산업제어시스템 보안, 의료기기, 숨겨진 사이버 위협

해킹당한 심박조율기, 인슐린 펌프, 커넥티드카, 산업 플랜트, 위성, 전력망 등 모든 것이 사이버 공격의 표적이 되었습니다. 수년간 연구자들은 악의적 행위자가 이러한 시스템을 무기화해 사람을 해치거나 살해할 수 있다고 경고하며 극적인 개념증명을 시연해왔습니다.

헤드라인을 장식하는 이야기들이 주목을 끌지만, 이는 레거시 소프트웨어, 패치되지 않은 OS, 잘못 구성된 네트워크, 구형 펌웨어가 초래하는 일상적 위협을 가릴 수 있습니다. 이러한 흔한 취약점이 여전히 공격자들의 가장 일반적인 진입점입니다.

산업제어시스템(ICS)은 위성 유도, 석유·가스 파이프라인, 공장 자동화 등 모든 분야에 필수적입니다. 검증은 어렵지만 역사적 사건들은 사보타주가 수십 년간 중요 인프라를 교란해왔음을 시사합니다. 예를 들어 전 공군장관 토머스 C. 리드는 트로이목마 악성코드가 시베리아 횡단 가스관을 제어하는 장비에 사용되어 대폭발을 일으켰다고 주장합니다(리드, "심연에서").

Internet of Things World—산업과 IoT 혁신의 만남. 컨퍼런스 패스 확보 시 350달러 할인 및 무료 엑스포 패스 제공, 또는 행사의 IoT 보안 연사 확인.

커넥티드 산업 자산에 대한 사이버 공격은 이제 일상이 되었습니다. IBM Managed Security Services, Kaspersky Lab 등 주요 벤더들이 사고 급증을 보고했습니다. 3월에는 세계 최대 알루미늄 생산업체 Norsk Hydro가 사이버 사고로 유럽과 미국 생산이 중단되었습니다.

이 위협에 대응해 Siemens와 TÜV SÜD는 '디지털 안전 및 보안 평가'라는 공동 이니셔티브를 출범했습니다. Siemens 산업 사이버·디지털 보안 글로벌 총괄 레오 시모노비치 부사장은 "운영 기술(OT) 공격은 셧다운이나 더 나쁜 결과로 이어질 수 있습니다. IT에서는 데이터 손실이 주된 우려지만, OT 침해는 직접적으로 사람의 안전을 위협합니다"라고 말했습니다. 이 파트너십은 에너지 분야 고객에게 사이버 리스크 평가·관리 도구를 제공합니다.

시모노비치는 2017년 사우디 시설에서 Dragos가 발견한 Triton 악성코드를 강조하며, IT에서 OT로, 다시 안전 중요 시스템으로 비교적 쉽게 이동할 수 있었다고 지적했습니다. "그 전환의 용이함이 Triton을 그토록 무섭게 만듭니다."

이러한 사건들은 더 넓은 추세를 보여줍니다. 화려한 '블랙햇' 시나리오가 헤드라인을 장식하지만, 더 현실적인 위협은 2015년 발견된 Kwampirs, 2008년 최초 확인된 Conficker 같은 레거시 악성코드에서 옵니다. "노련한 전문가들도 가장 단순한 도구가 여전히 실제 피해를 줄 수 있음을 인정합니다"라고 MedSec 연구개발 부사장 스테파니 프레스턴 도마스는 말합니다.

2017년 'WannaCry' 랜섬웨어 공격은 Europol이 '전례 없는'이라고 표현했듯, 범용 악성코드가 산업 및 의료 시설을 어떻게 마비시킬 수 있는지 보여주었습니다. 전 세계 약 20만 대 컴퓨터를 감염시키고, 영국 Nissan 공장 가동을 중단시켰으며, Deutsche Bahn 등 운송 사업자에게 큰 혼란을 야기했습니다. 영국 NHS에 약 1억 파운드 손실과 1만 9천 건 예약 취소를 초래했습니다.

'NotPetya' 같은 유사 익스플로잇은 해운 대기업 Maersk에 수억 달러 피해를 입히며 국가급 도구가 야외로 유출될 위험을 부각했습니다. WannaCry와 NotPetya 모두 미국 NSA가 개발한 EternalBlue 익스플로잇을 활용했습니다. 최근 조사에 따르면 중국 정보 요원들이 NSA 파생 도구를 재활용해 독자적 공격에 사용했습니다.

"'악당' 내러티브를 넘어설 필요가 있습니다"라고 도마스는 주장합니다. "사이버 공격이 환자 피해로 이어질 때, 그것은 종종 우발적입니다—다른 시스템 활동의 부작용일 뿐이죠. 초점은 일상적 리스크 완화에 맞춰야 합니다."

OT 보안 연구도 이 견해를 뒷받침합니다. 시모노비치는 대부분의 침해가 어느 정도 인적 오류를 포함하며, 내부자 위협이 산업 부문 공격의 대다수를 차지한다고 지적합니다.

결국 커넥티드 산업 및 의료 환경을 보호하려면 명확한 리스크 인식이 필요합니다. "기술에 정통한 전문가들은 점점 더 인식하고 있지만, 많은 비기술 직원은 여전히 무지합니다"라고 도마스는 말합니다. "리스크 평가와 위협 모델링이 완화 우선순위를 정해야 합니다. 모든 취약점을 고칠 수는 없기 때문입니다."

효과적 리스크 관리는 영향도와 발생 가능성이 가장 높은 위협에 우선순위를 두고, 패치 관리, 네트워크 세그멘테이션, 안전한 펌웨어 업데이트, 견고한 사고 대응 계획 같은 계층적 방어를 구현하는 것입니다.