자산 목록에 없는 것은 스캔되지 않는다 — 상수도 PLC 사건이 알려 주는 OT 노출 관리

들어가며 — 끓여 먹으라는 안내문이 나오기까지
경보가 관찰한 행위와 관찰하지 않은 것
귀속 주장과 기술 권고를 분리해서 읽기
자산 목록에 없는 셀룰러 모뎀
완화 조치의 순서가 왜 그 순서인가
아무도 준비해 두지 않는 복구 전제 조건
수동 운전 능력은 훈련이 아니라 보안 통제다
IT 보안 습관이 OT에서 실패하는 지점
참고 자료

들어가며 — 끓여 먹으라는 안내문이 나오기까지

2026년 7월 30일, 미국 CISA가 상하수도 부문에 대한 경보를 냈습니다. 첫 문장은 이렇습니다. 상하수도 부문의 PLC를 표적으로 삼는 위협 행위자가 크게 늘어나는 것을 현재 관찰 중이며, 공개적으로 노출된 PLC와 그 밖의 운영 기술을 가능한 한 빨리 인터넷에서 제거하라는 것입니다.

이 경보가 다른 보안 뉴스와 다른 점은 결과가 데이터가 아니라 물이라는 점입니다. 원문은 이 활동이 끓임 안내와 장기간의 수동 운전으로 이어졌다고 적습니다.

이 글은 CISA 경보문과 그 경보가 참조하는 CISA 팩트시트를 직접 읽고 정리한 것입니다. 뉴스 요약이 아니라, 권고문에 적힌 순서와 이유를 따라가면서 그것이 왜 그 순서인지 설명해 보려 합니다.

경보가 관찰한 행위와 관찰하지 않은 것

먼저 사실 관계를 정확히 옮깁니다. 경보문이 관찰한 위협 행위는 두 가지입니다.

노출된 PLC를 표적으로 삼은 행위자들은 비밀번호를 바꿔 운영자를 잠갔고, IP 주소를 바꿔 PLC를 끊어 놓았습니다.

이 두 문장이 중요한 이유는 여기에 익스플로잇이 없기 때문입니다. 제로데이도 없고, 메모리 손상도 없고, 정교한 페이로드도 없습니다. 인터넷에 노출된 장비의 관리 인터페이스에 접근해서 설정을 바꾼 것이 전부입니다.

경보문은 노출된 OT 자산의 위험을 이렇게 나열합니다. 훼손, 설정 변경, 운영 중단, 그리고 심각한 경우 물리적 손상입니다.

그리고 표적 범위에 대해서는 이렇게 씁니다. 위협 행위자들은 규모를 가리지 않고 모든 상수도 기관을 노리고 있으며, 성숙한 사이버보안 프로세스를 갖춘 조직도 자신의 외부 연결을 검증해야 한다는 것입니다.

귀속 주장과 기술 권고를 분리해서 읽기

이 사안에는 언론 보도가 따라붙었습니다. The Register가 2026년 8월 7일 "상수도 시스템 컨트롤러는 인터넷에 있으면 안 된다고 전직 NSA 국장이 말했다"는 제목의 기사를 냈고, 제목에 이란 소행 의심이 언급되어 있습니다.

여기서 두 가지를 분명히 해 둡니다.

첫째, 저는 그 기사 본문을 직접 읽지 못했습니다. 접근이 차단되어 있었고 아카이브에도 남아 있지 않았습니다. 그래서 이 글에서는 그 기사의 구체적인 주장을 재진술하지 않습니다.

둘째, 그리고 더 중요한데, CISA 경보문 자체는 어떤 국가나 조직도 지목하지 않습니다. 관찰된 행위와 권고만 적혀 있습니다.

이 구분은 실무적으로 의미가 있습니다. 귀속은 정보기관과 수사기관의 영역이고, 공개 발언은 콘퍼런스 발표나 인터뷰 형태로 나오며, 신뢰 수준이 문서마다 다릅니다. 반면 여러분이 취해야 할 조치는 귀속과 무관하게 동일합니다. 누가 했는지 확정되기를 기다리면서 노출된 PLC를 그대로 두는 것은 아무런 이득이 없습니다.

보고서를 읽을 때 "이 문서가 관찰한 것", "이 문서가 추정한 것", "다른 사람이 주장한 것"을 세 칸으로 나눠 두는 습관을 권합니다. 보안 분야에서는 이 세 가지가 유통 과정에서 자주 뒤섞입니다.

자산 목록에 없는 셀룰러 모뎀

경보문에서 가장 실무적으로 유용한 문장은 이것입니다.

이 표적 활동에는 운영자, 벤더, 또는 시스템 통합업체가 설치한 셀룰러 모뎀이 포함되며, 이들은 문서화되어 있지 않거나 정기적인 공격 표면 스캔에 포함되지 않았을 수 있다는 것입니다.

