핵심 요약
- 2026년 7월 26~27일 이틀간 미네소타주 30개 이상 커뮤니티 상수도 OT(운영기술, Operational Technology) 시스템이 조정된 사이버 공격을 받아 주(州) 단위 비상대응이 가동됨.
- Braham 상수도 플랜트가 완전 오프라인 상태가 되었고 Plymouth·South St. Paul·Maple Plain 등에서도 플랜트 정지 및 통신·자동화 제어 장애가 공식 확인됨.
- 공격 표적이 OT 계층에 집중된 점에서 미국 공공상수도 부문의 공급망-원격접속 취약점과 연방 규제 사각지대 문제가 동시에 부각됨.
한 주(state)의 30곳 이상 상수도를 동시에 무력화한 조정형 OT 공격은, 한국 상수도·에너지·교통 등 공공기반시설에서도 결코 남의 일이 아닌 유사한 공격 표면을 갖고 있음을 시사한다.
2026년 7월 26일부터 27일까지 미네소타주 내 30개 이상의 커뮤니티 상수도 시스템이 운영기술(OT) 계층을 겨냥한 사이버 공격을 동시에 받아, 미네소타 정보기술부(Minnesota IT Services, 이하 MNIT)와 주 사이버보안 대응 역량이 긴급 가동되는 초유의 사태가 발생했다. 이번 사건은 단일 시설 해킹이 아닌 주(州) 단위로 펼쳐진 조정형(coordinated) 공격이라는 점에서 미국 공공기반시설 보안史上 중요한 전환점으로 평가되며, 동일한 위협 표면을 안고 있는 한국 공공 OT 환경에도 즉각적인 점검 필요성을 제기한다.
1. 사건 개요: 30개 상수도를 동시에 무력화한 사이버 공격
1.1 공격 시점과 규모 – 30개 이상 상수도 대상
이번 공격은 2026년 7월 26~27일 이틀에 걸쳐 미네소타주 내 커뮤니티 상수도(Community Water Systems) 30곳 이상에서 OT 시스템의 비정상 행위가 포착되면서 공식 인지된 것으로 파악된다. 공격은 단일 시설이 아닌 복수의 자치체를 동시에 겨냥한 점, 그리고 OT 계층의 자동화 제어와 통신 시스템을 표적으로 삼은 점에서 기존의 랜섬웨어-데이터 유출 패턴과 구분된다. 미네소타주 측은 초기 인지 이후 매우 빠른 시간 안에 MNIT와 주 사이버센터를 통해 광역 사이버보안 사건 대응 역량(Cybersecurity Incident Response Capabilities)을 활성화한 것으로 전해지며, 이후 미국 연방 사이버보안·인프라보호청(Cybersecurity and Infrastructure Security Agency, CISA)과 연방수사국(FBI) 합동 대응으로 확대된 것으로 분석된다. 즉, 이번 사건은 지역 단위 사고가 아닌 주(州) 단위 비상사태로 격상된 사례라 할 수 있다.
1.2 Braham 플랜트 오프라인과 주민 영향
피해가 공식 확인된 지자체 가운데 가장 심각한 사례는 Braham 시의 상수도 플랜트다. 해당 플랜트는 공격 이후 완전히 오프라인 상태가 되었고, 시(시) 당국은 주민에게 불필요한 물 사용 자제를 요청하며 대체 급수 수단을 강구해야 했다. 이 외에도 Plymouth, South St. Paul, Maple Plain 등에서도 플랜트 정지 혹은 원격 통신 장애, 자동화 제어 영향이 공식 확인되어 적어도 네 곳 이상의 운영 현장에서 가동 중단 또는 부분 기능 상실이 발생한 것으로 나타났다. 주민 생활에 미친 직접적 영향, 시설 복구 시점의 불확실성, 그리고 OT 환경 복원 시 산업용 제어 시스템(Industrial Control System, ICS) 베이스라인 재설정 부담이 동시에 부각되면서, 상수도 부문의 OT 가용성 사고가 곧바로 공중보건 위기로 이어질 수 있다는 점이 현실화되었다.
