미합중국 전역에서 시립 수도 시스템을 겨냥한 조직적 사이버 공격이 잇따라 발생하며 국가 기반시설 보안에 대한 우려가 급격히 고조되고 있다.

최근 미국 사이버보안 및 인프라보안국(CISA), FBI, 환경보호청(EPA)은 여러 주에서 수도 시설이 해커의 표적이 되었으며 일부 지역에서는 끓는 물 경보가 발령되고 시스템이 수동 모드로 전환되는 등 운영 차질이 발생했다고 밝혔다.

이번에 공통으로 공격을 받아 공격 사실을 발표한 미네소타주 내 도시는 Plymouth(플리머스), South St. Paul(사우스세인트폴), Maple Plain(메이플플레인), Braham(브레이엄) 등이다.

현재까지 실제 오염 사례는 보고되지 않았지만, 전문가들은 이번 공격이 최근 수년간 미국 물 인프라를 겨냥한 사이버 위협 중 가장 심각한 수준이라고 평가한다.

해커들은 수도 시설과 산업 공장에서 기계 제어에 사용되는 인터넷 연결 프로그래머블 로직 컨트롤러(PLC)를 집중적으로 노린 것으로 알려졌다.

PLC는 수압, 화학물질 투여, 자동화된 안전 기능 등을 관리하는 핵심 장비로, 공격자가 이를 장악할 경우 물 공급 안정성에 직접적인 위협이 발생할 수 있다.

이번 공격의 첫 신호는 미네소타에서 포착됐다. 미네소타 당국은 약 30개 시립 수도 시스템이 해커의 침입을 받았다고 발표했으며, 내부 보고서에는 해커들이 시스템 압력을 낮춰 수도 공급 오염 가능성을 초래하려 했다는 분석이 담겼다.

이후 위스콘신, 오하이오, 펜실베이니아 등 최소 6~7개 주에서 유사한 침입 시도가 보고되며 공격이 전국적으로 확산된 것으로 확인됐다. 위스콘신주 천연자원부는 “악의적 사이버 행위자가 주 내 시스템에 연결을 시도하고 있으며 즉각적인 조치가 필요하다”고 경고했다.

일부 지역에서는 해커가 인터넷을 통해 원격으로 장비에 접속해 IP 주소와 비밀번호를 변경해 운영자가 모니터링 및 제어 기능을 상실하는 사례도 발생했다.

CISA는 “해커들이 모든 규모의 물 기관을 표적으로 삼고 있다”며 PLC를 인터넷에서 분리하고 강력한 비밀번호 및 접근 제어 목록을 적용할 것을 긴급 권고했다.

미국 정부는 아직 공격의 배후를 공식적으로 특정하지 않았지만, 여러 정보기관은 이란 연계 해커의 개입 가능성을 조사 중이다.

이란은 과거 미국의 석유·가스·수자원 시설을 겨냥한 사이버 공격을 수행한 전력이 있으며, 최근 미·이란 간 군사적 긴장이 고조되는 가운데 관련 경고가 잇따르고 있다.

다만 도널드 트럼프 대통령은 캠프 데이비드에서 기자들과 만나 “미네소타의 무능이 문제”라며 이란 개입설에 회의적인 입장을 보였다. 이에 대해 미네소타 주지사 팀 왈츠는 “트럼프는 배후를 알고 있으며 다른 주도 피해를 입었다는 사실을 알고 있다”며 반박했다.

FBI와 EPA는 배후 규명보다 예방 조치에 초점을 맞추고 있으며, 모든 수도·폐수 유틸리티에 시스템 점검과 보안 강화 조치를 요구하고 있다.

전문가들은 이번 사건이 미국 물 인프라의 구조적 취약성을 드러낸 사례라고 지적한다. 물 분야는 수년간 사이버 보안 예산과 전문 인력 부족으로 어려움을 겪어 왔으며, 많은 시설이 여전히 기본적인 보안 통제조차 갖추지 못한 노후 시스템에 의존하고 있다.

산업 제어 시스템 보안 전문가 브라이슨 보르트는 “이번 공격은 미국의 실제 피해 가능성을 보여주는 경고”라며 “국가 기반시설 보호를 위한 대중의 인식과 대비가 절실하다”고 강조했다. 워터ISAC 역시 전국 유틸리티에 시스템 강화와 보안 점검을 촉구했다.

미국 정부는 현재 공격의 배후를 조사하는 한편, 물 인프라 전반의 보안 체계를 재정비하기 위한 추가 조치를 검토하고 있다.

이번 사건은 사이버 공격이 단순한 데이터 침해를 넘어 물 공급이라는 필수 공공 서비스까지 위협할 수 있음을 보여주며, 국가 기반시설의 디지털 보안 강화가 시급한 과제로 떠올랐다.