이란이 배후로 지목되는 사이버 공격이 미국 최소 7개 주 상수도 시스템을 겨냥한 사실이 확인됐다고 이스라엘 매체 와이넷이 보도했다. 이번 공격은 이스라엘 정수시설과 미국 내 이스라엘산 제어장비를 겨냥한 이란의 이전 사이버 공격, 그리고 최근 전쟁 중 담수화 시설 공습으로 이어지는 일련의 공격 목록에 새로 추가됐다.
중동은 세계에서 가장 건조한 지역 중 하나로 꼽힌다. 석유와 천연가스는 풍부하지만 정작 생존에 가장 필수적인 자원인 물은 늘 부족하다. 아라비아반도 국가들은 담수화한 바닷물과 급속히 고갈되는 지하수에 크게 의존하고 있다. 이스라엘도 수자원이 넉넉하지 않고, 이란 역시 마찬가지다. 이란은 전쟁과 반정부 시위가 나라를 뒤덮기 전부터 이미 물 부족이 정권의 주요 현안이었다.
이스라엘 바르일란대학교 베긴사다트 전략연구센터의 전략·사이버전·정보 전문가 에얄 핀코 박사는 물이 이란에게 국내 취약점일 뿐 아니라 적국을 위협하고 교란하며 타격을 가할 수 있는 자원이라는 점을 이란이 오래전부터 인식해왔다고 설명했다. 핀코 박사는 이스라엘 총리실 산하 작전국장을 지낸 인물이다. 그는 “공포를 조성하는 것이 목적이며 심리적 요소가 지배적”이라며 “이런 심리적 요소는 공포와 위협을 만들어내는 데도 중요하지만 군사·경제·외교적 이익을 얻는 데도 중요하다. 이는 이란이 구사하는 전쟁 스펙트럼의 일부이며 전체 전쟁 수행 노력과 떼어놓을 수 없다”고 말했다.
핀코 박사는 이란의 사이버 공격을 테헤란 단독으로 벌이는 개별 작전으로 봐서는 안 된다고 지적했다. 그는 “이란은 혼자 움직이지 않는다”며 “핵개발이나 미사일 분야와 마찬가지로 이 분야에서도 중국·러시아·북한과 전략적으로 협력하고 있으며, 이들이 함께 사이버 공격 도구를 개발한다. 우리는 한 국가가 아니라 하나의 축과 맞서고 있는 것”이라고 말했다.
이란의 사이버 공격은 2020년 이스라엘 상수도 시스템을 겨냥하며 처음 주목받았다. 당시 와이넷은 이란이 이스라엘 북부에서 남부에 이르는 정수시설을 겨냥해 사이버 공격을 감행했다고 단독 보도했다. 이후 영국 매체 파이낸셜타임스는 서방 정보당국 관계자를 인용해 공격자들이 이스라엘 가정으로 흘러가는 물의 염소 농도를 높이려 했다고 전했다.
이스라엘 관계자 4명과 서방 관계자 1명은 이란 해커들이 미국과 유럽 서버를 경유해 출처를 숨긴 채 이스라엘 정수펌프 제어 소프트웨어에 침투했다고 밝혔다. 이런 조작이 성공했다면 비정상적인 화학물질 농도를 감지한 안전장치가 자동으로 펌프를 정지시켜 수천 명이 물 공급을 받지 못했을 수 있다.
외신 보도에 따르면 한 달 뒤 이스라엘은 이란 남부 샤히드라자이 항구의 컴퓨터 시스템을 마비시키는 사이버 공격으로 보복했다. 같은 해 7월에는 이란이 갈릴리 북부와 마테예후다 지역의 소규모 정수·하수 시설 두 곳을 다시 겨냥했다고 와이넷이 보도했다. 이스라엘 수자원공사는 사건 발생을 인정하면서도 피해는 없었다고 밝혔다. 수자원공사는 당시 “농업 부문의 특정 소규모 하수 시설 두 곳이었으며 키부츠와 시설 관계자들이 즉시 자체적으로 복구해 서비스나 실질적 피해는 없었다”고 설명했다.
이란의 상수도 시스템 공격은 이스라엘에 그치지 않았다. 2023년 11월에는 이란 혁명수비대 사이버사령부 산하로 알려진 해킹조직 사이버어벤저스(CyberAv3ngers)가 미국 펜실베이니아주 앨리퀴파의 정수시설을 해킹했다. 이 공격은 이스라엘 기업 유니트로닉스가 제조한 프로그래머블 로직 컨트롤러를 표적으로 삼았다. 이 장비는 수압과 펌프 가동을 포함한 산업 공정을 감시·제어하는 데 쓰인다. 공격으로 자동 수압 감시 기능이 마비돼 직원들이 지역 공급 차질을 막기 위해 수동으로 시스템을 운영해야 했다.
물 기반시설은 실제 전쟁의 표적이 되기도 했다. 2022년 3월 이란의 지원을 받는 예멘 후티 반군은 사우디아라비아 에너지 시설과 홍해 연안의 알슈카이크 담수화 시설을 향해 미사일과 드론을 발사했다. 사우디 당국은 이 공격에 이란산 순항미사일과 드론이 동원됐다고 밝혔다. 피해는 보고됐으나 인명피해는 없었다.
