미국 7개 주 상수도 시설 사이버공격…수압 저하와 일부 끓임 권고

제어 장치 원격 침입으로 감시·제어 차단

공격자들은 인터넷에 노출된 프로그래머블 로직 컨트롤러(PLC)에 원격 접속해 IP 주소와 비밀번호를 바꿨다. 프로그래머블 로직 컨트롤러(PLC)는 디지털 시스템과 물리 설비를 연결하는 산업 제어 장치다. 이 조작으로 시설 측의 감시·제어가 방해받았다.

FBI는 상수도·하수도 시설 7곳이 2026년 7월 27일 이후 공격을 받아 운영 저하를 겪었다고 밝혔다. FBI는 공격에 따른 수압 저하와 침수 보고도 받았다. FBI는 수압이 낮아지면 정화되지 않은 지하수가 배관으로 스며들 수 있다고 경고했다. CISA는 일부 공격이 디지털 제어 기능을 마비시켜 물을 끓여 마시라는 권고로 이어졌다고 밝혔다.

미네소타주에서는 한 주 동안 30곳이 넘는 지역 상수도 시설이 공격 대상이 됐다. FBI와 EPA는 핵심 기반시설을 겨냥한 공격에 공익 경고를 발령했다. 당국은 보안 게이트웨이와 방화벽을 적용하고, 강력한 비밀번호와 통신 허용 목록을 사용하라고 권고했다.

이란 연계 가능성 제기, 공식 확정은 없어

입수된 한 문서는 미네소타 상수도 시설 공격과 이란의 연관성을 기록했으며, 이란의 책임 가능성을 나타낸 첫 공식 문서로 전해졌다. CISA는 2026년 4월 이란 연계 해커가 상수도 기반시설 등을 겨냥하고 있다고 경고했고, 이후 입수된 문서가 당시 경고와 미네소타 공격을 연결했다. FBI·EPA·CISA는 이란을 공격의 배후로 공식 확정하지 않았으며, 이란 연계 해커가 유력한 용의자로 거론된다.