요약
해커들이 유럽 슈퍼마켓 냉장고의 성에 제거 기능을 50도로 계속 돌게 바꿔 놓았습니다.
톰스하드웨어가 프랑스 지역지 라데페슈와 네덜란드 공영방송 NOS의 보도를 묶어 전한 소식입니다. 프랑스·벨기에·네덜란드의 대형 슈퍼마켓 체인이 일요일부터 사이버 공격을 받아 냉장 설비와 배송, 매장 가격 표시가 흔들렸습니다.
왜 중요한가
- 인터넷에 연결된 냉장 제어기가 뚫리면 정보 유출을 넘어 식품이 실제로 상하는 물리적 피해가 난다는 점이 드러났습니다.
- 프랑스 피해액은 벌써 30만 유로에 가깝고, 전국으로는 수백만 유로까지 늘 수 있다는 관측이 나왔습니다.
핵심 내용
- 공격당한 것은 앵테르마르셰, 르클레르, 쿠페라티브 U 매장에 쓰인 댄포스의 냉장 제어기였습니다.
- 하루 2시간만 도는 자동 성에 제거를 50도로 쉬지 않고 돌게 바꿔, 냉장고에서 열기가 뿜어져 나왔다고 합니다.
- 쿠페라티브 U의 도미니크 셸셰르 회장은 공격을 확인하고 매우 심각한 사건이라며 조사를 약속했습니다.
- 네덜란드에서는 알버르트 하인·에토스·갈앤갈의 웹사이트가 내려가 배송이 막혔고 전자 가격표도 피해를 입었습니다.
- 두 공격이 서로 관련이 있는지와 피해 범위는 아직 확인되지 않았습니다.
HN 반응
- 마진이 1~3%인 슈퍼마켓이 오래된 설비를 바꾸기 어렵다는 동정론과, 애초에 온도 제어를 원격으로 열어 둘 필요가 없었다는 비판이 맞섰습니다.
- 일부 이용자는 장비를 통째로 바꾸지 않아도 VPN이나 별도 인증 계층 뒤에 두기만 하면 공격당할 틈을 크게 줄일 수 있다고 지적했습니다.
요즘 올라오는 댓글 중 일부를 믿는다면, "Danfoss CVE"로 검색해 보세요. 용의선상에 오른 것 중에는 Danfoss SM800(2021년 지원 종료)이나 SC355(2016년 지원 종료)처럼 15~20년 된 컨트롤러가 있습니다.
그냥 바꾸면 되지 않느냐고요? 남는 마진이 없습니다. 취약점이 알려져 있었잖느냐고요? 그래도 남는 마진이 없습니다.
노트북 앞에서 일하는 계층은 교대 근무를 하는 노동 계층에게 보안 점검이나 주기적인 장비 교체 같은, 당연하게 여기는 기본적인 것들이 사치라는 사실을 잘 이해하지 못합니다.
물론 저라면 Tailscale을 깔았을 겁니다. 하지만 마진 3%로 버티는 식료품점 점장이 정말 그러겠습니까? 본사에서 중앙 통제하는 체인점 소속이라면요? 점장이 쓰는 다른 십수 년 된 기술도 마찬가지입니다. 문제가 생기면 전화를 걸고, 기사가 파견될 때까지 기다리는 수밖에 없습니다.
기본 보안을 의무화하는 법이 결국 도움이 되겠지만, 특히 원자재 산업에는 삐걱대는 낡은 인프라가 늘 있을 겁니다. 게다가 앞으로 수많은 해킹과 장애를 일으킬, 소외된 남자들 대부분은 아직 인터넷에 편입되지도 않았습니다.
IoT 장치나 산업용 장치와 바깥 세상 사이에 끼워서, 스스로 업데이트하는 고급 프록시 역할을 하는 작은 장치가 팔릴 시장이 분명히 있어야 합니다.
개념은 이렇습니다. 물리적인 설비와 PLC, 어쩌면 HMI가 있습니다. 한번 제대로 돌아가기 시작하면 아무도 손대고 싶어 하지 않는 게 당연합니다. 하지만 원격 접속 시스템도 있고, 원격 쪽 접근은 전부 계속 업데이트되는 프록시를 거치게 해서 인가된 사용자에게만 접근을 허용해야 합니다. 가능하면 모든 것을 기록하고, 일종의 웹 애플리케이션 방화벽 역할도 하면 좋습니다.
