미국 수도시설 OT 노린 연쇄 사이버 공격, 미네소타 30곳 넘게 피해 후 7월 한 달 100곳 이상으로 확산

무슨 일인가

2026년 7월 26일과 27일 이틀에 걸쳐 미국 미네소타주의 커뮤니티 수도 시스템 30곳 이상이 운영기술(OT, Operational Technology)을 겨냥한 조직적 사이버 공격을 받았다.¹ 미네소타 정보기술서비스(MNIT, Minnesota IT Services)는 7월 28일 주 차원의 사이버 사고 대응 체계를 가동했다고 발표하고, 주 공공안전부와 보건부, 연방 사이버보안·인프라보안국(CISA), 환경보호청(EPA), 연방수사국(FBI), 지역 수도사업자와 함께 봉쇄와 복구를 진행 중이라고 밝혔다.¹

공격은 미네소타에 그치지 않았다. FBI는 7월 30일 공지에서 7월 27일 이후 최소 7개 주의 수도사업자가 사고를 신고했으며 일부는 수도 운영이 저하됐다고 밝혔다.² 8월 들어 언론은 미네소타, 미시간, 조지아, 사우스다코타, 뉴저지 등 최소 12개 주가 영향을 받은 것으로 집계했다.³ CISA는 8월 21일 공개한 노출 축소 지침에서 7월 한 달 동안 상하수도 부문 100곳 이상의 인터넷 노출 시스템을 노린 악성 활동을 관찰했다고 밝혔다.⁴

자세히

CISA는 7월 30일 경보에서 상하수도 부문의 프로그래머블 로직 컨트롤러(PLC, Programmable Logic Controller)를 노리는 위협 행위자가 크게 늘었다고 밝혔다.⁵ 공격자는 노출된 PLC의 비밀번호를 바꿔 운영자를 잠그고, IP 주소를 바꿔 장치를 네트워크에서 끊었다.⁵ 이 활동으로 끓여 마시기 권고와 장기간 수동 운영이 발생했다고 CISA는 적었다.⁵ 규모와 무관하게 성숙한 보안 프로그램을 갖춘 조직까지 표적이 됐으며, 운영자나 공급업체, 시스템 통합업체가 설치해 문서화되지 않은 셀룰러 모뎀이 공격 경로가 될 수 있다는 점도 경고했다.⁵

CISA의 8월 지침은 공격 대부분이 셀룰러 모뎀에 직접 연결된 PLC를 통해 이뤄졌고, 감시·제어 기능 상실과 일부 운영 중단을 일으켰다고 정리했다.⁴ FBI와 EPA의 공지는 표적 장치를 인터넷에 노출된 로크웰 오토메이션(Rockwell Automation)의 앨런브래들리(Allen-Bradley) 마이크로로직스(MicroLogix) 1100·1400 시리즈 PLC로 특정했고, 운영자들은 일부 공격으로 침수와 수압 저하가 발생했다고 FBI에 보고했다.² 로크웰은 같은 날 MicroLogix 1400 대상 공격을 경고하는 보안 권고를 내고, 비밀번호가 바뀐 장치는 전원을 끄고 배터리를 뺐다 다시 끼워 복구하라고 안내했다.²

지역별 피해를 보면 미네소타에서는 사우스세인트폴, 플리머스, 메이플플레인, 브레이엄 네 도시가 공격을 확인했으나 수돗물 안전에는 영향이 없었다고 밝혔다.³ 조지아주 클레이턴카운티 수도국은 7월 27일 운영 시스템 일부와 노스 클레이턴 지역 급수에 일시 장애가 생겨 예방적 끓여 마시기 권고를 내렸고, 수 시간 내 급수를 복구한 뒤 세균 검사에서 음성이 나와 권고를 해제했다.⁶ 뉴저지는 7월 두 건의 사고를 확인했는데, 인터넷에 노출된 장치 때문에 원격 감시가 잠시 막혀 직원이 수동 운영으로 전환했으나 급수 중단은 없었다.³ 사우스다코타 래피드시티는 하수 리프트 스테이션 관련 사고를 보고했고, 미시간주는 소수 지역에서 악성 활동이 있었다고 확인했다.⁷ EPA 대변인은 많은 시스템이 원격 사이트와의 통신 두절로 운영 차질을 겪었다고 말했다.²

