“산업제어시스템 공격 급증···실제 사례 통해 보안 강화해야” 캐나다 사이버보안센터

그동안 보안 전문가들은 산업제어시스템을 인터넷에 노출할 경우 정부 연계 위협 그룹이나 해커의 주요 공격 표적이 될 수 있다고 꾸준히 경고해 왔다. 캐나다 정부 산하 사이버보안센터는 최근 상수도 시설, 석유·가스 기업, 농장 등에서 운영에 영향을 미친 공격 사례들을 공개하면서 CISO에게 즉각적인 대응을 촉구했다.

센터는 “개별 기관이 적대 세력의 직접적인 공격 목표가 아니더라도, 해커 그룹이 인터넷에 접근 가능한 ICS 장비를 악용해 언론의 주목을 끌거나 조직의 신뢰를 훼손하고, 나아가 캐나다의 국가 이미지를 약화시키려는 수단으로 삼고 있다”라고 경고했다.

상수도 공급에 영향을 준 사례

캐나다 사이버보안센터가 공개한 한 사건에서는 해커가 한 상수도 사업자의 제어 시스템에 침입해 수압 값을 조작했으며, 이로 인해 일부 고객의 서비스 품질이 저하되는 문제가 발생했다.

이 사건은 최근 몇 년간 미국에서 잇따라 발생한 유사한 사례를 떠올리게 한다. 이란과 연계된 해커 조직 ‘사이버 어벤저스(Cyber Av3ngers)’는 2023년 미국 펜실베이니아주 알리퀴파 상수도관리공사(Municipal Water Authority of Aliquippa)의 산업제어시스템을 장악했다. 해당 시스템 역시 수압 조절에 사용됐으나, 다행히 침입이 조기에 탐지돼 실제 수돗물 공급에는 영향이 없었다.

2021년에는 미국 플로리다주 올즈마의 정수 시설이 해킹당하는 사건이 발생했다. 공격자는 원격제어 프로그램 팀뷰어(TeamViewer)를 통해 제어 시스템에 접속한 뒤, 수처리 과정에서 사용되는 수산화나트륨(가성소다) 농도를 100배 이상 높이도록 값을 변경했다. 다행히 이 공격은 즉시 탐지됐으며, 운영자가 신속히 조치를 취해 피해를 막았다. 샌프란시스코만 일대 일부 지역에 물을 공급하는 또 다른 정수시설에서도 매우 유사한 사건이 보고됐다.

특히 상수도 시설을 대상으로 한 사이버 공격이 지난 1년간 크게 증가했으며, 이란·러시아·중국과 연계됐거나 이들을 지지하는 해커들이 특히 이러한 시스템에 높은 관심을 보이는 것으로 나타났다.

연료탱크 계측기 해킹이 초래할 리스크

캐나다 사이버보안센터에 따르면, 한 캐나다 석유·가스 기업의 자동탱크계측기(ATG)가 인터넷에 노출된 상태에서 공격을 받아, 해커가 수치를 조작하고 허위 경보가 발생하는 사건도 있었다.

ATG는 연료탱크 내부의 연료 수위, 압력, 온도 등을 모니터링하는 장비로, 누출 가능성을 감지하고 대응 조치를 취하도록 설계돼 있다. 해당 장비는 주유소, 발전소, 공항, 심지어 군사기지에 널리 설치돼 있다. 지난해 연구진은 5개 제조사의 6개 ATG 모델에서 심각한 수준의 취약점을 발견했으며, 당시 인증 절차 없이 인터넷에 직접 노출된 ATG가 6,000대 이상이었다고 보고했다.

식품 공급망도 해킹 대상

캐나다 정부 기관이 보고한 3번째 사건은 한 캐나다 농장에서 발생했다. 해커가 곡물 저장 및 건조 시설의 온도와 습도를 제어하는 장비에 침입해 수치를 조작한 것이다. 만약 이 조작이 제때 발견되지 않았다면, 저장된 곡물이 부패하거나 오염되는 등 식품 안전에 심각한 문제가 발생할 가능성이 있었다.

이런 사례는 해커 그룹이나 공격자가 산업 현장의 다양한 조직과 설비를 노릴 수 있음을 보여준다. 일부 경우에는 인명과 건강에 직접적인 피해를 초래할 위험도 존재한다. ICS를 겨냥한 해킹 활동이 증가함에 따라, 미국 사이버보안·인프라보호국(CISA)을 비롯한 여러 정부 기관도 지난해 운영기술(OT) 자산 보유 기업을 대상으로 경보를 발령했다.

오늘날 기업은 대부분 ICS를 원격으로 관리 및 모니터링하고 있다. 그러나 이런 원격 관리는 반드시 다중 인증이 적용된 가상 사설망(VPN) 등 검증된 보안 프로토콜을 통해 수행해야 하며, 제어 인터페이스를 인터넷에 직접 노출해서는 안 된다. 이 원칙은 프로그램논리제어장치(PLC), 원격단말장치(RTU), 감시 제어 및 데이터 수집시스템(SCADA), 인간-기계 인터페이스(HMI), 안전계측시스템(SIS), 빌딩관리시스템(BMS), 산업용 사물인터넷(IIoT) 장비 등 모든 ICS 구성요소에 동일하게 적용된다.

캐나다 사이버보안센터는 이번 경보에서 “주정부와 준주정부는 관할 내 지방자치단체 및 기관들과 협력해 모든 서비스가 체계적으로 목록화 및 문서화되고 적절히 보호받고 있는지 점검해야 한다. 이는 특히 사이버보안 규제의 사각지대에 놓여 있는 상수도, 식품, 제조업 등 분야에서 더욱 중요하다”라고 강조했다.

센터의 이번 경보에는 ICS에 특화된 보안 지침과 더불어, 전반적인 사이버보안 수칙을 담은 여러 참고 문서 링크가 함께 포함됐다.
dl-ciokorea@foundryco.com