마이크로컴에서 무슨 일이 일어났고, 왜 중요한가

연방 법집행 기관과 사이버보안 당국이 캔자스주 올레이스에 본사를 둔 프로그래머블 로직 컨트롤러(PLC) 및 산업 자동화 기술 제조업체인 마이크로컴의 랜섬웨어 공격 및 데이터 유출 사고를 수사하고 있다. FBI는 공격자가 시스템을 암호화했을 뿐만 아니라 회사 네트워크에서 데이터를 탈취한 이번 침해 사고에 대한 조사에 착수했다.

연방 수사관들의 개입은 당국이 워터 분야 공급망과 관련된 모든 사고를 얼마나 심각하게 다루는지를 보여준다. 마이크로컴은 자체적으로 처리장이나 배급 시스템을 운영하지는 않지만, 이 회사의 PLC와 자동화 제품은 수도 시설이 펌프, 밸브, 처리 공정을 관리하기 위해 의존하는 운영 기술(OT)에 내장되어 있다. 이와 같은 공급업체에 대한 랜섬웨어 공격은 탈취된 데이터, 자격 증명 또는 제품 정보가 해당 장비에 의존하는 수도 시설을 표적으로 삼는 데 사용될 수 있는지에 대한 의문을 제기한다.

이것이 바로 공급업체에 대한 워터 분야 랜섬웨어 공격이 유틸리티 자체에 대한 공격만큼, 또는 그 이상으로 중요할 수 있는 이유다. 하나의 공급업체가 침해되면 잠재적으로 수십 또는 수백 개의 하류 고객에게 영향을 미칠 수 있다.

제3자 ICS/SCADA 공급업체가 중요 인프라의 공격 경로가 되는 방식

산업 제어 시스템(ICS) 및 SCADA 공급업체는 중요 인프라 생태계에서 독특하게 민감한 위치를 차지한다. 이들 기업은 고객의 운영 시스템과 연결된 원격 액세스 도구, 구성 파일, 네트워크 다이어그램 및 지원 자격 증명을 유지하는 경우가 많다. 공급업체 자체의 IT 환경이 침해되면 그 정보의 보고는 고객 네트워크로 측면 이동을 노리는 공격자에게 로드맵이 될 수 있다.

마이크로컴 사건은 보안 연구원들과 CISA 같은 기관이 반복적으로 지적해 온 더 넓은 패턴에 해당한다. 워터 및 폐수 시스템은 규모가 작고 자원이 제한된 유틸리티인 경우가 많아 엔지니어링, 유지보수 및 원격 지원을 위해 제3자 공급업체에 크게 의존한다. 이러한 의존성은 실용적이고 종종 필수적이지만, 동시에 유틸리티의 보안 수준은 공급망에서 가장 취약한 공급업체만큼만 강하다는 것을 의미한다. 랜섬웨어 조직은 처리장의 컨트롤러를 구축하거나 유지보수하는 회사를 공격할 수 있다면 수도 처리장을 직접 침해할 필요가 없다.

랜섬웨어 공급망 패턴: 로펌에서 수도 시설까지

마이크로컴은 공격자가 해당 분야의 가장 눈에 띄는 주체가 아닌 지원 인프라를 표적으로 삼는 사례의 고립된 예가 아니다. 랜섬웨어 및 갈취 조직은 다른 조직을 대신하여 민감한 데이터나 특권적 액세스를 보유한 조직에 점점 더 집중하고 있다. 한 조직을 침해하면 한 번에 많은 하류 피해자를 상대로 레버리지를 확보할 수 있기 때문이다. 예를 들어 법률 업계에서는 2025년과 2026년 초에 200건 이상의 무소음 갈취 공격이 로펌을 강타했다. 이는 로펌이 탈취 가치가 높고 갈취를 통해 현금화하기 쉬운 기밀 고객 데이터를 보유하는 경우가 많기 때문이다.

동일한 기본 논리가 중요 인프라를 서비스하는 산업용 공급업체에도 적용된다. 클라이언트 기록을 보유한 로펌이든 수도 시설의 네트워크 구성을 보유한 PLC 제조업체든, 공격자의 계산은 동일하다. 즉, 침해 시 폭발 반경이 가장 넓은 조직을 찾는 것이다. 이러한 관점에서 마이크로컴 사건을 바라보면 이는 워터 분야에 국한된 일회성 사건이 아니라 공급망 표적 공격의 체계적 패턴의 일부임이 분명해진다.

보안 교훈: 산업 시스템을 위한 원격 액세스, VPN 및 네트워크 분리

수도 시설 및 기타 중요 인프라 운영자의 경우 이와 같은 사고는 몇 가지 기본적인 보안 관행을 강화해 준다. OT 환경에 대한 원격 액세스는 엄격하게 통제되어야 하며, 이상적으로는 공유되거나 일반적인 원격 액세스 도구가 아닌 전용 모니터링 연결을 통해 이루어져야 한다. IT와 OT 시스템 간의 네트워크 분리는 침해를 차단하는 가장 효과적인 방법 중 하나로, 비즈니스 네트워크의 랜섬웨어 감염이 물리적 공정을 실행하는 컨트롤러에 쉽게 도달하지 못하도록 보장한다.

유틸리티는 또한 공급업체 위험 관리를 일회성 검증이 아닌 지속적인 책임으로 취급해야 한다. 즉, 공급업체가 자사 시스템에 대해 어떤 데이터를 보유하고 있는지, 해당 공급업체가 자체 네트워크를 어떻게 보호하는지, 계약에 어떤 사고 통보 의무가 있는지 이해하는 것을 의미한다. VPN과 암호화된 원격 액세스 채널은 이러한 맥락에서 유용한 도구이지만, 이를 둘러싼 자격 증명 위생과 네트워크 분리만큼만 강력하다.

이것이 당신에게 의미하는 바

조직이 마이크로컴 제품에 의존하거나 워터 및 폐수 공급망의 공급업체와 협력하고 있다면, 자격 증명, 네트워크 세부 정보 또는 구성 데이터가 노출되었는지 여부를 확인하는 것이 즉각적인 우선순위다. 침해 범위에 대한 구체적인 정보를 얻으려면 공급업체에 직접 문의하고, 수사가 진행됨에 따라 연방 사이버보안 당국의 지침을 따르라. 더 넓게는 유틸리티 운영자의 경우, 어떤 제3자 공급업체가 OT 시스템에 원격 액세스 권한을 보유하고 있는지 감사하고 분리 및 모니터링 통제가 문서상으로만 존재하는 것이 아니라 실제로 시행되고 있는지 확인하기 좋은 시점이다.

워터 분야 외부의 독자들에게도 마이크로컴 침해 사고는 워터 분야 랜섬웨어 공격이 단일 기업에 국한되는 경우가 거의 없다는 것을 상기시켜 준다. 공급망은 공급업체, 유틸리티, 그리고 궁극적으로 안정적인 수도 서비스에 의존하는 대중을 연결한다. 이것이 공급업체 보안이 지원하는 인프라와 동일한 수준의 조사를 받을 자격이 있는 이유다.

수사가 진행되는 동안 정보를 계속 확인하고, 조직의 제3자 액세스 정책을 검토하며, 공급업체 침해를 남의 일로 치부하지 말고 자체 네트워크 분리를 재평가하는 신호로 삼으라.