Tailscale이 꽤 근접해 있으니, 보안이 강화된(증명된 부팅, 변조 방지) 장치를 팔아 보는 것도 생각해 볼 만합니다. 이더넷 포트 두 개(업링크 쪽은 PoE)와 와이파이 클라이언트 기능을 갖추고요. 시리얼 번호를 붙여서 tailnet에 추가할 수 있게 하되, 남의 장치를 자기 tailnet에 추가하는 것은 아무도 못 하게 만드는 겁니다.
부품 원가는 20달러쯤 될 겁니다. 고급형 ESP32급 하드웨어에 이더넷 하드웨어를 더하면 되고, 100Mbps면 충분합니다.
음, 창업 아이디어네요. 누구든 팔 수 있습니다. 장치에는 작은 부트로더가 있고 모드가 두 가지입니다. 프로비저닝 모드에서는 본사 서버(본사는 판매사입니다. 다만 기업용 요금제에는 망 분리 모드가 있어서, 판매사가 서명한 설정 파일을 주면 장치가 PXE 방식으로 TFTP를 통해 가져옵니다)에 자신을 증명하고 설정을 받습니다. 프로비저닝이 끝난 모드에서는 설정된 대로 동작하고, 펌웨어와 설정을 증명해서 예컨대 Tailscale에 인증받을 수 있습니다.
저는 그보다 더 큰 문제라고 생각합니다. 산업 제어 시스템 업그레이드는 심각한 일이라, (제대로 하려면 적어도) 많은 계획과 고민이 필요합니다. 교체할 하위 시스템이 이미 수십 년 된 것이라면 특히 그렇습니다.
(HN 사람들을 포함해) 압도적 다수는 산업 시스템이 얼마나 복잡한지 전혀 모른다고 생각합니다. 처음 지어진 그대로도 복잡한데, 수십 년간 진화를 거친 뒤라면 더합니다. 이런 분야에서 제대로 엔지니어링을 하려면 돈이 많이 듭니다.
보안에 허술한 슈퍼마켓 체인을 탓하는 것은 합리적이지만, 지금 우리는 이런 문제를 고치려는 슈퍼마켓 체인(이든 다른 누구든)을 분명히 뒷받침해 주고 있지 않습니다.
하지만 공격 표면을 크게 줄이는 데 시스템 전체를 교체할 필요는 없습니다. 수십 년 동안 해 온 대로, 취약한 장치를 VPN이나 추가 인증 계층 뒤에 두면 됩니다.
컨트롤러 쪽을 건드리는 것보다 훨씬 적은 작업(많아야 네트워크 설정 몇 개를 바꾸는 정도)이고, 공격자가 "전국 IP 대역에 대고 컨트롤러 기본 포트로 nmap을 돌리는" 대신 적어도 내부망 경계를 뚫고 들어와 뒤져서 장치를 찾아내야 하게 됩니다.
시스템을 최신 상태로 유지하고 관리하는 쪽이 더 비쌉니까, 아니면 어느 날 갑자기 상품이 전부 못 쓰게 된 뒤에 어차피 업그레이드 비용을 내야 하는 쪽이 더 비쌉니까? 그렇게 해야 이런 자의적인 재산 파괴가 반복되지 않을 텐데요.
"보험이 있잖아요"라는 말이 나오기 전에 말씀드립니다. 이론상 보험으로 일부 완화할 수는 있지만, HN 사람들은 보험사가 100% 지급을 원치 않는 수백만 달러짜리 보험금 청구를 처리하는 게 어떤 건지 모른다고 생각합니다. 이런 일의 법적 다툼은 몇 년씩 걸리고, 그것만으로도 비용이 어마어마합니다.
일어난 건 딱 한 번입니다. 계산은 해 보셨습니까? 어느 쪽이 더 비쌌는지, 이 해킹이 일어날 확률이 몇 퍼센트였는지 말씀해 주실 수 있습니까?