2. 공격 양상과 OT 대상의 의미
2.1 운영기술(OT) 계층 침투의 기술적 특징
이번 공격의 핵심은 표적이 정보기술(IT) 계층이 아니라 운영기술(OT) 계층, 즉 HMI(Human-Machine Interface, 인간기계인터페이스)·SCADA(Supervisory Control and Data Acquisition, 감시제어데이터수집시스템)·원격 접속 게이트웨이와 같은 현장 제어 자산으로 집약되었다는 점이다. 공격자는 데이터 암호화나 금전 요구보다 시설의 물리적 가용성을 직접 흔드는 방향으로 침투 경로를 설계한 것으로 보이며, 이는 랜섬웨어와는 다른 방식으로 인명·생활 안전을 겨냥한 협박 또는 전략적 혼란 유도의 가능성을 제기하게 만든다. 외부 노출된 원격접속 인터페이스, 원격 유지보수용 VPN, 그리고 벤더 계정·권한 관리 미흡이 1차 침투 경로로 추정되며, 내부 OT망과 IT망 간 네트워크 분리 미비가 측면 이동(lateral movement)을 용이하게 한 것으로 해석된다.
2.2 조정형(Coordinated) 공격의 시사점
30곳 이상을 동시 표적으로 삼았다는 사실은 단일 공격자의 자발적 행위라기보다 사전 정찰과 자산 정보 수집이 결합된 캠페인 형태를 강하게 시사한다. 동일 주(州) 내의 같은 업종-같은 규모-같은 OT 벤더군을 동시에 겨냥했다는 점에서 공격자는 미국 공공상수도의 공급망 정보를 사전에 파악하고 있었을 가능성이 있으며, 위협 행위자의 동기 또한 금전보다 지정학적 시위, 사회적 공황 유발, 또는 후속 공격을 위한 발판 확보일 수 있다는 분석이 제기된다. 이러한 조정형 OT 공격은 특정 국가의 공공기반시설이 단일 벤더 혹은 단일 통신 경로에 의존할 때 발생하는 구조적 취약점을 여실히 보여준다.
3. 미국 대응 체계와 한계
3.1 MNIT 주(州) 차원 사이버 대응 역량 가동
미네소타주는 사건 인지 직후 MNIT를 중심으로 한 주 단위 사이버보안 사건 대응 역량을 즉각 가동하고, 영향 받은 자치체에 대한 현장 지원·로그 분석·격리 조치를 전개한 것으로 전해진다. 이후 CISA·FBI 합동 분석이 투입되어 공격 벡터, 침투 시점, 영향 범위 등에 대한 기술 분석이 진행 중인 것으로 파악되며, 주(州) 차원의 사전 훈련된 대응 절차와 연방 기관과의 핫라인이 실질적으로 작동한 첫 번째 대규모 사례가 되었다는 평가가 나온다. 다만, 자치 단체별 OT 자산 가시성, 사고 보고 속도, 현장 역량 격차가 노출되면서 주 단위 대응이 가진 구조적 한계도 동시에 드러났다.
3.2 연방 차원 규제: EPA·AWIA 현황과 사각지대
미국 상수도 보안 규제는 환경보호청(EPA) 주도 위험평가 요건과 2018년 상수도 시스템 위험 및 회복력 법(America’s Water Infrastructure Act of 2018, AWIA) 섹션 2013의 위험·응급 대응계획(Risk and Emergency Response Plans) 의무로 구성된다. 그러나 AWIA 섹션 2013 의무 대상이 3,300명 이상의 서비스 인구를 가진 자치체에 한정됨에 따라, 다수의 소규모 커뮤니티 상수도는 연방 차원의 의무 위험평가 대상에서 제외되어 사실상 자체 보안 의지에 의존하는 구조를 갖는다. 미네소타 공격의 다수 피해 자치체가 바로 이 사각지대에 해당한다는 점에서, 연방 규제가 대규모 시설에는 충분한 반면 소규모 시설에 대한 인센티브·기술 지원 체계는 미흡했다는 비판이 제기된다.
4. 한국에 대안하는 교훈
4.1 국내 상수도 및 공공기반시설 OT 보안 현황
한국 상수도 분야는 환경부·행정안전부 고시 기반으로 원격감시·제어(SCADA) 체계를 구축해 왔으며, 원격 침투 탐지 및 통합관제 측면에서 꾸준히 고도화가 이루어져 왔다. 그러나 전국 100여 개 지자체의 상수도 시설 가운데 원격 접속 자산의 가시성, OT-IT 망 분리 완성도, 계정·권한 통제 수준은 자치 단체별로 상당한 편차를 보이는 것으로 알려져 있으며, 이는 미네소타 사례의 자치 단체별 역량 격차 문제와 구조적으로 유사하다. 또한 에너지·교통 부문 OT 보안 강제성 확대 추세에 비해 상수도 분야는 상대적으로 산업제어시스템(ICS) 보안 인증 의무가 덜 체계적이라는 평가도 존재한다.
