핵심 인프라 SCADA 공격: 전력망과 수처리 시설이 해커의 표적이 되고 있다

보이지 않는 전쟁터

전력망, 수처리 시설, 가스 파이프라인, 교통 시스템. 우리가 매일 쓰는 이 핵심 인프라는 SCADA(Supervisory Control and Data Acquisition) 시스템으로 제어됩니다.

문제는 이 시스템들이 인터넷과 연결되는 상황을 전제로 설계되지 않았다는 점입니다. 보안보다 가용성과 안정성을 앞세운 설계는 지금의 사이버 위협 앞에서 약합니다.

주요 사례

Colonial Pipeline (2021)

2021년 5월 7일, 미국 동부 연료의 절반 가까이를 나르는 Colonial Pipeline이 DarkSide 랜섬웨어 공격을 받고 운영을 멈췄습니다. 회사는 비트코인 75개, 당시 약 440만 달러를 몸값으로 냈습니다. 운전자들이 주유소로 몰리면서 연료 부족이 이어졌습니다.

미국 법무부는 한 달 뒤 몸값 가운데 비트코인 63.7개(약 230만 달러)를 회수했다고 발표했습니다.

우크라이나 전력망 (2015, 2016, 2022)

2015년 12월, 우크라이나 지역 배전 회사 세 곳이 원격 침입을 받아 약 22만 5천 명의 고객이 정전을 겪었습니다. 세 회사 네트워크에서는 BlackEnergy 악성코드가 발견됐지만, CISA는 이 악성코드가 정전에 어떤 역할을 했는지는 확인되지 않았다고 적었습니다.

2016년 12월에는 Industroyer 악성코드가 수도 키이우 일부 지역의 전력을 1시간가량 끊었습니다. 2022년 4월, 러시아 군 정보기관(GRU) 소속으로 알려진 Sandworm은 새 변종 Industroyer2로 우크라이나 고압 변전소를 공격하려 했습니다. ESET은 우크라이나 CERT-UA와 함께 이 공격을 분석했습니다.

올즈마 수처리 시설 (2021)

2021년 2월, 플로리다 올즈마 수처리 시설의 SCADA 화면에서 수산화나트륨(NaOH) 농도가 100ppm에서 11,100ppm으로 111배 올라갔습니다. 운영자가 곧바로 알아채고 원래대로 되돌렸습니다. CISA는 이 사건을 SCADA 시스템 무단 접근으로 보고 권고문을 냈습니다.

다만 사건 당시 시 관리자였던 Al Braithwaite는 2023년 3월 한 토론회에서 외부 해킹이 아니라 직원의 실수였다고 말했습니다. FBI가 외부 접근 증거를 찾지 못했다는 설명이었지만, FBI는 수사 결론에 대한 언급을 거부했습니다. 원인을 두고 공식 기관의 최종 결론은 공개되지 않았습니다.

SCADA 취약점

레거시 프로토콜: Modbus, DNP3 등은 설계상 인증·암호화가 없습니다
에어갭 신화: OT 네트워크가 IT와 연결되면서 물리적 분리가 무너지고 있습니다
패치 어려움: 24시간 돌아가는 설비라 멈추고 업데이트할 시간을 잡기 어렵습니다
긴 수명: 수십 년씩 쓰는 장비가 많아 최신 보안 기능을 넣기 어렵습니다

방어 전략

IT/OT 분리: 네트워크 세그멘테이션으로 IT-OT 경계를 강화합니다
OT 전용 모니터링: Claroty, Dragos 같은 ICS 보안 솔루션을 도입합니다
접근 통제: OT 시스템 원격 접근에는 다단계 인증을 필수로 둡니다. 올즈마 사례에서 CISA는 허술한 비밀번호 관리와 지원이 끝난 운영체제(Windows 7)를 약점으로 짚었습니다
사고 대응 계획: OT 환경에 맞춘 사이버 사고 대응 훈련을 합니다
공급망 보안: 제어 시스템 벤더의 보안을 검증합니다

참고