건축/환경에너지

Nikkei Construction_2022.8 특집 요약 (p32-56)

인프라가 해킹 당한다
사이버 공격으로 ‘재해 급’ 피해 우려도

인프라가 기능을 제대로 못하거나 해킹 등으로 인해 탈취당하면 시민에게 막대한 피해가 발생한다. 네트워크를 통해서 시스템에 부정 침입하는 ‘사이버 공격’으로 인프라가 표적이 되었을 때의 최악의 시나리오다.

시설의 원격 또는 자동 조작이나 ICT(정보통신기술)를 활용한 시공 추진, 클라우드 도입 등 건설 DX(디지털 트랜스포메이션)는 사이버 공격의 좋은 대상이다. 입찰 정보나 기술 정보의 탈취 위험과 더불어 건설업계가 직면한 사이버 공격의 위협을 취재한다.

Part 1. 건설업계에 닥쳐오는 위협
사이버 공격 대상인 인프라, 부정 조작으로 ‘재해 급’ 피해 우려

전 세계에서 인프라를 표적으로 한 사이버 공격이 증가하고 있다. 댐 방류 게이트 등의 설비가 부정하게 조작되면 대규모 수해의 우려가 있다. 상상할 수 없는 막대한 피해가 예상되지만 일본에서는 아직 그 위협을 충분히 인식하지 못하고 있다. 주요 인프라나 우수한 기술 정보의 탈취 위험도 우려된다.

네트워크를 통해 정보의 암호화나 정보 탈취, 디지털 기기의 오작동 등을 일으키는 ‘사이버 공격’이 끊이지 않고 있다. 피해 건수는 매년 증가하고 있다.

허위 기업명을 자칭하는 메일을 보내 금전을 편취하는 ‘피싱 사기’를 비롯해 개인도 정보관리에 신경을 써야 하는 시대가 되었다. 정보 탈취의 위험을 인식하고, 대기업을 비롯해 대책을 강구하는 기업들이 많아졌다.

한편, 제어 장치에 대한 보안 대책은 늦어지고 있다. 특히 거대 인프라에 관여하는 건설업계는 다른 업계보다 더 주력해야 하는데도 불구하고 분야에 따라서는 대책이 진척되지 않고 있다.

댐이나 수도, 철도 등의 제어장치가 탈취당하면 사회에 미치는 영향은 상상을 초월한다. 최악의 경우 예상치 못한 댐 방류나 수돗물 유독화, 열차 충돌 등 많은 사망자를 내는 사고가 발생할 수 있다.

과거 세계에서 일어난 사이버 공격에 의한 피해 사례를 보면, 건물이나 공장 등이 표적이 되었고, 그 중에 의외로 눈에 띄는 것이 인프라의 피해다.

예를 들면, 우크라이나에서는 2015년의 혹한기에 전력시설의 제어 장치 등이 부정 조작되었다. 복구까지 최대 6시간이 소요되는 대규모 정전이 발생했고, 약 22만 5,000명이 불편을 겪었다.

기술연구조합 제어시스템보안센터의 무라세(村瀬) 사무국장은 “최근에는 공격 수단이 고도화되면서 심각한 피해를 초래하게 되었다”라고 말한다. 2000년대 초반까지는 부정하게 얻은 ID나 패스워드로 네트워크에 접속하는 단순한 공격이 많았지만 최근에는 공격의 내용도 많이 바뀌었다.

대표적인 예로서, USB 메모리를 통한 바이러스의 감염이나 외부 네트워크와의 접속을 차단한 ‘폐역망’을 가상적으로 구축한 VPN(가상 폐역망) 장치의 취약성을 노린 공격을 들 수 있다.

‘폐역망을 확립했기 때문에 사이버 공격에 대한 우려는 없다’고 한 예전의 ‘안전 신화’는 무너졌다고 생각해야 할 것이다.

-- 텔레워크의 보급으로 피해 증가 --
최근의 공격 수단 트렌드는 랜섬웨어다. 감염되면 부정 동작 등을 일으키는 멀웨어(악의적 프로그램)의 일종이다. 원래의 상태로 복원하는 대가로 몸값을 요구하는 악질적인 범행이다.

텔레워크의 보급으로 원격 데스크톱의 이용이 증가하고, 사이버 공격의 표적이 되기 쉬워지면서 막대한 피해가 발생하고 있다.

랜섬웨어에 의한 인프라 피해 보고는 다음과 같은 것이 있다. 2021년에 미국 석유 파이프라인 사업자가 랜섬웨어 공격을 받아 조업을 중지했다. 완전 복구까지 열흘 안팎이 걸렸다. 주유소에는 기름을 넣으려는 사람들이 몰려 큰 혼란에 빠졌다.

마찬가지로 2021년에 미국 플로리다주의 정수장의 약품 주입 장치에, 수도국 직원의 원격 데스크톱을 통한 공격이 발생. 약품의 농도를 급격히 올리는 조작이 가해졌다. 원격 감시 중인 직원이 즉시 알아차려 실제 피해는 발생하지 않았지만 시민의 건강에 피해가 생기기 일보 직전이었다.

