풍력발전소 방화벽 통해 기본 비밀번호 방치된 발전소 제어기까지 교차 침투
조기 수습으로 난방 중단은 면했으나 증거 파괴 등 정교한 공격 정황 확인

[보안뉴스 김형근 기자] 폴란드 사이버보안 당국이 지난 겨울 한파 당시 주민 5만명에게 난방을 공급하는 소규모 열병합발전소를 겨냥한 사이버공격을 뒤늦게 파악했다. 당시에는 단순 운영 장애로 처리됐던 사건이 수개월간의 조사 끝에 정교한 침투 공격이었던 것으로 드러난 것이다.


[출처: gettyimagesbank]

폴란드 침해사고대응팀(CERT Polska)에 따르면, 이 공격은 초기에는 외주업체 작업자의 단순 실수로 여겨졌으나, 3개월간의 조사 끝에 사설이동통신망(Private Cellular Network)을 침투 경로로 악용한 최초의 사례로 확인됐다.

해커들은 이미 뚫어놓은 풍력발전소 변전소의 방화벽을 발판 삼아 사설망에 연결된 라우터에 접근한 뒤, 초기 출하 상태의 기본 비밀번호(Factory-Default Credentials)를 그대로 사용 중이던 열병합발전소 제어기 내부로 침투했다. 서로 직접적인 연관이 없는 풍력발전소와 열병합발전소가 동일한 사설 이동통신망을 공유한다는 허점을 악용해 망을 넘나드는 교차 침투를 감행한 것이다.

발전소 내부에 침투한 해커들은 11일간 시스템을 정찰한 뒤 크리스마스 연휴 기간을 노려 본격적인 공격에 나섰다. 12월 29일 새벽, 이들은 증기터빈과 용수처리 시스템을 구동하는 제어기를 마비시키고 비밀번호를 전격 교체해 운영자들의 접근을 차단했다.

이어 자동화 스크립트로 네트워크 설정을 초기화하고 장비 주소를 변조해 복구를 지연시켰으며, 침투 통로로 사용했던 장비를 복구 불가능한 수준으로 파괴해 포렌식 증거를 철저히 없앴다.

CERT Polska의 마르친 두덱(Marcin Dudek) 팀장은 라스베이거스에서 열린 데프콘(DEF CON) 보안 컨퍼런스 발표를 통해 이 공격이 크리스마스 연휴 기간의 정기 점검 도중 이뤄졌다고 밝혔다. 발전소 운용사 측은 당초 증기터빈과 용수처리 시스템의 가동 중단을 악성 해커의 소행이 아닌 외주업체의 작업 실수로 판단했다.

다행히 장애가 조기에 수습돼 주민 난방 공급에는 차질이 없었고, 해당 사건은 당시 단순 참고용으로만 보고됐다.

CERT Polska는 사설 이동통신망을 무조건 신뢰할 수 있는 인프라로 여겨온 업계의 통념이 심각한 보안 허점을 유발했다고 지적했다. 이에 따라 에너지 관련 기업들에 사설망에 대한 즉각적인 보안 감사와 기본 비밀번호 변경, 인터넷 접속망 수준의 강도 높은 보안 통제를 적용할 것을 권고했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>