2026년 3월 발생한 로스앤젤레스 카운티 메트로폴리탄 교통국(LACMTA) 침해는 단순한 데이터 유출 사건으로만 보기 어렵습니다. 주목할 지점은 공격자가 내부 자료뿐 아니라 교통 운영과 맞닿은 시스템 접근까지 주장했다는 점입니다.
교통기관의 보안 사고는 일반 기업의 IT 침해와 결이 다릅니다. 운영기술(OT)은 열차, 설비, 야드, 제어 화면처럼 물리 인프라와 연결된 시스템을 감시하거나 제어합니다. 이 영역이 노출되면 개인정보나 문서 유출을 넘어 서비스 중단, 안전 리스크, 복구 지연으로 이어질 수 있습니다.
핵심은 “무엇을 훔쳤나”보다 “어디까지 닿았나”다
Dataminr는 Ababil of Minab을 친이란 성향의 위협 행위자로 설명했습니다.1 이 그룹은 LACMTA의 가상화 인프라, 웹 서버, 철도 야드 관리 시스템에 접근했다고 주장했습니다.1
특히 VMware vCenter와 같은 가상화 관리 콘솔은 여러 서버를 한 번에 관리하는 핵심 지점입니다. 이 권한이 실제로 침해됐다면 단일 서버 감염을 넘어 대규모 중단, 랜섬웨어 배포, 장기 잠복으로 이어질 수 있습니다.
또한 그룹은 텔레그램 채널과 자체 웹사이트에 스크린샷과 영상을 공개했습니다.1 다만 이런 공개 자료만으로 실제 침해 범위와 피해 규모를 확정할 수는 없습니다. 방어 관점에서는 “주장이 과장됐는가”를 따지기 전에, 그 주장이 사실일 경우 어떤 운영 리스크가 발생하는지부터 검증해야 합니다.
핵티비스트 주장만으로 성격을 단정할 수 없다
Ababil of Minab은 LACMTA 시스템에서 데이터를 훔친 뒤 삭제했다고 주장했습니다. 한편 Gambit Security는 이번 침해가 이란 정보보안부(MOIS) 소속 해커들의 소행이라고 평가했습니다.2
이처럼 정치적 메시지를 내세우는 그룹이 전면에 등장하더라도, 그 배후나 목적은 단순하지 않을 수 있습니다. 최근 사이버 분쟁에서는 국가가 직접 이름을 드러내기보다, 핵티비스트처럼 보이는 조직을 통해 영향력 행사, 심리전, 혼란 조성을 시도하는 방식이 자주 나타납니다.
따라서 조직이 먼저 던져야 할 질문은 “누가 했는가”가 아닙니다. 더 중요한 질문은 “어떤 계정이 사용됐는가”, “어떤 시스템에 접근했는가”, “IT에서 OT로 넘어갈 수 있는 경로가 있었는가”입니다.
교훈은 분리, 로그, 권한에서 시작된다
LACMTA 사건이 주는 실무적 교훈은 명확합니다. 인터넷에 노출된 IT 시스템과 운영 환경이 실제로 분리되어 있는지 확인해야 합니다. 문서상 “분리되어 있다”는 설명만으로는 부족합니다. 방화벽 규칙, 원격 접속 경로, 계정 권한, 로그 기록을 기준으로 검증해야 합니다.
Dataminr는 vCenter 관리자 계정과 설정 변경 이력, 스냅샷 및 VM 삭제 기록을 점검하고, IIS 서버의 웹셸과 파일 변조 여부를 확인하라고 권고했습니다.3 또한 특권 계정과 서비스 계정의 비밀번호 재설정도 필요하다고 봤습니다.3
이 점검은 교통기관에만 해당하지 않습니다. 병원, 항만, 제조, 에너지 기업도 같은 기준으로 자사 환경을 봐야 합니다. 핵심 질문은 “침해되면 데이터가 새나가나?”에서 멈추면 안 됩니다. “침해되면 운영이 멈추는가?”, “복구에 얼마나 걸리는가?”, “안전에 영향을 줄 수 있는가?”까지 이어져야 합니다.
LACMTA 침해는 교통망 보안이 더 이상 IT 부서만의 문제가 아니라는 점을 보여줍니다. 운영을 지탱하는 시스템이 연결될수록, 보안의 목표도 정보 보호를 넘어 서비스 지속성과 안전 확보로 확장되어야 합니다.
2Iranian hackers blamed for breach of Los Angeles transit system that took weeks to recover
3Cyber Intel Brief: Pro-Iranian Actor Ababil of Minab Claims Cyberattack on LA Metro (LACMTA)
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.