이 같은 사이버 공격의 위협은 해외에만 국한된 이야기는 아니다. 22년 3월에는 도요타자동차의 주요 거래처들이 랜섬웨어 공격을 받아, 국내의 모든 공장이 일제히 가동을 중지했다. 19년에는 나가노현 아치무라에서 수도 원격 감시 시스템의 데이터가 조작되었다.

-- 기업의 규모에 상관없이 공격의 표적 --
멀웨어에는 정보를 탈취하는 타입도 있다. 모르는 사이에 공격을 가해 정보를 빼내 가는 일도 드물지 않다.

“방위산업만큼은 아니더라도 건설산업도 충분히 표적이 될 수 있다”. 공안조사청 조사2부 사이버특별조사실 담당자는 이렇게 경종을 울린다. 방위시설과 전력시설 등의 설계 정보 외에 국제경쟁력 확보에 필수인 첨단 소재나 로봇 기술 등의 귀중한 정보를 보유하고 있기 때문이다.

“그 중에서도 최근에는 국가가 관여하는 공격이 심각한 위협이라고 보고 있다”(공안조사청의 담당자). 정치적, 군사적인 국가 목표를 달성하기 위해 비용도 신경 쓰지 않고 집요한 공격을 여러 차례 시도하기 때문이다. 고도의 공격의 경우는 그 흔적을 알아채지 못하는 경우도 있다.

그러한 국가 주도의 공격에서 표적이 되는 것은 기업의 규모와는 상관이 없다. 동시다발적인 공격에 의해 협력 회사를 경유해 원청 회사가 바이러스에 감염될 우려도 있다.

Part 2. 작은 마을의 수도 원격감시 장치를 공격
최악의 경우 단수 위험도

나가노현 남단 산간지역에 위치한 인구 약 6,000명의 아치무라. 수도시설의 원격감시 장치가 사이버 공격의 표적이 되었다. 최악의 경우 단수에 이르렀을 수도 있다. 정부가 그러한 사실을 제대로 파악하지 못했을 가능성이 있어 정보 공유의 과제가 부각되었다.

Part 3. 중대 사고는 단수만이 아니라 유독화도
사이버 대책에서 국가 지원은 기대하기 어려워

수도시설의 사이버 공격에서는 단수만이 아니라 시민의 신체에 직접 피해를 줄 수 있는 '수돗물 유독화'에도 신경을 써야 한다. 한시라도 빠른 대책이 요구되지만 사이버 공격을 상정한 훈련 등 각종 대책을 적극적으로 추진하는 것은 일부 대도시에 그친다. 중소 지자체에서는 대부분 아직 대책을 세우지 못하고 있다.

Part 4. 부정 제어에서 최악은 '대규모 수해'
댐에 대한 사이버 대책, 지연 확실시

국가가 중점적으로 사이버 방어를 강화하는 주요 인프라. 그 대상에 댐은 포함되지 않는다. 댐에 대한 사이버 공격은 대규모 수해 등 ‘유사 사태’를 초래할 우려가 있음에도 불구하고 말이다. 정부는 주요 인프라의 사이버 방위 시책을 연달아 세우고 있지만, 대상에서 누락된 댐에 대해서는 대책이 지연되고 있는 것이 눈에 띈다.

Part 5. 댐 방류 장치 원격화도 가동 제로
사이버 공격 우려로 난항

국토교통성은 6년 전에 원격지에서 댐의 홍수 방출 게이트를 조작할 수 있도록 방침을 전환했다. 재해 시의 착실한 조작 체제를 확립하기 위해서다. 그러나 사이버 대책 등의 보안 면에서 조정에 난항을 겪어 가동은 아직 제로다. 원격화와 사이버 대책 양립의 어려움이 부각되고 있다.

Part 6. 현장에서 부상하는 ‘건설기계 폭주 리스크’
ICT 시공과 사이버 대책은 투 트랙

일손 부족에 따라 건설현장에서의 효율화가 요구되고 있어 ICT(정보통신기술) 시공의 보급이 가속화된다. 한편 그동안 현장과 무관했던 사이버 공격의 위험이 커지고 있다. 만약 ICT 건설기계의 제어 조작을 해커에게 빼앗긴다면 사망사고 등 대형 참사를 초래할 수 있다.

Part 7. ‘하이브리드 전쟁’에서 군사 행동과 연동
복구를 담당하는 건설산업에 사이버 공격도

러시아의 우크라이나 군사 침공에서는 인프라에 대한 사이버 공격이 간헐적으로 발생하고 있다. 우크라이나는 과거 사이버 테러를 교훈 삼아 대책을 강화하고 있어 공격의 대부분을 미연에 방지하고 있다. 앞으로 침공으로 발생한 잔해 처리 작업 등에 참여할 것이 기대되는 일본도 무관치 않다.

Part 8. 건설 정보의 탈취로 수발주자 혼란
암호화로 인해 복구 장기화 우려도

기업 등이 보유하고 있는 기밀 정보의 탈취 피해가 그치지 않고 있다. 공사 발주 전의 설계도면이나 입찰 정보, 기술 정보 등이 유출되거나 암호화되면 다양한 관계자에게 불편을 준다. 뿐만 아니라 데이터 복구에 많은 시간이 걸려 주요 업무를 진행할 수 없게 된다.

 -- 끝 --

Copyright © 2020 [Nikkei Construction] / Nikkei Business Publications, Inc. All rights reserved.