이란 해킹조직, 영국 발전소 PLC 뚫어 나흘간 마비…美 수처리시설도 동시 공격

[핵심요약] 이란과 연계된 해킹조직이 영국 소규모 발전소의 지멘스 산업제어시스템(PLC)을 뚫고 들어가 나흘간 가동을 중단시켰어요. 같은 시기 미국 12개 주 수처리시설도 동시에 공격받으며 OT 인프라 위협이 현실로 다가왔어요.

2026년 7월, 영국의 한 소규모 발전소가 사이버공격을 받아 나흘간 가동을 멈췄어요. 8월 23~24일 영국 언론과 보안 매체들의 보도로 뒤늦게 알려진 이 사건은 이란과 연계된 해킹조직의 소행으로 지목되고 있어요. 영국 정부는 아직 공식적으로 배후를 특정하지 않았지만, 민간 위협분석가들은 이란 연계 조직의 소행일 가능성이 거의 확실하다고 보고 있어요. 몸값 요구는 없었고, 순수하게 시설 가동을 멈추는 것 자체가 목적인 파괴형 공격이었다는 점이 특징이에요. 영국 내에서 이란발 사이버공격으로 실제 시설이 멈춘 건 이번이 처음이라, 전례 없는 사건으로 받아들여지고 있어요.

무슨 일이 있었나

공격자들이 노린 건 인터넷에 그대로 연결돼 있던 지멘스 S7 계열 PLC(프로그래머블 로직 컨트롤러)였어요. PLC는 발전 설비의 밸브나 모터 같은 물리적 장치를 실제로 움직이는 산업제어시스템(ICS)의 핵심 부품이라, 여기가 뚫리면 화면 속 데이터가 아니라 현실의 기계 자체가 멈춰요. 보안 전문가들은 이번 공격에 AI가 생성한 취약점 공격 스크립트가 쓰인 것으로 보고 있는데, 이는 공격자가 알려진 결함을 찾아 실제 침투 코드로 바꾸는 시간을 크게 단축시켰다는 뜻이에요. 공교롭게도 비슷한 시기인 7~8월 사이 미국에서도 12개 주에 걸쳐 30곳 넘는 지역 상수도·하수처리 시설이 동시다발적으로 침투당하는 사건이 벌어졌어요. 두 사건 모두 지멘스, 록웰 오토메이션, 슈나이더 일렉트릭 같은 산업용 제어장비 제조사의 PLC를 표적으로 삼았다는 공통점이 있어요.

왜 중요한가, 무엇이 위험한가

이번 사건이 특히 위험한 이유는 공격 대상이 데이터가 아니라 물리적 인프라라는 점이에요. 일반적인 랜섬웨어는 파일을 암호화해 몸값을 요구하지만, 이런 OT(운영기술) 공격은 애초에 협상 대상조차 없이 시설을 멈추는 것 자체가 목표예요. 그만큼 대응도 훨씬 어렵고, 피해도 데이터 유출이 아니라 실제 전력 공급 차질로 이어질 수 있어요. 전직 FBI 분석가는 이란 연계 조직들이 이제 폭넓은 운영기술 인프라를 목표로 삼고 있다고 평가했고, 관계 당국은 이를 이론적 위험이 아닌 활발히 진행 중인 위협으로 규정했어요. 이번엔 영향이 해당 발전소 한 곳에 그쳐 국가 전력망 전체로 번지지는 않았지만, 같은 시기 미국 여러 주의 수처리시설이 동시에 뚫렸다는 사실은 이게 산발적 사고가 아니라 조직적인 캠페인이라는 신호로 읽혀요.

