수도 인프라를 노리는 "보이지 않는 전쟁" - 미국 7개 주로 확산된 사이버 공격의 충격 - 배후에 이란의 그림자가?

수도를 틀면 물이 나오는 것은 미국의 많은 주민들에게 의심할 필요 없는 일상이었다.

그러나 2026년 7월 말, 그 당연함을 지탱하는 수도 시설의 컴퓨터가 외부로부터 일제히 공격받고 있었다는 것이 밝혀졌다.

공격의 중심으로 처음 발표된 곳은 미네소타주였다. 주 당국에 따르면, 7월 26일부터 27일에 걸쳐 30개 이상의 지역 수도 시스템에서 악의적인 접근이 확인되었다. 그 후 미시간주에서도 9개의 수도 시스템이 영향을 받은 것으로 밝혀졌다. 피해 및 관련된 의심스러운 활동은 최소한 7개 주에 걸쳐 확산되고 있다고 보도되었다.

현재 시점에서 물에 유해 물질이 혼입되었거나 주민이 위험한 물을 마셨다는 증거는 확인되지 않았다. 영향을 받은 시설도 대부분 안전한 운전을 계속했다.

그럼에도 불구하고 이번 사건이 미국 사회에 미친 충격은 작지 않다.

노려진 것은 고객 정보나 직원의 이메일만이 아니었다. 펌프를 작동시키고, 수압을 조정하며, 정수 처리에 사용되는 설비를 감시하는 "운영 기술"이었기 때문이다.

30개 이상의 수도 시스템이 일제히 표적이

미네소타주의 IT 부문은 이번 사건을 "협조된 사이버 공격"이라고 설명하고 있다.

영향을 받은 것으로 여겨지는 모든 수도 시스템에서 단수나 수질 이상이 발생한 것은 아니다. "영향을 받았다"는 표현은 시설의 운영 기술에 대한 불법 접근이나 악의적인 조작의 흔적이 확인되었다는 것을 의미한다.

그러나 일부 자치단체에서는 실제 운전에도 지장이 생겼다.

인구 약 1700명의 미네소타주 브라함에서는 수도 시설의 제어 기능이 정지되어 우물과 정수 시설이 일시적으로 가동할 수 없게 되었다. 시는 주민에게 물 사용을 자제하도록 요청했다. 설비가 복구될 때까지 수도탑에 남아 있는 물을 이용해 공급을 유지하는 상황이 되었다.

미니애폴리스 근교의 플리머스에서도 수도 시설에 관련된 통신 설비에서 장애가 발생했다. 현장의 직원은 수동 운전 등으로 대응하고 나중에 통신 기능을 복구시켰다.

미시간주에서는 연방 정부로부터 수도 시설에 대한 공격에 관한 경고가 나온 후, 주 내의 자치단체로부터 유사한 의심스러운 활동이 보고되었다. 주 당국은 영향을 받은 9개 시스템에 대해 설비는 안전하게 가동하고 있으며 공중위생상 문제는 확인되지 않았다고 하고 있다.

즉, 이번 사건은 대규모 수질 오염이나 장기 단수에는 이르지 않았지만, 공격자가 시민 생활을 지탱하는 제어 시스템에 접촉할 수 있었을 가능성을 시사했다.

공격자가 노린 "운영 기술"이란

수도 시설에는 일반 기업에서 사용되는 컴퓨터나 업무 네트워크와는 별도로, 물리적인 기계를 움직이기 위한 시스템이 존재한다.

펌프의 기동과 정지, 수압의 조정, 저수량의 감시, 약품 투입량의 관리, 밸브의 개폐 등을 담당하는 설비다. 이러한 시스템은 OT, 즉 운영 기술이라고 불린다.

그 중심적인 기기 중 하나가 PLC라고 불리는 소형 제어 장치이다. 미리 설정된 프로그램에 따라 센서로부터 정보를 받아 기계에 지시를 내린다.

공장, 수도 시설, 발전소, 교통 설비 등 현대 사회의 다양한 장소에서 이용되고 있다.

공격자가 PLC나 주변의 원격 관리 시스템에 침입한 경우, 화면상의 데이터를 훔치는 것뿐만 아니라 설비의 동작 그 자체를 변경할 수 있는 가능성이 있다.

펌프를 정지시킨다. 수압을 불안정하게 한다. 경보를 무효화한다. 처리 공정을 혼란시킨다. 조작 이력을 변경하여 이상 발견을 지연시킨다.

실제로 어느 정도의 조작이 이루어졌는지는 앞으로의 조사를 기다릴 필요가 있다. 다만, 수도 시설에 대한 공격이 일반적인 정보 유출과는 성질이 다른 위협이라는 것은 명백하다.

