4일 제주 메종글래드호텔에서 한국정보보호학회 CPS보안연구회 주최 '제18회 CPS 보안 워크숍'이 진행되고 있다./사진=이인애 기자

생성형 AI 확산으로 사이버 공격이 고도화되는 가운데, 발전소·공장·수처리시설 등 국가 핵심 인프라를 보호하기 위한 공급망 보안과 운영기술(OT) 보안의 중요성이 커지고 있다는 지적이 나왔다.

4일 제주 메종글래드호텔에서 열린 한국정보보호학회 CPS보안연구회 주최 '제18회 CPS 보안 워크숍'에서는 AI 시대 사이버물리시스템(CPS) 보안 위협과 대응 방안이 주요 화두로 다뤄졌다.

강봉호 ICTK 전무는 "인터넷에 연결된 모든 IoT 기기가 잠재적인 공격 수단이 될 수 있는 시대가 왔다"며 "공급망이 공격 경로가 되면 장비 자체가 무기가 될 수 있다"고 경고했다.

그는 최근 AI와 IoT 확산으로 소프트웨어뿐 아니라 하드웨어와 펌웨어 단계까지 포함한 공급망 검증 중요성이 높아지고 있다고 설명했다.

실제 사례로는 2011년 GPS 스푸핑(GPS 신호 위조 공격)을 통해 미국 무인정찰기를 교란한 사건과 위조 전자부품이 군수 공급망에 대거 유입된 사례가 소개됐다. 또 2024년 레바논에서 발생한 통신장비 폭발 사건 역시 장비 단계의 공급망 신뢰 문제가 물리적 피해로 이어질 수 있음을 보여준 사례로 언급됐다.

강 전무는 "CPS 환경에서는 데이터 유출보다 물리적 피해와 인명 사고가 더 큰 문제"라며 "신뢰는 디바이스 수준의 하드웨어 신뢰 기반(HRoT)에서 시작돼야 한다"고 강조했다.

미토스 등 AI 기반 공격 도구 등장 이후 OT 보안 환경도 빠르게 변화하고 있다는 진단이 나왔다.

유창훈 센스톤 대표는 "과거에는 경계망 탐지 중심이었지만 최근에는 OT 환경에서 취약점 공격을 어떻게 차단할 것인지가 새로운 과제가 되고 있다"고 말했다.

그는 OT 공격의 특징으로 해커가 악성코드를 배포하는 대신 직접 설비 제어권을 탈취하는 방식을 꼽았다. 실제 공격자는 산업제어시스템에 직접 접근해 설비를 오작동시키거나 운영을 방해하는 것을 목표로 한다는 설명이다.

특히 수처리 시설이나 화학 공장, 발전 시설이 공격받을 경우 단순 정보 유출이 아닌 물리적 사고로 이어질 수 있다는 점에서 위험성이 크다고 지적했다.

다만 IT 분야와 달리 OT 환경에서는 자동 차단 기술 적용이 쉽지 않다. 오탐으로 생산 설비가 멈출 경우 제조 공정 전체가 중단되는 등 피해 규모가 막대하기 때문이다.

유 대표는 "IT는 자동 차단이 가능하지만 OT는 가용성이 최우선이라 여전히 사람의 판단이 필요한 '휴먼 인 더 루프(Human-in-the-Loop)' 방식이 주류"라며 "현재 글로벌 OT 보안 시장도 탐지 중심에서 인증·식별 중심 보안으로 이동하고 있다"고 말했다.

유럽연합(EU)의 NIS2 지침 등 주요국 규제가 강화되는 가운데 업계는 OT 환경에서도 제로트러스트 개념을 적용하기 위한 인증 체계 구축이 필요하다고 보고 있다.

전문가들은 AI가 사이버 공격의 속도와 규모를 확대하는 상황에서 국가 기반시설 보안을 위해서는 탐지 중심 보안을 넘어 공급망 검증과 디바이스 인증 체계까지 포함한 새로운 보안 전략이 필요하다고 입을 모았다.

이인애 머니투데이방송 MTN 기자