비슷한 조직이 대비하려면

OT 보안이 어려운 근본적인 이유는 공장·발전소의 제어장비 대부분이 수명이 긴 레거시 장비라 IT 시스템처럼 수시로 패치하기가 힘들다는 데 있어요. 그래서 업계에서는 패치 자체보다 "애초에 공격자가 PLC까지 도달하지 못하게 막는" 구조적 방어를 더 우선시해요. 가장 기본이 되는 건 PLC나 SCADA 같은 제어장비를 절대 인터넷에 직접 노출시키지 않는 것이고, 그다음이 IT망과 OT망을 물리적·논리적으로 분리하는 제로트러스트 구조예요. 원격 유지보수를 위해 열어둔 접속 경로가 있다면 그 계정에도 다중인증과 접속 시간 제한을 걸어야 해요. AI가 취약점 공격 코드를 만드는 속도가 빨라진 만큼, 방어 쪽도 이상 트래픽을 사람이 뒤늦게 확인하는 방식이 아니라 자동으로 먼저 차단하는 체계로 넘어가야 할 시점이에요.

• 공장이나 사업장의 PLC·SCADA·HMI 장비가 인터넷에서 직접 접속 가능한 상태로 노출돼 있는지 점검해보세요.
• 원격 유지보수용 계정에 다중인증(MFA)과 접속 가능 시간 제한이 걸려 있는지 확인해보세요.
• IT망과 제어망(OT망) 사이에 방화벽이나 물리적 분리 장치 없이 그대로 연결돼 있지 않은지 확인해보세요.
• 제어장비 벤더(지멘스, 록웰, 슈나이더 등)의 최신 보안 권고나 패치 공지를 최근에 확인한 적이 있는지 점검해보세요.
• 이상 트래픽이나 비정상 접속 시도가 감지됐을 때 자동 차단이 아니라 사람이 나중에 확인하는 방식에 의존하고 있진 않은지 점검해보세요.

Q. 발전소 같은 대형 인프라만 해당되는 얘기 아닌가요?

그렇지 않아요. 제조업 공장의 생산라인 제어장비도 구조는 똑같아요. 인터넷에 노출된 PLC나 원격 접속 계정이 있다면 규모와 무관하게 같은 방식으로 뚫릴 수 있어요.

Q. 전산 인력이 1~2명뿐인 중견기업도 이런 공격의 대상이 될 수 있나요?

오히려 더 취약할 수 있어요. AI가 취약점 스캔과 공격 코드 제작 속도를 앞당기면서, 공격자 입장에선 대기업이든 중견기업이든 인터넷에 열려 있는 장비를 찾는 데 드는 노력이 비슷해졌어요. 지키는 인력이 적을수록 노출된 장비를 놓치기 쉬워요.

Q. 몸값 요구가 없었는데도 이런 사고를 랜섬웨어 블로그에서 다루는 이유가 뭔가요?

몸값 유무와 관계없이 공격 경로와 노림수는 랜섬웨어 조직들이 즐겨 쓰는 방식과 사실상 같아요. 자격증명 탈취, 원격 접속 악용, IT·OT망 미분리 같은 약점은 랜섬웨어든 국가 배후 공격이든 똑같이 파고드는 지점이라 함께 짚어볼 가치가 있어요.

몸값 요구조차 없이 시설을 멈추는 것만으로 목적을 달성한 이번 사건은, 방어의 기준을 "돈을 뜯기지 않는 것"에서 "애초에 침투 경로를 주지 않는 것"으로 옮겨야 한다는 걸 보여줘요. 레거시 장비라 패치가 어렵다는 변명은 공격자에게는 아무 상관이 없어요. 같은 시기 대서양 건너 미국 수처리시설까지 동시에 뚫렸다는 사실은, 이게 한 나라만의 문제가 아니라는 걸 말해주고요. 국내 제조업·인프라 담당자들도 우리 회사의 제어망이 인터넷과 몇 겹이나 떨어져 있는지 한 번쯤 점검해볼 시점이에요.

이런 사고를 막으려면 관리자 계정이나 원격 접속 경로가 뚫리더라도 핵심 시스템까지는 공격자가 넘어가지 못하는 물리적 분리 구조가 필요해요. 네트워크 케이블 자체를 단방향으로 분리하는 이중 데이터 다이오드 방식의 디포트리스가 바로 그 역할을 해줘요.