누군가는 계산을 했습니다. 지속적인 유지보수 비용 대 상품 손실 비용을요. 유지보수 비용만큼의 가치가 없다고 판단해서 그 위험을 감수했고, 그 위험이 현실이 된 겁니다.
이런 일은 늘 벌어집니다. 안타깝게도 제 경험으로는 위험 수용의 대부분이 그 위험의 비용을 제대로 믿지도 않은 채 이뤄지고, 사람들은 뭐든 그냥 받아들입니다. 이번에도 그런 사람이 수용했을 가능성이 아주 높습니다.
점잖게 부르면 '자가 보험'이라고 하고, 그게 옳은 선택인 경우도 많습니다.
그런 종류의 위험은 수십 년 동안 이론에 불과했으니, 값이 사실상 0이었던 겁니다.
이제 대규모 사고가 실제로 나왔으니, 슈퍼마켓 설비의 시스템과 보안을 업그레이드하는 데 실질적인 금전 가치가 매겨질까요.
지금까지 그 값이 대부분 0이었다는 건 맞는 말이라고 생각합니다. 하지만 한편으로 HN에는 IoT 장치와 인터넷에 연결된 산업 장비의 이런 위협이 이론에 그치지 않으며, 지금까지 더 자주 악용되지 않은 게 놀랍다고 말하는 사람들의 10년 넘은 사례가 있습니다.
HN에서 온갖 소리를 하는 사람들의 10년 넘은 사례라면 저도 찾을 수 있는데, 그중 상당수가 얼마나 황당한지 놀라울 정도입니다.
최근 3개월 사이 제가 겪은 사이버 보험 청구는 보험금 받기가 사실 꽤 수월했습니다. 피싱 시도로 약 25만 달러를 잃은 건이었습니다(누군가 송금용 결제 정보를 가로채 바꿔치기했습니다).
해결책은 인터넷에서 떼어내고, DOS를 쓰고, 업데이트하려면 플로피 디스크를 직접 넣게 하는 겁니다.
처음과 마지막은 알겠는데, DOS가 어떻게 도움이 됩니까?
최신 운영체제를 써도 아무 문제 없습니다.
과장법을 유머로 쓰신 것 같습니다.
별로 설득력이 없네요. 애초에 네트워크로 제어하는 냉장고는 필요 없습니다. 게다가 그 네트워크 제어를 구축하는 데도 공짜가 아니었고요. 이건 비용 절감의 문제가 아니라, IT 쪽 사람들이 수십 년째 설교해 온 걸 무시한 문제입니다. 공격 경로를 만드는 데 돈을 더 쓰고, 그 경로가 악용되면 큰돈을 잃는 거죠. 마진이요? 마진 때문이었다면 이런 문제가 생기지도 않았을 거예요.
(원격 모니터링이 필요한 건 이해해요. 냉동고가 제대로 돌아가는지 확인하는 거요. 문제는 온도를 제어하는 쪽입니다.)
방금 병원 검사실 기사님과 얘기를 나눴습니다.
요즘 나온 일부 검사 장비는 유료 구독이 없으면 검사를 돌릴 수 없어서 인터넷 연결이 필수라고 합니다. 구독 크레딧이 없으면 검사도 못 하는 거죠.
여기 댓글을 단 많은 분들이 "냉동고를 대체 왜 인터넷에 연결하는 거야??"라고 하시기에 말씀드립니다.
저는 그런 댓글이 참 흥미롭습니다. HN 사람들 중 상당수가 인터넷 기반 구독 모델에 필요한 기술을 만든 회사에서 일했으니까요.
이런 미래는 정말 우울한데, 많은 사람이 적극적으로 외면하고 있다고 생각합니다.
게다가 돈도 잘 벌고요.
영상의학과는 있지만 판독할 영상의학과 전문의가 현장에 없는 병원과 의원은 훨씬 더 많습니다. 검사 결과는 전부 때로는 100마일 넘게 떨어진 원격 영상의학과 전문의에게 보내집니다.
