풍력 터빈 대시보드에 지멘스 제어기 웹 서버와 위치 지도까지 드러나
스페인·그리스 태양광, 독일·이탈리아 풍력에 몰린 노출 시스템
원격 접속, ‘누가 접속하나’ 넘어 ‘어떤 명령인가’까지 검증해야

유럽 35개국 풍력·태양광 발전 단지에서 인터넷에 열려 있어선 안 되는 시스템 8547개가 그대로 노출돼 있었다.

모다트(Modat)와 네덜란드 국가사이버보안센터(NCSC-NL)가 함께 진행한 조사 결과로, 헬프넷시큐리티가 9일(현지시각) 보도했다. 조사 대상은 유럽연합(EU) 회원국과 그 주변국이다.

(출처: 모다트, 네덜란드 국가사이버보안센터)

노출된 시스템 중엔 단순한 로그인 화면도 있었지만, 브라우저만 있으면 누구나 정지 버튼을 누를 수 있는 터빈 제어 페이지도 있었다.

한 풍력 터빈의 웹 대시보드는 실시간 출력과 풍속, 회전자 데이터를 보여 주며 가동·정지·재설정 버튼을 드러내 놓고 있었다. 메뉴 하나는 터빈을 돌리는 지멘스 산업용 제어기(PLC) ET 200SP의 웹 서버로 이어졌다. 지도 페이지는 터빈 위치를 드러냈고, 항공 사진에는 이웃 터빈과 관리 건물, 진입로까지 찍혀 있었다.

로그인 화면 두 곳은 발전 단지 이름을 그대로 적어 두었고, 그중 한 곳은 최신 버전의 기본 사용자 이름이 root라는 안내까지 달아 두었다.

연구진은 머신러닝 군집 분석으로 비슷한 시스템을 자동으로 묶었다. 미리 탐지 규칙을 만들어 두지 않아도 새로운 장비 유형이 드러나는 방식이다. 실제로 연구진이 찾을 생각조차 못 했던 태양광·풍력 장비가 분석 결과에 나왔다.

노출된 시스템 8547개를 발전 종류별로 나누면 태양광이 7942개, 풍력이 605개다.

태양광 쪽 노출 시스템은 34개국에서 나왔다. 스페인이 2766개로 가장 많아 태양광 전체의 35%를 차지했고, 그리스 1860개, 이탈리아 753개, 독일 672개가 뒤를 이었다. 이 네 나라가 태양광 노출 시스템의 76%다.

풍력 쪽은 23개국에서 나왔다. 독일 212개, 이탈리아 192개로 두 나라가 풍력 노출 시스템의 67%를 차지했다. 태양광에서 1위였던 스페인은 풍력에선 11개에 그쳤다.

조사 대상 풍력 단지 규모는 10MW에서 4500MW 이상까지이고, 시스템 하나가 터빈 여러 기나 단지 전체를 제어하기도 한다. 숫자만으론 위험에 놓인 설비 용량을 다 가늠하기 어렵다. 게다가 연구진은 특정 발전 단지와 연결할 수 있는 시스템만 셌다. 헬프넷시큐리티는 실제 노출 규모가 이보다 크다고 짚었다.

분산형 재생에너지는 폭탄이나 드론, 사보타주로 공격하기는 어렵다. 연구진은 물리적으로는 매우 공격하기 어려운 표적이지만 사이버 공간에선 사정이 다르다고 밝혔다.

리투아니아는 중국 등 안보 위협국 기업이 100kW가 넘는 태양광·풍력·저장 설비를 원격 제어하지 못하게 막고 있다. 토마스 플랑크(Thomas Plank) 트리뷰테크(Tributech) 최고경영자는 이 규정이 누가 접속하는지만 다룰 뿐 접속 뒤에 무슨 일이 벌어지는지는 다루지 못한다고 밝혔다. 그는 시스템 대부분이 공급업체 국적과 상관없이 노출돼 있고, 유럽 업체라도 유지보수 계정을 도둑맞으면 똑같은 접근 권한이 넘어간다고 말했다.

그는 발전 단지가 외부와 수십 개의 원격 연결에 기대고 있어 그중 일부는 결국 뚫릴 것이라고 봤다. 일단 안으로 들어오면 네트워크는 정상 정지 명령과 악의적 정지 명령을 구별하지 못한다. 그래서 모든 명령마다 보낸 사람과 그 설비를 다룰 권한, 전송 중 위변조 여부를 확인해야 한다고 강조했다.

플랑크는 운영사가 업체별 개별 계정과 강한 인증을 쓰고 계정 공유를 없애야 한다고 권했다. 접근 권한은 특정 설비와 동작으로 좁히고 감시 권한과 명령 권한을 나누며 모든 명령과 설정 변경을 운영사가 직접 기록해야 한다고 말했다. 연구진은 무엇보다 관리 화면을 당장 인터넷에서 내리고, 공격자가 이미 안에 있다고 가정해 운영하며 현장을 수동으로 돌릴 능력을 유지하라고 권고했다.

출처 : 보안뉴스(https://www.boannews.com)