물 인프라 PLC를 노린 공격, CISA 경보가 던지는 실무 과제

미국 사이버보안·인프라보안국(CISA)이 상수도 및 하수처리 시스템에서 사용되는 PLC(프로그래머블 로직 컨트롤러)를 겨냥한 위협 행위자의 활동을 경고했다. PLC는 펌프, 밸브, 약품 주입 설비 같은 물리 장비를 직접 제어하는 산업용 제어장치로, 사무용 IT 시스템과 달리 한 번 오작동하거나 조작되면 수돗물 공급이나 수질 자체에 영향을 줄 수 있다. 이번 경보의 핵심은 특정 소프트웨어 취약점이 아니라, 이런 제어장치가 인터넷에 그대로 노출된 채 운영되고 있다는 구조적 문제에 있다. 인터넷 관측 데이터를 수집하는 Censys는 경보에서 지목된 각 제조사별로 현재 외부에 드러난 노출 현황을 함께 정리했다.

왜 하필 물 인프라인가

상하수도 분야는 공격 표면이 넓으면서도 방어 역량이 고르지 않은 대표적인 영역이다. 대형 광역상수도부터 소규모 지자체·민간 정수장까지 운영 주체가 다양하고, 상당수 시설은 전담 보안 인력이나 예산이 부족하다. 그러다 보니 원격 유지보수나 무인 운전 편의를 위해 제어장치를 외부 네트워크에 연결해 두는 경우가 적지 않다. 위협 행위자 입장에서는 고도의 취약점 연구 없이도 노출된 장비를 찾아 접근을 시도하는 것만으로 실질적인 성과를 낼 수 있다는 뜻이다. CISA가 이 분야를 반복적으로 지목하는 배경에는 바로 이런 낮은 진입 장벽이 있다.

인터넷에 노출된 PLC가 위험한 이유

PLC를 비롯한 OT(운영기술) 장비는 애초에 폐쇄망 환경을 전제로 설계된 경우가 많다. 그래서 강력한 인증이나 암호화 통신 같은 기본적인 보안 기능이 취약하거나 아예 없고, 초기 설정 계정이 그대로 쓰이는 사례도 흔하다. 이런 장비가 관리 편의를 위해 공인 IP로 노출되면, 별다른 침투 과정 없이 관리 인터페이스에 도달할 수 있는 상태가 된다. Censys 같은 인터넷 스캐닝 플랫폼이 제조사별 노출 규모를 집계해 보여주는 것은, 방어자와 공격자 모두가 동일한 방식으로 이 공격 표면을 관찰할 수 있음을 의미한다. 결국 외부에서 보이는 장비는 이미 잠재적 표적 목록에 올라 있다고 봐야 한다.

제조사별 노출 현황을 정리한 데이터는 위협의 범위를 가늠하는 데 유용하다. 어떤 벤더의 장비가 얼마나 인터넷에 드러나 있는지를 보면, 특정 제품군을 노린 캠페인이 왜 효과적일 수 있는지 이해할 수 있다. 다만 노출되었다는 사실이 곧 침해나 취약점을 뜻하지는 않는다는 점은 분명히 구분해야 한다. 노출은 공격 가능성을 높이는 조건일 뿐, 그 자체가 사고를 의미하는 것은 아니다.

한국 운영자가 점검해야 할 것

국내 상하수도 운영 기관과 관련 엔지니어링 업체에도 이 경보는 남의 일이 아니다. 가장 먼저 할 일은 자산 목록 정비다. 어떤 PLC와 HMI가 어디에 설치되어 있고, 그중 무엇이 외부 네트워크와 닿아 있는지를 정확히 파악하지 못하면 어떤 대응도 출발점을 잃는다. 그다음은 불필요한 인터넷 노출 제거다. 원격 접근이 반드시 필요하다면 장비를 직접 노출하는 대신 VPN이나 별도의 접근 통제 계층을 두고, 초기 설정 계정과 기본 비밀번호는 예외 없이 변경해야 한다. IT망과 OT망을 분리하고 그 경계를 통제하는 네트워크 세분화 역시 기본 원칙으로 다뤄야 한다.

이번 경보를 읽을 때 유의할 한계도 있다. 공개된 요약은 위협의 존재와 노출 현황을 알리는 데 초점이 맞춰져 있을 뿐, 구체적인 공격 기법이나 침해 지표까지 상세히 담고 있지는 않다. 또한 외부 스캐닝으로 확인되는 노출 규모는 특정 시점의 관측값이며, 방화벽 뒤에 가려진 장비나 반대로 최근 새로 연결된 장비를 완벽히 반영하지는 못한다. 따라서 이 자료는 위험을 가늠하는 출발점으로 삼되, 실제 대응은 각 기관이 자기 환경을 직접 조사한 결과 위에서 이뤄져야 한다. 결국 노출을 줄이고 접근을 통제하는 기본기가, 정교한 위협 대응 기술보다 먼저 갖춰야 할 방어선이다.