 관리 | PLC 및 SCADA 펌웨어 버전, 보안 패치 적용 현황 | 벤더 권고 패치 우선 적용, 불가 시 가상 패치 및 네트워크 분리 |
| 네트워크 분리 | OT-IT 구간 방화벽 및 단방향 통신 적용 여부 | 산업용 DMZ 구성, 데이터 다이오드 검토 |
| 원격 접속 통제 | 외부 유지보수 채널 및 RDP, SSH 노출 여부 | Jumphost 기반 통제, 세션 녹화, MFA 적용 |
| 모니터링 및 로깅 | OT 구간 로그 수집 및 이상 트래픽 탐지 여부 | ICS 전용 SIEM 도입, 핵심 자산 베이스라인 수립 |
4. 단기 대응 vs 중장기 회복탄력성 전략
단기적으로는 노출된 자산 제거와 인증 강화가 가장 효과적이다. 다만 CISA가 강조한 위협은 일회성이 아니라 지속적이라는 점에서, 중장기 사이버 회복탄력성 전략을 병행해야 한다.
자산 가시성과 위험 기반 우선순위 도입
모든 시설이 동일한 보안 수준을 갖출 수는 없으므로, 영향도 평가 기반으로 우선순위를 설정해야 한다. 정수 처리, 배수 펌프장, 약품 투입 시스템 등 시민 안전에 직접 영향을 미치는 노드를 1등급으로 분류하고, 네트워크 분리 및 로깅 수준을 차등 적용하는 방식이 일반적인 OT 보안 관행에 부합한다.
공급망 신뢰성 검증과 제3자 위험 관리
WWS 시설 다수가 외부 유지보수 업체와 시스템 통합 업체에 의존하고 있다는 점을 고려하면, 공급망 위험 관리도 필수다. 벤더 접근 권한을 최소 권한 원칙에 따라 통제하고, 원격 작업 시 사전 승인 및 사후 감사를 의무화해야 한다. 표준 계약서에 보안 통제 조항을 포함하는 것도 모범 사례 중 하나로 알려져 있다.
CISA 권고 및 NIST 프레임워크 기반 점검이 필요한 국내 OT 보안 성숙도 제고
CISA 권고는 미국 기관 대상이지만, NIST Cybersecurity Framework와 IEC 62443 등 국제 표준과 연계되어 있어 국내 사업자도 그대로 참고할 수 있다. 특히 자산 식별, 접근 통제, 이상 탐지, 사고 대응, 복구 등 5개 핵심 기능을 OT 환경에 맞게 재해석 적용하는 것이 장기적으로 보안 성숙도를 높이는 길로 판단된다.
마무리하며
CISA 경고가 시사하는 핵심은 단순히 상하수도만의 문제가 아니라, 인터넷에 노출된 모든 산업 제어 장비가 잠재적 표적이 될 수 있다는 점이다. 생활필수 인프라를 운영하는 국내 사업자라면 외부 노출 자산 점검부터 시작해, 인증 강화, 네트워크 분리, 모니터링 고도화로 이어지는 단계적 로드맵을 수립할 필요가 있다. 기술적 조치와 동시에 공급망 관리, 인력 교육, 사고 대응 훈련까지 아우르는 사이버 회복탄력성 체계를 구축하는 것이 향후 유사 위협에 대한 가장 현실적인 대응책이 될 것으로 보인다.
핵심 시사점
- 노출된 PLC는 곧 침해로 이어질 수 있는 1차 공격 표면이며, 자산 가시성 확보가 최우선 과제다.
- 단기 점검(인증, 패치, 노출)과 중장기 전략(공급망 관리, 회복탄력성)을 병행해야 실질적 방어가 가능하다.
- CISA, NIST 등 국제 권고를 자사 환경에 맞게 매핑하는 표준 기반 접근이 보안 성숙도 제고의 기반이다.
참고 출처: Bleeping Computer, U.S. Cybersecurity and Infrastructure Security Agency (CISA)