4.2 원격접속·권한관리·모니터링 즉시 점검 체크리스트
미네소타 사례를 한국 자치 단체 현장에 즉시 적용할 수 있도록, 다음 7개 항목을 우선 점검 대상에 포함할 필요가 있다.
- 원격접속 자산 식별: 노출된 VPN, 원격 유지보수 포트, 점프 호스트(Jump Server, 우회접속경유서버) 전수 파악 및 불필요 접속 제거.
- 계정·권한 최소화: OT 관리자 권한의 다중 인증 적용, 공용 계정 금지, 벤더 원격 계정 만료·주기적 회수 절차 마련.
- 네트워크 분리 검증: IT-OT 망 논리적·물리적 분리 상태 정기 점검, DMZ(Demilitarized Zone, 비무장지대) 구간 침입탐지시스템(IDS) 가동.
- OT 로그 중앙 수집: SCADA·HMI 이벤트 로그를 SIEM(Security Information and Event Management, 보안정보이벤트관리) 플랫폼으로 전송, 이상 행위 상시 탐지.
- 패치·구성 관리: OT 자산의 안전한 패치 절차 수립, EOL(End of Life, 지원종료) 단말기 교체 계획 수립.
- 백업·복구 훈련: OT 베이스라인 백업 및 격리 복구 절차를 최소 연 1회 모의훈련으로 검증.
- 공급망 검증: OT 솔루션·통합관제·원격 유지보수 벤더의 보안 인증(예: IEC 62443) 및 사고 통보 의무를 계약에 명문화.
4.3 공급망 및 통합관제 고도화 방향
중장기적으로는 미네소타와 같이 다수 자치체를 동시에 표적으로 삼는 조정형 공격을 막기 위해 (1) 광역 단위 통합관제센터 확충, (2) 자치 단체 공동관제 모델(예: 도 단위 상수도 보안 공동 운영), (3) OT 벤더 공급망 보안 검증 제도화, (4) 사고 시 상호부조 협약과 복구 자원의 표준화가 필요하다. 특히 단일 자치체가 자력으로 감당하기 어려운 OT 사고의 특성상, 광역 단위 사고대응 전담팀과 복구 자원의 풀(Pool)화는 한국 공공기반시설이 미네소타형 위협에 선제적으로 대응하기 위한 핵심 인프라가 될 것으로 분석된다.
5. 결론
미네소타주 30개 이상 상수도를 동시에 침투한 이번 공격은, OT 환경의 가용성을 직접 겨냥하는 조정형 사이버 위협이 미국 공공기반시설에서 이미 현실화되었음을 보여준다. Braham 플랜트의 오프라인 사례는 OT 침투가 곧 주민 생활과 공중보건 위기로 이어질 수 있다는 경고이며, 연방 규제의 소규모 시설 사각지대는 한국도 자치 단체별 역량 편차라는 동일한 형태로 안고 있는 과제다. 따라서 한국 상수도·에너지·교통 부문은 원격접속 통제, OT 가시성 확보, 광역 통합관제, 공급망 검증의 네 축을 중심으로 즉각 점검과 제도 개선을 병행해야 한다.
핵심 정리 포인트
- 미네소타 상수도 30곳 이상 동시 침투는 OT 계층을 겨냥한 조정형 공격의 첫 대규모 사례로, 공격의 동기·공급망 사전 정찰 가설이 강하게 제기된다.
- Braham 플랜트 오프라인 사례는 OT 침투가 곧 생활·공중보건 위기로 이어지는 가능성을 실증했다.
- MNIT와 CISA·FBI의 합동 대응은 작동했지만, 연방 규제 사각지대인 소규모 시설의 보안 의존도가 구조적 약점으로 드러났다.
- 한국은 원격접속 점검, 네트워크 분리, OT 로그 통합 모니터링의 즉시 조치와 광역 통합관제·공급망 검증 중심의 중장기 개선을 동시에 추진해야 한다.
참고 자료