이 한 문장에 OT 보안의 구조적 문제가 압축되어 있습니다.

공격 표면 스캔은 대개 자산 목록에서 출발합니다. 알고 있는 IP 대역, 알고 있는 도메인, 알고 있는 회선을 훑습니다. 그런데 셀룰러 모뎀은 통신사 IP를 받습니다. 여러분 회사의 IP 대역에 없습니다. 방화벽을 거치지 않습니다. 네트워크 다이어그램에도 없습니다.

게다가 이 모뎀은 대개 여러분이 설치하지 않았습니다. 펌프 제조사 엔지니어가 원격 진단을 위해 달아 두었거나, 통합업체가 시운전 편의를 위해 붙였다가 떼지 않았거나, 야간 호출을 줄이려고 현장 담당자가 직접 달았습니다. 세 경우 모두 좋은 의도이고, 세 경우 모두 IT 부서는 모릅니다.

찾는 방법은 스캔이 아니라 조사입니다.

원격 지원 계약이 있는 모든 벤더에게 현장에 설치한 통신 장비 목록을 서면으로 요구합니다.
통신사 청구서를 확인합니다. 회선 요금은 사라지지 않기 때문에 잊힌 모뎀의 가장 확실한 흔적입니다.
각 현장을 물리적으로 확인합니다. 캐비닛 안의 안테나는 다이어그램에 없어도 눈에는 보입니다.
Shodan이나 Censys 같은 검색 엔진에서 조직명, 도시명, 알려진 장비 배너로 검색합니다. CISA도 Stuff Off Search 페이지에서 같은 접근을 안내합니다.

이 작업에는 도구보다 권한이 필요합니다. 벤더에게 물어볼 수 있는 위치, 현장에 갈 수 있는 위치, 청구서를 볼 수 있는 위치여야 합니다.

완화 조치의 순서가 왜 그 순서인가

경보문의 권고는 네 항목이고 순서에 의미가 있습니다.

1. PLC를 인터넷에서 분리한다. 운영 목적의 원격 접근은 PLC에 직접이 아니라 VPN이나 게이트웨이 장비를 거쳐야 합니다.

2. 비밀번호 보호를 활성화하고 기본 비밀번호를 바꾼다.

3. IP 허용 목록을 적용한다. 알려진 엔지니어링 노트북이나 그 밖의 핵심 OT 자산에서만 원격 접근이 되도록 제한합니다.

4. PLC를 인터넷에서 분리한 뒤, 비밀번호가 변경되어 잠기는 상황에 대비해 깨끗한 것으로 확인된 PLC 이미지 백업을 확보한다.

1번이 2번보다 먼저인 것이 핵심입니다. 우리는 보통 반대로 합니다. 비밀번호부터 강화하고, 다중 인증을 붙이고, 그러고 나서 네트워크를 정리합니다. IT 자산에서는 그게 합리적입니다.

OT에서는 아닙니다. 이유는 CISA의 OT 완화 팩트시트(2025년 5월 6일자, CISA와 FBI, EPA, DOE 공동)에 적혀 있습니다. OT 장비는 현대적 위협에 견디는 인증과 인가 방식 자체가 없고, 공개 IP 대역에서 열린 포트를 검색하는 것만으로 빠르게 발견된다는 것입니다. 같은 문서는 위협 행위자들이 "브라우저만 있으면 누구나 쓸 수 있는 단순하고 반복 가능하며 확장 가능한 도구"를 쓴다고 씁니다.

즉 비밀번호를 강화해도 그 인터페이스가 인터넷에 있는 한 위험의 성격이 근본적으로 바뀌지 않습니다. 반대로 인터넷에서 빼면 나머지 세 항목의 난이도가 전부 내려갑니다. 노출 제거가 다른 통제를 유효하게 만드는 전제 조건입니다.

아무도 준비해 두지 않는 복구 전제 조건

네 번째 권고를 다시 읽어 볼 가치가 있습니다.

"PLC를 인터넷에서 분리한 뒤, 변경된 비밀번호로 잠기는 경우에 대비해 깨끗한 것으로 확인된 PLC 이미지 백업을 확보하십시오."

이 문장이 왜 필요한지는 관찰된 공격 행위와 짝지어 읽으면 명확합니다. 공격자가 한 일이 비밀번호를 바꿔 운영자를 잠근 것이었습니다. 즉 여러분이 되찾아야 하는 것은 데이터가 아니라 장비에 대한 접근 권한입니다.

