|
미국의 소프트웨어 전문매체 더레지스터에 따르면 NSA와 사이버보안·인프라보안국(CISA), 연방수사국(FBI), 에너지부(DOE), 환경보호청(EPA) 등 5개 연방기관은 19일(현지시간) 공동 보안권고문을 통해 공격자들이 인터넷에 노출된 지멘스 S7 시리즈 PLC를 겨냥해 AI가 생성한 익스플로잇(취약점 공격) 스크립트를 사용하고 있다고 밝혔다. 이들 기관은 “이는 이론적인 위험이 아니라 실제로 진행 중인 위협”이라고 강조했다.
이번 공격의 핵심은 오픈소스 산업자동화 라이브러리와 AI 코딩 어시스턴트의 결합이다. 공격자들은 snap7.dll·python-snap7 같은 오픈소스 라이브러리를 AI와 함께 활용해, 운영기술(OT) 모니터링 소프트웨어처럼 위장한 맞춤형 도구를 제작하고 있다. 이 도구는 S7comm 프로토콜을 통해 PLC 장치의 메모리와 설정 데이터, 래더 로직 프로그램에 대한 읽기·쓰기 접근 권한을 확보하는 데 쓰인다. 공격자들은 센시스(Censys)와 줌아이(ZoomEye) 같은 인터넷 스캐닝 서비스를 이용해 오래된 소프트웨어를 쓰거나 기본 비밀번호가 설정된 채 방치된 취약한 PLC를 찾아낸 뒤, AI의 도움을 받아 초기 접근과 자격증명 탈취, 서비스 거부 공격 등에 필요한 익스플로잇 스크립트를 만들어낸다. 연방기관들은 이런 AI 활용이 위협 행위자의 역량이 한 단계 진화했음을 보여준다고 짚었다. OT에 대한 고도의 기술 지식 없이도 작동하는 산업제어시스템 악성코드와 공격 체인을 훨씬 빠르게 만들어낼 수 있게 됐다는 것이다.
이번 경고의 배경에는 최근 몇 주간 이어진 실제 침해 사고가 있다. 이번 합동 경고문은 특정 정부나 범죄조직을 공격 배후로 명시하지는 않았지만, 최소 12개 주의 상하수도 시설을 겨냥한 최근 PLC 공격의 배후로는 이란 연계 사이버 조직이 유력하게 의심받고 있다. 특히 지난달 말 미국 미네소타주에서 30여 개 지역 수도 시스템의 운영을 마비시킨 사이버 공격이 대표적 사례로 꼽힌다. 랜섬웨어 대응 전문기업 핼시온의 신시아 카이저 수석부사장(전 FBI 사이버부서 부국장보)은 더레지스터에 “이번 사안은 이란과 연계된 것으로 추정되는 동일한 PLC 공격 활동군의 연장선으로 보인다”며 “이란 연계 행위자와 적대세력들은 핵심 보건·안전·인프라를 떠받치는 PLC라는 광범위한 운영기술을 적극적으로 노리고 있다”고 설명했다. 그는 이어 “AI를 코드 점검이나 스크립트 작성 같은 개별 작업에 광범위하게 활용해 작전 규모를 키우고 속도를 높이는 것이 국가 배후 공격자들의 예상된 행보였는데, 이번 경고문은 이런 위협 행위자들이 실제로 AI를 활용해 효율성을 높이고 있다는 현실을 보여준다”고 덧붙였다.
이번 경고문에 따르면 공격 대상은 핵심 제조업과 에너지, 상하수도, 화학, 식품·농업, 상업시설 등 미국인들이 일상에서 이용하는 재화·서비스를 제공하는 대부분의 핵심 산업을 아우른다. 연방기관들은 “지멘스 S7 시리즈 PLC는 방위산업기반(DIB)을 포함한 다른 부문에서도 사용되고 있어, 그쪽에서도 공격 대상이 될 수 있다”고 경고했다.
전문가들은 이번 사태의 근본 원인이 AI 자체보다 산업제어시스템의 구조적 취약성에 있다고 지적한다. 핵심 인프라 보안기업 옵스와트의 베니 차니 최고경영자(CEO)는 더레지스터에 “더 큰 문제는 여전히 OT 환경이 얼마나 노출돼 있느냐는 것”이라며 “AI는 공격자가 PLC를 겨냥한 스크립트를 만들고 수정하는 것을 훨씬 쉽게 만들어 산업시스템 공격의 진입장벽을 계속 낮추고 있지만, 해법은 단순히 더 나은 AI 탐지 기술이 아니다”라고 말했다. 그는 “데이터가 OT 네트워크 밖으로만 나가면 되는 구조라면 데이터 다이오드를 사용해야 한다”며 “공격자가 악용할 수 있는 PLC로의 네트워크 경로 자체가 없어야 한다”고 강조했다. “AI가 이 문제를 더 시급하게 만든 것은 맞지만, 진짜 교훈은 여전히 같다. 애초에 공격자에게 핵심 시스템으로 가는 경로를 내주지 말아야 한다는 것”이라고 그는 덧붙였다.
연방기관들은 이런 위협에 대응하기 위해 핵심 인프라 소유자와 운영자들에게 즉각적인 조치를 권고했다. 우선 환경 내 모든 지멘스 S7 시리즈 PLC의 목록을 파악하고, 필요한 보안 패치를 적용하며, 어떤 PLC도 인터넷에 노출되지 않도록 해야 한다는 것이다. 또 엔지니어링 워크스테이션이 아닌 곳에서의 접속, 비정상적인 데이터 블록 접근 패턴, 변경 승인 시간 외의 쓰기 작업 등 비정상적인 S7comm 동작 여부를 점검할 것도 권고했다. 포트 102에 대한 순차적 IP 스캔이나 매개변수를 바꿔가며 반복되는 접속 시도는 공격자의 정찰 활동을 나타내는 신호일 수 있으며, 승인된 워크스테이션이 아닌 곳에서의 snap7.dll 라이브러리 사용 흔적도 침입자의 존재를 나타낼 수 있다고 덧붙였다.
이번 경고는 지난 14일 국가안보·정보보안 전문가들이 AI를 활용한 자율 공격이 핵심 인프라에 ‘명백하고 현존하는 위험’이 될 수 있다고 경고한 지 닷새 만에 나왔다. 당시 전문가들은 상하수도 시스템을 겨냥한 해커들이 AI를 침입에 사용했다는 직접적인 증거는 없다면서도, 조만간 공격자들이 핵심 인프라 공격 수단에 AI를 추가할 것을 우려한 바 있는데, 이번 경고문으로 그 우려가 현실화된 셈이다.
<마켓잉크 김건우 기자>
기사 내용은 작성기관의 견해이며, 이데일리의 편집 방향과 다를 수 있습니다. 정보 이용에 따른 판단은 독자에게 있습니다.