컴퓨터상의 이상이 현실 세계의 단수나 설비 파손, 공중위생상의 위험으로 이어질 수 있기 때문이다.

왜 지방의 수도 시설이 노려지는가

미국의 수도 인프라는 하나의 거대 조직이 전국을 일괄적으로 관리하고 있는 것이 아니다. 도시, 군, 소규모 자치단체, 지역 사업자 등 다수의 조직이 각각 설비를 운영하고 있다.

그중에는 주민 수천 명 정도의 지역을 지탱하는 소규모 시설도 많다.

이러한 시설에서는 사이버 보안 전문 직원을 상시 고용하는 것이 어렵다. 제한된 예산은 노후화된 수도관의 교체나 펌프의 수리, 수질 관리, 인원 확보 등에 우선적으로 사용된다.

결과적으로 오래된 제어 장치가 장기간 사용되며 초기 설정의 비밀번호가 변경되지 않았거나 원격 관리 기능이 인터넷에 직접 연결되어 있는 경우가 발생한다.

설비를 멈출 수 없는 사정도 있다.

일반적인 컴퓨터라면 업데이트를 위해 재부팅하는 것이 어렵지 않다. 그러나 물을 24시간 공급하는 설비에서는 소프트웨어 업데이트나 기기 교환을 위해 간단히 운전을 멈출 수 없다.

새로운 보안 기능을 추가하면 오래된 기기와의 호환성이 상실될 경우도 있다.

공격자에게는 세계적인 기업의 고도로 방어된 네트워크보다 소규모 공공시설의 원격 조작 장치를 노리는 것이 더 쉬울 수 있다.

게다가 수도에 대한 공격은 실제 피해가 제한적이어도 시민에게 강한 공포를 줄 수 있다.

"물이 마셔도 안전한가" "갑자기 단수되는 것은 아닌가"라는 불안을 퍼뜨리는 것만으로도 사회나 행정에 대한 신뢰를 흔들 수 있다. 그 심리적 효과도 중요한 인프라가 노려지는 이유 중 하나로 생각된다.

이란 개입의 가능성, 하지만 공식적인 단정은 아직

이번 공격에 대해 미국 당국이나 전문가들 사이에서는 이란과 관련된 공격자가 개입했을 가능성이 조사되고 있다.

그 이유 중 하나는 과거에도 이란계로 여겨지는 집단이 미국의 수도 시설이나 산업용 제어 기기를 표적으로 삼아왔기 때문이다.

미국 정부 기관은 2026년 4월, 이란에 관련된 공격자가 인터넷에 연결된 PLC 등을 노리고 있다고 경고를 발표했다. 7월에는 경고 내용이 업데이트되어 대상이 되는 기기 제조업체나 공격 수법의 범위가 넓어지고 있음을 나타냈다.

이번 공격에 대해서도 표적이 된 설비, 침입 방법, 발생 시기 등에 과거의 이란 관련 활동과 공통된 특징이 있다고 지적되고 있다.

금전 요구가 확인되지 않은 점도 일반적인 랜섬웨어 범죄와는 다르다. 공격자가 몸값을 목적으로 하지 않는다면 정치적 위협, 보복, 정보 수집, 사회 혼란의 유발 등이 동기로 생각될 수 있다.

한편, FBI를 포함한 관계 기관은 범행 주체를 공개적으로 단정하지 않았다.

사이버 공격에서는 제3자의 기기를 경유하거나 다른 집단의 수법을 모방하는 것이 가능하다. 공격에 사용된 프로그램이나 통신처만으로 배후의 국가나 조직을 즉시 특정하는 것은 어렵다.

이란과의 관계를 의심할 만한 합리적인 자료는 있지만, 현 단계에서는 "이란이 실행했다"고 확정된 사실로 취급해서는 안 된다.

이 신중함은 단순한 말의 문제가 아니다. 국가에 대한 귀속 판단은 외교, 제재, 보복 조치, 경우에 따라서는 군사 행동으로 이어질 수 있기 때문이다.

트럼프 대통령의 발언으로 정치 문제로

기술적인 조사가 계속되는 가운데 사건은 급속히 정치 문제로 변화했다.

트럼프 대통령은 기자로부터 이란의 개입에 대해 질문을 받았을 때 그 견해를 부정하고 미네소타주 측에 책임이 있다는 취지의 발언을 했다. 공격의 피해를 입은 주의 대응 능력이나 팀 월즈 주지사를 비판했지만 그 주장을 뒷받침할 증거는 제시하지 않았다.