인터넷이 끊기면, 자기가 지시한 스캔이나 엑스레이에서 영상의학과 판독 보고서 말고는 아무것도 보지 않는 의사들이 응급 검사를 판독해 주기를 기대하기는 어렵습니다.
그건 별개의 문제 같습니다. 저는 (예를 들어) 카메라를 인터넷에 연결하지 않고도 전 세계 누구에게나 이미지를 이메일로 보낼 수 있으니까요.
a) USB 메모리도 감염 경로가 된다는 건 아시죠? b) 시간이 촉박한 생사의 결정에 번거로운 인편 전달 단계를 끼워 넣는 건 좋은 생각이 아닐 수 있습니다.
외과의는 수술실에서 엑스레이를 늘 봅니다. 특히 정형외과가 그렇습니다.
위기 상황이 되면 외과의가 영상의학과 일을 직접 할 겁니다. 투덜대겠지만, 어쨌든 처리는 될 거고요.
이렇게 얻는 점진적인 효율 개선이 피해보다 클지 궁금합니다. 아무도 "누가 이걸 해킹하면 어쩌지?"라고 한 번 생각해 보지 않은 게 아니라면, 아이디어 자체는 나쁘게 들리지 않습니다.
이런 산업 시스템에서 식품 낭비와 품절을 줄이려고 얼마나 많은 노력이 들어가는지 사람들은 과소평가합니다. 공급망 전체가 이런 내장 센서와 제어 시스템을 이용해 조율하면서, 안전한 식품을 언제나 가능한 한 가장 낮은 비용으로 공급하는 겁니다.
이런 환경에서는 연결 자체가 까다로운 경우가 많습니다. 가정용 냉장고를 와이파이에 연결하는 것과는 다릅니다. 여러 당사자가 접근해야 하는 이상한 네트워크들을 잇는 경우도 있습니다. 보안이 갖춰져야 하는 건 맞지만, 생각만큼 간단하지 않습니다. 이런 시스템은 수명이 아주 긴 것이 많아서, 만들어질 당시의 기술을 반영한 제약이 많습니다.
보통 사람 눈에는 전혀 보이지 않지만, 이런 것들이 세상을 돌아가게 합니다.
제가 보기에 공급망 전체는 법이 허용하는 한도 안에서 이윤을 최대한 뽑아내려고 움직이는 겁니다. 그 밖에 눈에 띄는 다른 현상은 우연히 생긴 것이고, 아마 일시적일 겁니다. 규제 환경이나 시장이 바뀌어 동전 한 푼이라도 더 벌 수 있게 되는 순간 망가지거나 버려지겠죠.
오히려 품절 목표 수준을 먼저 정해 놓고, 그 수준을 넘지 않는 선에서 낭비를 최소화하려는 것처럼 보입니다. Safeway에 갈 때마다 사려던 물건이 거의 항상 떨어져 있습니다. Trader Joe's가 더 믿을 만한데, 아마 재고로 갖춘 품목 수가 더 적어서일 겁니다.
그런데도 2000년에도 슈퍼마켓은 이런 연결 기능 없이 인플레이션을 감안한 가격으로 비슷하거나 더 싸게 물건을 팔았습니다.
이런 것 중 많은 부분이 사업에서 마진을 조금 더 쥐어짜려고 존재하는 건 맞지만, 그래도 너무하잖아요. 대안은 중세로 돌아가자는 게 아니라 이윤율을 0.1% 깎자는 겁니다. 그 위험을 감수할 만한 가치가 있는지 따져 보는 것은 괜찮은 일입니다.
식료품점은 소매업 전체에서도 마진이 가장 낮기로 악명이 높고, 보통 1~3% 선에 머뭅니다. 이 업종은 비효율을 감당할 여유가 거의 없어서 운영비를 줄이는 데 이만큼 공격적일 수밖에 없습니다.
최근 수십 년간 늘어난 이익은 아주 낮은 마진으로 제품을 파는 소매 체인이 아니라 대형 식품 회사가 가져갔습니다.
캘리포니아의 대형 식료품점에서 파는 9달러짜리 Cheerios 한 상자의 마진이 궁금하네요.
몇 년 전에 아침 식사 비용을 올리겠다고 약속하긴 했죠.