[속보] 미 FBI·EPA “최소 7개 주 상·하수도 PLC 공격”…수압 손실·침수 발생

미국 연방수사국(FBI)과 환경보호청(EPA)이 7월 30일 공개한 공공서비스 경보에 따르면 7월 27일 이후 최소 7개 주의 상·하수도 시설이 운영기술(OT) 장치를 겨냥한 사이버 공격을 신고했다. 일부 시설에서는 물 공급 운영이 저하됐고, 수압 손실과 침수도 발생했다.

공격자는 인터넷에 직접 노출된 Rockwell Automation·Allen-Bradley MicroLogix 1100과 1400 시리즈 프로그래머블 논리제어장치(PLC)에 원격으로 접근했다. 이후 장치의 IP 주소와 비밀번호를 바꿔 운영자가 설비 상태를 보거나 제어하지 못하도록 했다.

피해 규모는 PLC가 감시와 제어 중 어떤 역할을 맡았는지, 시설이 수동 운전으로 전환할 수 있었는지에 따라 달랐다. FBI는 수압 저하로 처리되지 않은 지하수가 관로 안으로 스며들 가능성도 있다고 경고했다. 적어도 한 기관에서는 여러 현장의 래더 로직이 서로 다르게 나타난 뒤 변조된 PLC 프로젝트 파일을 확인했다.

미국 사이버보안·인프라보안국(CISA)도 같은 날 상·하수도 부문의 PLC를 겨냥한 활동이 크게 늘었다고 밝혔다. CISA가 파악한 공격에서는 운영자 계정이 잠기고 PLC의 IP 주소가 변경됐으며, 그 결과 끓여 먹기 권고가 내려지거나 수동 운전이 장기간 이어졌다.

세 기관은 PLC를 공용 인터넷에서 즉시 분리하고, 원격 접속은 VPN이나 보안 게이트웨이를 통하도록 구성하라고 권고했다. 기본 비밀번호를 강력하고 고유한 값으로 바꾸고, 허용된 제어 시스템 장치만 통신할 수 있도록 방화벽 규칙이나 접근제어목록을 적용해야 한다.

운영자는 실행 중인 PLC 프로젝트 파일을 정상 사본과 비교하고, 모뎀과 인간-기계 인터페이스(HMI), 관리 워크스테이션의 로그와 설정도 함께 점검해야 한다. 백업을 복원할 때는 악성 로직이 포함되지 않았는지 먼저 확인하고, 수동 운전과 재해복구 절차도 실제로 작동하는지 시험할 필요가 있다.

이번 다주 공격의 직접 배후는 공개되지 않았다. FBI·EPA 경보와 CISA의 7월 30일 경고는 공격자를 특정하지 않았다. 다만 CISA와 FBI, 국가안보국(NSA) 등은 별도 합동 권고에서 이란 연계 지능형지속위협(APT) 행위자가 미국의 인터넷 연결 PLC를 공격해 운영 장애와 금전 손실을 일으켰다고 밝힌 바 있다. 해당 권고는 7월 22일 공격 대상 범위를 Rockwell뿐 아니라 Schneider Electric과 Siemens 장치 등으로 넓혀 갱신됐다.

별도 합동 권고의 이란 연계 활동과 이번 7개 주 사건이 같은 공격 주체에 의한 것인지는 공식 자료에서 확인되지 않았다. 최신 사건의 조사와 피해 복구가 진행 중인 만큼 기존 위협 정보는 방어 참고 자료로 봐야 하며, 개별 사건의 귀속 근거로 단정해서는 안 된다.

출처: 미국 FBI·EPA 공공서비스 경보 https://www.ic3.gov/PSA/2026/PSA260730.pdf
출처: 미국 CISA 상·하수도 OT 긴급 경고 https://www.cisa.gov/news-events/alerts/2026/07/30/cisa-urges-water-and-wastewater-systems-sector-protect-ot-against-activity-targeting-plcs
출처: 미국 CISA 이란 연계 APT 합동 보안 권고 https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a