이번 공격은 단순한 데이터 탈취가 아니다. 해커들이 직접 수도 밸브에 손을 댄 것이다. FBI와 EPA가 최근 발표한 공공 안전 통보에 따르면, 2026년 7월 27일부터 미국 7개 주의 정수 및 폐수 처리 시설이 해킹당해 운영 단계 시스템이 교란됐다. 피해 기관들이 FBI에 보고한 내용은 매우 직접적이다: 수압이 떨어졌고, 현장에는 침수가 시작됐다.
공격의 주요 표적은 실제로 정수장 운영을 제어하는 산업용 컨트롤러인 PLC(Programmable Logic Controller)였다. FBI가 통보서에서 구체적으로 밝힌 수법은 이렇다: 해커들이 먼저 인터넷에 노출된 장비에 원격으로 접속한 뒤, 곧바로 IP 주소와 비밀번호를 변경해 기존 운영자들을 시스템 밖으로 밀어냈다. 그 결과 운영자들은 자신들의 정수 시설을 모니터링하지도, 제어하지도 못하게 됐다. FBI는 특히 수압 저하가 단순히 "물이 약해지는" 문제가 아니라고 강조했다. 미처리 지하수가 배관으로 유입될 수 있어, 전체 운영에 미치는 타격이 겉으로 드러나는 수치보다 훨씬 클 수 있다는 것이다.
당국이 제시한 대응 방안 역시 매우 공학적이다: 보안 게이트웨이와 방화벽을 구축해 제어 시스템이 공개 네트워크에 직접 노출되지 않도록 할 것, 취약한 비밀번호를 교체하고 접근 제어 목록(ACL)을 활용해 어떤 장치들끼리만 서로 통신할 수 있는지 제한할 것. 다시 말해, 이번 공격이 성공할 수 있었던 것은 상당 부분 이 PLC들이 애초부터 인터넷에 노출돼 있었고, 보안 문턱이 제대로 닫혀 있지 않았기 때문이다.
이 7개 주 사건에 앞서 미네소타주에서도 이미 경보가 울렸다—지난 한 주 동안 해당 주에서만 30곳이 넘는 시립 상수도 시설이 침입당한 것으로 나타났다. NBC News 보도에 따르면, 이번 공격 수법의 특징이 과거 이란 측이 벌인 작전과 유사하지만, 수사 당국은 아직 국가 차원의 개입 여부를 확인하지 않았다. Wired는 미네소타 공격을 이란과 연결시키는 메모를 입수했다고 밝혔다. 이 메모는 수도 업계 단체인 WaterISAC이 회원들에게 발송한 것으로, 미네소타 주 정보융합센터(Minnesota Fusion Center)의 발표를 인용해 "주 전역의 식수 시스템에 지속적으로 영향을 미치고 있는 악성 사이버 활동"이 미국 사이버보안 및 인프라보안국(CISA)이 이전에 설명한 해킹 작전 패턴과 일치한다고 밝혔다—CISA는 이미 올해 4월, 이란과 관련된 해커들이 수도 인프라 등 핵심 분야를 표적으로 삼고 있다고 경고한 바 있다.
이란의 직접적인 개입 여부는 아직 조사로 확인되지 않은 상태이며, 공식 통보와 보도 세부 내용은 FBI, EPA 및 Wired, NBC News의 원본 보도를 기준으로 한다.
