물시설 PLC는 인터넷에 두지 마라 — 전 NSA 국장이 던진 경고

미국 물 인프라를 겨냥한 사이버 공격이 다시 수면 위로 올라왔다. 최소 12개 주의 상수도 시스템이 해킹당했고, 배후로는 이란이 가장 유력하게 지목된다. 전직 4성 장군이자 미국 국가안보국(NSA)을 이끌었던 폴 나카소네는 보안 컨퍼런스 데프콘(DEF CON)에서 기자들과 만나 "우리는 더 높은 기준을 가져야 한다"며 "이런 PLC들은 인터넷에 연결되어 있어서는 안 된다"고 잘라 말했다. 지난 7월 말 미국 연방수사국(FBI)은 PLC를 포함한 운영기술(OT) 장비를 노린 "악성 사이버 행위자"의 공격을 조사 중이라고 밝혔다.

왜 PLC가 문제인가

PLC(프로그래머블 로직 컨트롤러)는 탱크 수위 같은 센서 데이터를 감시하고 펌프를 켜고 끄는 산업 제어 장치다. 물리 세계의 설비를 직접 제어한다는 점에서, 여기에 대한 침입은 단순한 정보 유출이 아니라 급수 중단이나 오염 같은 실질적 피해로 이어질 수 있다. 문제는 이런 장치가 원격 관리 편의를 위해 인터넷에 노출되는 경우가 많다는 점이다. 이란과 연계된 그룹들은 이미 수년간 물 시설의 PLC를 표적으로 삼아왔고, 나카소네가 "인터넷에 연결하지 말라"고 강조한 것도 이 오래된 취약 지점을 정면으로 겨냥한 발언이다.

배후 규명은 아직 조심스럽다. 민간 보안 연구자들 사이에서는 이란을 확신하는 목소리가 크다. 할시온 랜섬웨어 연구센터의 신시아 카이저 수석부사장은 데프콘에서 "이란이 아니라면 오히려 충격일 것"이라며 "거의 확실히 이란"이라고 말했다. 그러나 FBI도, 트럼프 행정부의 누구도 공식적으로 이란을 지목하지는 않았다. 나카소네는 연방 당국이 귀속 판단에 "신중한 접근"을 취하고 있다고 보면서도, "이런 일을 해낼 능력을 입증해온 행위자가 보인다"며 "그들에게는 분명 역량이 있고 의도가 있다. 우리는 이란과 갈등 상태에 있다"고 덧붙였다.

방어가 어려운 진짜 이유

미국 물 시스템이 취약한 근본 원인은 기술이 아니라 구조에 있다. 나카소네는 미국에 약 5만 개의 개별 상수도 자치체가 있고, 국민 물 공급의 90%가 이 5만 곳에서 나온다고 설명했다. 서로 흩어져 있고 오랫동안 예산이 부족했던 이 시설들은 IT 인력이 빈약하며, 전담 보안 담당자가 아예 없는 곳도 적지 않다. 공격 표면은 방대한데 방어 주체는 영세하게 파편화되어 있는 셈이다. 그는 "우리가 마주한 공격 표면을 이야기해보자"며 이 규모 자체가 기존 방식으로는 감당하기 어렵다는 점을 지적했다.

그의 해법은 단일 기관의 통제가 아니라 협력 네트워크다. 나카소네는 2년 전 데프콘에서 시작된 'DEF CON Franklin' 프로젝트를 예로 들었다. 해커들이 자발적으로 시간과 기술을 내어 물 시설 보안을 돕는 프로그램이다. 그는 또 밴더빌트 대학교 국가안보연구소와 '까다로운 문제 연구실(Wicked Problems Lab)'의 창립 이사를 맡고 있으며, 학계와 실무자들이 오픈소스 기술을 기반으로 핵심 인프라 회복력을 높이기 위해 개발 중인 'Project Chimera' 플랫폼에도 참여하고 있다. "어떻게 더 잘 방어하는가? 지금보다 훨씬 더 깊이 관여하는, 일련의 파트너들과 함께 방어하는 것"이라는 그의 말은 이 모든 활동을 관통하는 원칙이다.

한국 실무자가 새겨야 할 지점

이 사안은 미국만의 이야기가 아니다. 한국의 상하수도, 전력, 가스 같은 기반 시설도 지방자치단체나 소규모 공기업 단위로 운영되는 경우가 많아 예산과 전담 인력 부족이라는 동일한 구조적 약점을 안고 있다. 원격 유지보수 편의를 위해 제어 장치를 외부 네트워크에 노출하는 관행, IT와 OT 경계가 흐려지는 흐름 역시 낯설지 않다. "인터넷에서 분리하라"는 조언은 단순하지만, 망 분리와 접근 통제, 노출 자산 상시 점검이라는 기본기가 여전히 가장 확실한 방어선임을 재확인해준다.

다만 이 발언들의 한계도 분명히 해둘 필요가 있다. 이란 배후설은 아직 정부 차원의 공식 귀속이 아니라 전문가들의 정황 판단이며, 공개된 자료에는 침입 경로나 피해 규모의 구체적 수치가 담겨 있지 않다. 협력 모델과 오픈소스 기반 플랫폼이라는 방향성은 설득력이 있지만, 5만 개로 흩어진 영세 시설에 이를 실제로 이식할 재원과 운영 체계를 누가 감당할지는 여전히 열린 질문으로 남는다. 경고의 무게와 별개로, 실행의 부담은 아직 해소되지 않았다.