뉴저지 상수도 시스템 잇단 사이버 공격…“해커들, 정확히 무엇을 하는지 알고 있다”

케이프메이·우드바인 제어시스템 공격받아…수동 전환으로 단수·수질 피해 막아

고트하이머 의원 “AI로 소도시 기반시설 공격 쉬워져”…초당적 사이버 방어 법안 추진

뉴저지를 비롯한 미국 전역의 상수도 시스템을 겨냥한 사이버 공격이 잇따르면서 주민들의 생명과 직결된 수도·전력 등 핵심 기반시설의 보안에 비상이 걸렸다. 최근에는 뉴저지 남부 케이프메이와 우드바인의 상수도 시스템이 사이버 공격을 받아 일부 원격 감시·제어 기능이 마비됐으며, 연방수사국(FBI)은 여러 주에서 발생한 관련 사건을 수사하고 있다.

뉴저지 제5선거구의 조쉬 고트하이머 연방하원의원은 12일 이번 공격을 단순한 해킹 장난으로 봐서는 안 된다고 경고했다. 그는 공격 세력이 상수도와 전력망 같은 미국의 핵심 기반시설을 겨냥해 전문적으로 움직이고 있다며, 특히 인공지능(AI)의 발전으로 공격자들이 보안이 취약한 소규모 지방정부의 시스템을 찾아내 공격하기가 더욱 쉬워지고 있다고 지적했다.

뉴저지 사이버보안 및 통신통합센터(NJCCIC)의 마이클 게라티 국장에 따르면 케이프메이와 우드바인에서 발생한 공격은 물탱크 수위와 수압 등을 확인하고 펌프와 밸브를 관리하는 디지털 모니터링·제어 시스템의 정상적인 사용을 제한했다. 이에 현장 직원들이 직접 밸브를 돌리고 펌프를 작동하는 수동 방식으로 전환해야 했다. 다행히 직원들이 이상을 신속히 발견해 대응하면서 실제 상수도 공급 중단이나 식수 안전 문제로 이어지지는 않았다.

당국과 고트하이머 의원 측은 최근 공격들이 이란과 연계된 사이버 세력과 관련돼 있을 가능성에 주목하고 있다. 다만 다른 공격 세력이 비슷한 수법을 모방했을 가능성도 조사되고 있다. 고트하이머 의원실에 따르면 최근 약 2주 동안 뉴저지를 포함해 최소 12개 주의 상수도 시스템이 공격 대상이 됐으며, FBI는 최소 7개 주에서 발생한 사건을 조사 중이다. 사이버보안·인프라보안국(CISA)과 환경보호청(EPA), FBI도 상수도 사업자들에게 시스템 보안을 즉각 강화하도록 권고했다.

특히 소규모 지방정부의 취약성이 문제로 지적된다. 미국에는 약 15만개의 공공 상수도 시스템이 있으며 이 가운데 97%가 소규모 지역사회를 담당하고 있는 것으로 전해졌다. 뉴저지에도 600개가 넘는 지역 상수도 시스템이 운영되고 있다. 상당수 소규모 수도시설은 전담 사이버보안 인력이 부족하고 오래된 제어장치와 소프트웨어를 사용하는 경우가 있어 외부 공격에 상대적으로 취약할 수 있다는 것이 관계자들의 설명이다.

이에 고트하이머 의원은 수도와 전력 등 핵심 기반시설의 사이버 방어를 강화하는 ‘Critical Infrastructure Security Plan’을 발표했다. 핵심에는 중소 규모 상수도·전력 사업자들이 고성능 AI 보안도구를 무료로 활용해 취약점을 찾아낼 수 있도록 하는 초당적 **‘AI Cyber Defense Act’**와 CISA에 소규모 기반시설을 위한 전담 신속대응·위협통보 체계를 구축하는 법안이 포함됐다. 그는 또 CISA와 EPA, FBI에 최근 공격을 받은 상·하수도 시설에 사고대응 전문가와 기술지원을 즉각 확대할 것을 요구했다.

일부 지방정부는 인터넷을 통한 공격 자체를 차단하기 위한 조치에도 나서고 있다. 버겐카운티 파크리지 관계자들은 일부 상수도 밸브 제어시스템을 인터넷과 분리된 폐쇄형 방식으로 운영해 외부에서 접근할 수 없도록 하고 있다고 밝혔다. 뉴저지 주의회에서도 지방정부가 상수도 사이버보안 강화에 필요한 재원을 확보할 수 있도록 지원하는 방안이 논의되고 있다.

이번 공격은 실제 식수 오염이나 대규모 단수로 이어지지는 않았지만, 해커들이 수도시설의 핵심 제어시스템에 침입할 수 있다는 사실 자체가 심각한 경고로 받아들여지고 있다. 전문가와 정치권은 AI 기술이 공격자의 능력을 확대하는 동시에 방어수단으로도 활용될 수 있는 만큼, 노후 시스템 교체와 인터넷 연결 최소화, 실시간 위협 탐지 등 지방 상수도 시설의 사이버보안 강화가 시급하다고 지적하고 있다.