이에 대해 월즈 주지사는 X에 게시글을 올려 대통령은 누가 공격에 책임이 있는지 파악하고 있으며 다른 주도 피해를 입은 것을 알고 있을 것이라고 반론했다. "이것이 현대 전쟁의 모습이다"라고 호소하며 연방 정부의 사이버 방어 체제를 약화시켰다고 정권을 비판했다.

본래라면 공격 경로의 차단, 피해 시설의 복구, 전국의 수도 사업자에 대한 정보 공유가 최우선이 되어야 할 국면이다.

그러나 대통령과 주지사의 대립이 주목을 끌면서 논의의 중심은 "누가 공격했는가"뿐만 아니라 "누가 정치적 책임을 지는가"로 옮겨지기 시작했다.

사이버 공격에 대한 대응에서는 피해를 공표한 조직을 비난하는 것이 새로운 위험으로 이어질 가능성도 있다.

피해를 보고하면 정치적으로 공격받는다는 분위기가 확산되면 자치단체나 기업이 침입을 숨기게 될 것이다. 정보 공유가 늦어지면 같은 수법에 의한 공격이 다른 시설로 확대될 수 있다.

처음으로 이상을 감지하고 공표한 미네소타주의 정보가 다른 주의 점검이나 피해 발견으로 이어졌을 가능성도 있다.

SNS에서 확산된 세 가지 반응

이번 사건은 X, Bluesky, Facebook, Reddit 등에서도 널리 공유되었다. 다만, SNS상의 게시물은 여론 전체를 대표하는 것이 아니며 개별 공개 게시물에서 확인할 수 있는 경향으로 볼 필요가 있다.

첫 번째로 두드러진 것은 생활 인프라가 노려졌다는 것에 대한 불안이다.

수도 시설에 대한 공격이라는 말에서 수질 오염이나 독물 혼입을 걱정하는 게시물이 잇따랐다. 한편으로 "시스템에 대한 침입"과 "음료수의 오염"은 같은 것이 아니라며 과도한 공포나 미확인 정보의 확산을 경계하는 목소리도 있었다.

현재 시점에서 물이 위험해졌다는 것을 나타내는 증거는 없으며 각 자치단체도 필요에 따라 주민을 위한 정보를 발신하고 있다. 긴급 시에는 SNS상의 추측보다 자치단체나 수도 사업자의 공식 발표를 확인하는 것이 중요하다.

두 번째 반응은 중요한 인프라에 대한 투자를 요구하는 목소리다.

보안 관계자나 의회 관계자의 게시물에서는 이번 공격을 "경종"으로 위치 지어 원격 연결의 제한, 다요소 인증의 도입, 초기 비밀번호의 변경, 네트워크 분리, 직원 훈련 등을 신속히 진행해야 한다는 의견이 제시되었다.

일부 전문가들은 특정 제조사의 장치만을 문제시하는 것이 아니라 인터넷에 공개된 제어 기기나 사용되지 않게 된 원격 연결을 방치하는 운영 자체를 개선해야 한다고 지적하고 있다.

세 번째 반응은 트럼프 대통령의 발언을 둘러싼 격렬한 정치적 대립이다.

정권 비판 측에서는 연방 기관이 외국 세력의 가능성을 조사하는 단계에서 피해를 입은 주를 비난하는 것은 부적절하다는 목소리가 나왔다.

한편, 정권을 지지하는 층에서는 외국의 공격 이전에 자치단체가 설비의 안전 관리를 철저히 했어야 했다는 의견도 보였다.

귀속을 단정하기에는 증거가 불충분하다고 하여 월즈 주지사 측의 강한 주장에도 신중한 자세를 요구하는 게시물도 있다.

SNS에서는 "이란의 공격"인가 "주의 관리 부족"인가라는 양자택일의 논의가 되기 쉽다. 그러나 실제로는 외국 세력에 의한 공격의 가능성과 시설 측의 취약성은 동시에 존재할 수 있다.

침입한 측에 첫 번째 책임이 있다는 것과 방어 태세를 개선할 필요가 있다는 것은 모순되지 않는다.

가장 큰 문제는 "한 번의 공격"이 아니다

이번에 수도의 안전성에 중대한 문제가 발생하지 않은 것은 중요하다. 그러나 그것만으로 사건을 소규모였다고 평가할 수는 없다.

공격자가 목적을 달성하지 못했는지, 처음부터 제한적인 혼란을 노렸는지, 더 큰 공격에 대비한 정찰이었는지는 아직 알 수 없다.

제어 시스템에 대한 침입에서는 공격자가 곧바로 설비를 멈추지는 않을 수 있다. 내부 구성을 조사하고 인증 정보를 수집하며 장래에 사용할 수 있는 연결 경로를 남기는 경우도 있다.

평시에 침입 경로를 확보해 두고 국가 간의 긴장이 고