CISA·FBI·NSA가 8월 20일 공동 경고를 냈어요. 해커들이 AI로 익스플로잇 스크립트를 짜서 지멘스 S7 제어기를 노리고 있대요. 최소 5개 주 상하수도 시설이 실제로 뚫렸다는 게 핵심이에요.
⚠️ 8월 20일, 미국 사이버보안·인프라보안국(CISA)과 FBI, 국가안보국(NSA)이 같이 경고문을 냈어요. 내용이 좀 서늘합니다. 해커들이 AI를 써서 익스플로잇 스크립트를 만들고, 그걸로 인터넷에 노출된 지멘스 S7 시리즈 PLC를 공격하고 있다는 거예요.
PLC가 뭔지 낯설 수 있는데요, 프로그래머블 로직 컨트롤러라고 해서 물리적인 설비를 자동으로 돌리는 작은 산업용 컴퓨터예요. 정수장에서 염소 투입량을 조절하고, 발전소에서 밸브를 여닫고, 공장 라인을 움직이는 게 다 이 친구들 몫이죠. 에너지, 상하수도, 제조, 농업까지 안 걸친 데가 없어요.
근데 여기서 좀 짚고 넘어가야 할 게 있어요. 이번 공격에 쓰인 AI가 무슨 대단한 자율 해킹 에이전트는 아니에요. 공개된 정보를 긁어모아서 익스플로잇 스크립트를 생성해주는 정도예요. 구식 펌웨어를 돌리는 취약한 제어기를 찾아내고, 그게 어떻게 작동하는지 파악하는 데 AI를 도구로 쓴 거죠. 사건 대응 전문가도 "이 시스템들은 원래부터 심각하게 취약했다"고 짚었어요. 자물쇠가 원래 헐거웠는데, AI가 자물쇠 찾는 속도를 확 올려준 셈이에요.
실제 피해도 있었어요. 7월 26일부터 30일 사이, 공격자들이 상하수도 시설을 운영·감시하는 인터넷 연결 장비에 원격 접속했어요. 미네소타, 미시간, 아칸소, 조지아, 뉴저지 — 최소 다섯 개 주에서 확인됐고요. 뉴저지 케이프메이에서는 7월 27일 새벽 1시 30분에 경보가 울렸는데, 해커가 수도부 컴퓨터 시스템 IP 주소를 바꿔버려서 담당자들이 한동안 자기 시스템에서 잠겨버렸다고 해요 ⏰. 새벽 한 시 반에 그 알람 받은 담당자 심정이 어땠을까 싶어요.
배후로는 이란 연계 해커 그룹이 지목되고 있어요. 사실 이게 갑자기 튀어나온 얘기는 아니에요. 올해 4월에도 CISA와 FBI가 이란 관련 APT 그룹이 미국 주요 인프라의 인터넷 노출 PLC를 노린다고 공동 경고를 냈었거든요. 그러니까 같은 흐름이 넉 달 만에 한 단계 더 올라온 거죠. 달라진 건 이제 AI가 공격 도구 체인에 확실하게 편입됐다는 점이에요.
CISA가 내놓은 권고는 사실 아주 단순해요. "이런 장비를 인터넷에서 떼어내라." 몇 년째 반복해서 말하고 있는 내용이에요. 근데 왜 안 고쳐지느냐 하면, 미국 상하수도 사업자 상당수가 인력 몇 명으로 굴러가는 소규모 지자체 조직이라 전담 보안 담당자가 아예 없는 경우가 많거든요. 원격 관리가 편해서 그냥 인터넷에 물려두고 쓰는 거고요.
개인적으로 이 뉴스에서 제일 무서운 건 공격 기법의 정교함이 아니라 비대칭성이에요. 방어하는 쪽은 여전히 예산과 사람이 부족한 지자체인데, 공격하는 쪽은 AI로 취약 장비 탐색과 스크립트 작성을 자동화해서 비용을 계속 낮추고 있어요. 이 격차가 벌어지는 속도가 문제인 거죠 📉. 그동안 "AI 사이버 위협"이라고 하면 좀 막연한 미래 얘기처럼 들렸는데, 이번엔 정부 기관 세 곳이 실제 침해 사례를 붙여서 발표했다는 게 결이 달라요.
한국도 남 얘기는 아니에요. 국내 정수장이나 산업 설비에도 지멘스 S7 계열 PLC가 널리 쓰이거든요 🇰🇷. 인터넷에 노출된 채로 방치된 제어기가 얼마나 되는지, 이번 기회에 한 번쯤 훑어봐야 하지 않을까 싶네요.
출처