맥락과 왜 중요한가

이번 사태는 연방 당국이 이란 연계 행위자의 PLC 공격을 거듭 경고하던 중에 터졌다. CISA·FBI·EPA는 7월 22일 지난 4월 발표한 권고를 갱신해, 이란 연계 행위자가 인터넷에 연결된 OT 장치를 노려 악성 프로젝트 파일을 PLC에 내려받고 HMI·SCADA 화면의 데이터를 조작했으며, 표적이 로크웰에서 슈나이더 일렉트릭(Schneider Electric)과 지멘스(Siemens) 장비로 넓어졌다고 밝혔다.⁸ 다만 미네소타 주정부는 공식 귀속을 하지 않았고, FBI와 CISA의 7월 30일 문서도 특정 행위자를 지목하지 않았다.¹⁵² 와이어드(Wired)가 입수한 수도 분야 정보공유센터(WaterISAC) 보고서에는 미네소타 융합센터가 이번 공격이 미국이 과거 이란과 연결한 캠페인과 '정렬'돼 있다고 판단했다는 내용이 담겼으나, 미국 정부는 공개적으로 이란을 지목하지 않았다.⁷ 체크포인트 리서치(Check Point Research)에 따르면 'APT Iran'이라는 조직이 사이버어벤저스(CyberAv3ngers)와 협력해 미네소타 공격을 했다고 주장했지만 검증되지는 않았다.³

인터넷 노출 규모도 문제다. 센시스(Censys)는 인터넷에 노출된 로크웰 앨런브래들리 호스트가 4,100개 이상, 지멘스가 약 4,100개, 슈나이더 일렉트릭이 2,000개 이상이라고 추산했으며, 노출된 로크웰 장치의 절반 가까이가 버라이즌, AT&T, T모바일, 스타링크 등 통신사 망을 통해 접근 가능했다.⁹ CISA는 노출된 PLC를 즉시 인터넷에서 분리하고, 원격 접속은 VPN이나 게이트웨이를 거치게 하며, 기본 비밀번호 변경, IP 허용 목록, 검증된 PLC 백업 이미지 보관, 셀룰러 모뎀을 포함한 외부 연결 점검을 권고했다.⁵⁴

남은 물음

전미수도회사협회(NAWC)는 의회에 전력 분야의 NERC를 본뜬 수도 위험·복원력 기구 설립 법안을 촉구했고, 미국수도협회(AWWA)는 상·하원 지도부에 예산과 훈련 지원, 정보 공유 개선을 요청했다.³ 뉴욕주는 피해 주에 포함되지 않았지만 수도시설 사이버보안에 900만 달러의 보조금을 발표했다.³ 공격 주체의 공식 귀속, 피해 주와 시설의 전체 목록, 수천 개에 달하는 노출 PLC가 실제로 얼마나 분리됐는지는 아직 확인되지 않았다.⁴⁷

참고한 곳

1. Minnesota IT Services, MNIT activates statewide cybersecurity response to support affected communities and protect critical infrastructure - https://mn.gov/mnit/media/blog/?id=38-761869 ↩ ↩² ↩³

2. Cybersecurity Dive, US authorities see 'significant escalation' in attacks on water system devices - https://www.cybersecuritydive.com/news/us-authorities-escalation-attacks-water-system-devices/826715/ ↩ ↩² ↩³ ↩⁴ ↩⁵

3. Cybersecurity Dive, What we know so far about the hacking campaign against US water systems - https://www.cybersecuritydive.com/news/what-we-know-so-far-about-the-hacking-campaign-against-us-water-systems/828374/ ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

4. CISA, Internet Exposure Reduction Guidance - https://www.cisa.gov/resources-tools/resources/exposure-reduction ↩ ↩² ↩³ ↩⁴

5. CISA, CISA Urges Water and Wastewater Systems Sector to Protect OT Against Activity Targeting PLCs - https://www.cisa.gov/news-events/alerts/2026/07/30/cisa-urges-water-and-wastewater-systems-sector-protect-ot-against-activity-targeting-plcs ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

6. Clayton County Water Authority, Blog - https://www.ccwa.us/Blog.aspx?CID=3 ↩

7. SecurityWeek, US Water Cyberattacks Extend Beyond Minnesota to at Least 6 Other States - https://www.securityweek.com/us-water-cyberattacks-extend-beyond-minnesota-to-at-least-6-other-states/ ↩ ↩² ↩³

8. CISA, CISA, FBI, EPA and U.S. Government Partners Update Warning of Iran-Affiliated Threat Actors Targeting Critical Infrastructure Programmable Logic Controllers - https://www.cisa.gov/news-events/news/cisa-fbi-epa-and-us-government-partners-update-warning-iran-affiliated-threat-actors-targeting ↩

9. BleepingComputer, CISA warns of cyberattacks disrupting US water utilities - https://bleepingcomputer.com/news/security/cisa-warns-of-cyberattacks-disrupting-us-water-utilities ↩