지난 2월 28일 이스라엘과 미국이 이란과 전쟁에 돌입한 이후 이 같은 공격 양상은 더욱 심해졌다. 전투는 군사 표적에 그치지 않고 기반시설과 에너지·물 시설로도 번졌다. 이란은 3월 7일 미군이 이란 게슘섬의 주요 담수화 시설을 타격해 인근 마을 30곳의 담수 공급이 끊겼다고 주장했다. 다음 날 이란은 바레인 시트라섬의 담수화 시설을 겨냥해 보복 공격을 감행했다.
가장 격렬했던 전쟁 국면은 4월에 끝났지만 이후에도 충돌은 계속됐다. 이란은 7월 18일 미국이 호르모즈간주 자스크 인근 본지 해수담수화 시설을 완전히 파괴해 인근 마을 20곳의 급수가 끊겼다고 주장했다. 이후 이틀 동안 쿠웨이트에서는 이란이 담수화 시설과 발전소를 두 차례 공격했다는 신고가 접수됐다.
걸프 지역에서 물은 특히 취약한 자원으로 꼽힌다. 담수화가 보조 수단이 아니라 일상생활의 근간이기 때문이다. 프랑스 국제관계연구소가 2022년 낸 보고서에 따르면 담수화한 물이 전체 공급에서 차지하는 비중은 아랍에미리트 42%, 사우디아라비아 70%, 오만 86%, 쿠웨이트 90%에 달한다.
페르시아만과 인근 해안을 따라 수백 곳의 담수화 시설이 늘어서 있다. 이런 집중도 덕분에 자연 담수가 거의 없는 지역에도 거대 도시가 들어설 수 있었지만, 동시에 시설이 마비되면 수백만 명이 순식간에 영향을 받을 수 있는 전략적 표적이 되기도 한다.
이번에 미국에서 확인된 공격은 최소 7개 주의 상수도 시스템에 영향을 미쳤으며, 미네소타주가 가장 먼저 사건을 공개했고 이후 미시간주도 유사한 공격 정황을 보고했다. 당국은 아직 이란의 배후 여부를 공식 확인하지 않았다. 도널드 트럼프 미국 대통령은 사건을 대수롭지 않게 언급하며 미네소타주 자체 소행이라고 주장했지만, 미국 당국자들은 이란이 유력한 용의자라고 밝혔다.
핀코 박사는 “이런 공격은 이례적인 일이 아니다”며 “이란은 이 분야에서 여러 공격조직을 운영하고 있다”고 말했다. 그는 이란의 사이버 작전을 국방당국 산하 정보조직과 혁명수비대 사이버사령부라는 두 축이 주도한다고 설명했다. 그는 “이들은 어느 정도 공조하지만 서로 경쟁하기도 하며, 각각 독자적인 공격 능력을 갖추고 있다”고 말했다.
핀코 박사는 이란의 접근법을 전시 국가 기반시설 공격이라는 더 넓은 교리의 일부로 규정했다. 그는 “이란의 전략은 옛 소련에서 배운 것”이라며 “나토(NATO)는 이를 하이브리드전이라 부르고 중국은 비접촉전이라 부르며 이란은 대칭전이라 부른다. 결국 다 같은 것”이라고 말했다.
그는 이란이 물 시스템 외에도 전력망과 은행, 정부기관 등 이스라엘의 핵심 기반시설을 겨냥해왔다고 덧붙였다. 그는 이스라엘이 사이버 강국이라는 평판에도 불구하고 방어체계는 여전히 미비하다고 경고했다. 그는 “이스라엘 국가사이버국은 아직 법적 근거 없이 운영되고 있다”며 “규제기관 역할을 해야 하지만 실제로는 그렇지 못하다. 뛰어난 인력과 강력한 역량은 갖췄지만 구속력 있는 규제가 없다보니 각 정부 부처가 제각각 알아서 대응하고 있다. 그게 이 이야기의 씁쓸한 대목”이라고 말했다.
완벽한 방어는 불가능하다는 게 그의 진단이다. 특히 산업제어시스템이 인터넷에 노출돼 있거나 취약한 비밀번호를 쓰는 경우가 여전히 많기 때문이다. 그는 “100% 방어란 있을 수 없다”며 “다만 기술적 역량으로 여러 방어층을 구축할 수는 있다. 인식 제고와 조직문화를 포함한 여러 층위가 결합돼야 한다”고 말했다.
핀코 박사는 목표가 모든 침투 가능성을 없애는 것이 아니라 이른바 공격 표면을 줄여 공격 성공 가능성을 낮추는 데 있다고 설명했다. 물 부족이 이미 경제와 공동체, 정치적 안정을 위협하는 지역에서는 제한적인 사이버 공격조차 기술적 피해를 훨씬 넘어서는 파장을 낳을 수 있다. 수돗물이 끊기거나 염소 농도가 조작되거나 담수화 시설이 멈출 수 있다는 공포 그 자체가 무기의 일부다.