경보문은 여기에 대해 구체적인 참고 자료까지 붙여 두었습니다. Rockwell Automation MicroLogix 1400 PLC의 소유자, 운영자, 통합업체는 비밀번호를 모를 때 컨트롤러 접근을 복구하는 방법에 대한 Rockwell의 공지를 참고하라는 것입니다. 특정 모델명이 권고문에 등장한다는 사실 자체가, 이 시나리오가 가정이 아니라 실제로 발생하고 있음을 보여 줍니다.

실무적으로 준비해 두어야 할 것은 이렇습니다.

각 PLC의 현재 프로그램과 설정을 내려받은 파일, 그리고 그것이 언제 어떤 상태에서 받은 것인지의 기록
그 파일이 실제로 복원 가능한지 검증한 이력 (받아만 두고 복원해 본 적 없는 백업은 백업이 아닙니다)
벤더별 비밀번호 복구 절차와, 그 절차가 공장 초기화를 요구하는지 여부
공장 초기화가 필요하다면, 초기화 후 프로그램을 다시 넣는 데 걸리는 시간과 그 시간 동안의 운전 계획

마지막 항목이 IT 백업과 가장 다른 지점입니다. 서버는 복구되는 동안 서비스가 멈추면 됩니다. 정수장은 복구되는 동안에도 물을 계속 보내야 합니다.

수동 운전 능력은 훈련이 아니라 보안 통제다

그래서 CISA 팩트시트의 다섯 번째 완화 조치가 나옵니다. OT 시스템을 수동으로 운전하는 능력을 훈련하고 유지하라.

원문 표현으로, 사고 직후 신속하게 운영을 복구하기 위해 수동 제어로 되돌릴 수 있는 능력이 필수적이며, 사업 연속성 계획과 재해 복구 계획, 페일세이프 장치, 아일랜딩 능력, 소프트웨어 백업, 예비 시스템을 정기적으로 시험해 사고 시 안전한 수동 운전이 가능하도록 해야 한다는 것입니다.

이 항목을 보안 통제 목록에 넣는 것이 낯설게 느껴진다면, 경보문이 관찰한 결과를 다시 보세요. 이 사건의 실제 영향은 끓임 안내와 장기간의 수동 운전이었습니다. 수동 운전이 가능했기 때문에 물 공급이 멈추지 않은 것입니다.

보안 투자를 이야기할 때 우리는 대개 예방에 예산을 씁니다. 그런데 OT에서 실제로 피해를 결정하는 것은 예방의 완성도가 아니라 자동 제어를 잃었을 때 얼마나 오래 버틸 수 있는가입니다. 그리고 그 능력은 문서로 확보되지 않습니다. 사람이 손으로 해 본 적이 있어야 확보됩니다.

IT 보안 습관이 OT에서 실패하는 지점

마지막으로 이 사건에서 일반화할 수 있는 것을 정리하겠습니다.

첫째, 패치 우선 사고가 통하지 않습니다. 관찰된 공격에 익스플로잇이 없었습니다. 취약점 관리 프로그램을 아무리 잘 돌려도 "노출된 관리 인터페이스에 기본 비밀번호"라는 문제는 CVE 번호를 갖고 있지 않습니다.

둘째, 자산 목록이 통제의 상한입니다. 셀룰러 모뎀 사례가 보여 주듯, 모르는 자산에는 어떤 통제도 적용되지 않습니다. 그리고 OT 환경의 자산 목록은 IT보다 훨씬 자주 틀립니다. 설치 주체가 여러 곳이고, 수명이 수십 년이며, 문서화 관행이 다르기 때문입니다.

셋째, 공급망이 곧 접근 경로입니다. CISA 팩트시트는 잘못된 설정이 표준 운영 중에, 시스템 통합업체에 의해, 관리 서비스 제공자에 의해, 또는 제조사의 기본 제품 설정으로 유입될 수 있다고 명시하고, 이들과 정기적으로 소통할 것을 권고합니다. 원격 지원 계약은 편의 기능이 아니라 신뢰 경계의 확장입니다.

넷째, 복구 목표를 서비스 수준이 아니라 물리 결과로 정의해야 합니다. 시스템 가용성 99.9퍼센트가 아니라 "끓임 안내를 며칠 안에 해제할 수 있는가"입니다. 이 번역이 되어 있지 않으면 경영진과의 대화가 성립하지 않습니다.

인터넷에 붙어 있으면 안 되는 것이 정말로 존재합니다. 그리고 그 판단은 편의성 논쟁이 아니라, 그 장비가 잘못 동작했을 때 무슨 일이 일어나는가에서 출발해야 합니다.

참고 자료

본문의 인용은 전부 위 CISA 문서 두 건에서 옮긴 것입니다. 언론 보도에 등장한 귀속 주장은 원문을 확인하지 못해 재진술하지 않았습니다.