요약
해커들이 유럽 슈퍼마켓 냉장고의 성에 제거 기능을 50도로 계속 돌게 바꿔 놓았습니다.
톰스하드웨어가 프랑스 지역지 라데페슈와 네덜란드 공영방송 NOS의 보도를 묶어 전한 소식입니다. 프랑스·벨기에·네덜란드의 대형 슈퍼마켓 체인이 일요일부터 사이버 공격을 받아 냉장 설비와 배송, 매장 가격 표시가 흔들렸습니다.
왜 중요한가
- 인터넷에 연결된 냉장 제어기가 뚫리면 정보 유출을 넘어 식품이 실제로 상하는 물리적 피해가 난다는 점이 드러났습니다.
- 프랑스 피해액은 벌써 30만 유로에 가깝고, 전국으로는 수백만 유로까지 늘 수 있다는 관측이 나왔습니다.
핵심 내용
- 공격당한 것은 앵테르마르셰, 르클레르, 쿠페라티브 U 매장에 쓰인 댄포스의 냉장 제어기였습니다.
- 하루 2시간만 도는 자동 성에 제거를 50도로 쉬지 않고 돌게 바꿔, 냉장고에서 열기가 뿜어져 나왔다고 합니다.
- 쿠페라티브 U의 도미니크 셸셰르 회장은 공격을 확인하고 매우 심각한 사건이라며 조사를 약속했습니다.
- 네덜란드에서는 알버르트 하인·에토스·갈앤갈의 웹사이트가 내려가 배송이 막혔고 전자 가격표도 피해를 입었습니다.
- 두 공격이 서로 관련이 있는지와 피해 범위는 아직 확인되지 않았습니다.
HN 반응
- 마진이 1~3%인 슈퍼마켓이 오래된 설비를 바꾸기 어렵다는 동정론과, 애초에 온도 제어를 원격으로 열어 둘 필요가 없었다는 비판이 맞섰습니다.
- 일부 이용자는 장비를 통째로 바꾸지 않아도 VPN이나 별도 인증 계층 뒤에 두기만 하면 공격당할 틈을 크게 줄일 수 있다고 지적했습니다.
알고 보니 사용자 이름은 admin이었고, 비밀번호는 매일 그날 날짜로 자동 재설정됐다고 하더군요. 제 생각엔 해킹이라기보다 중대한 과실에 가깝습니다.
https://x.com/intcyberdigest/status/2109753360282767451
제가 이해하기로는 하위 트윗에 걸린 보안업체 분석 글을 보면, 단순히 현재 날짜가 비밀번호인 게 아닙니다. 현재 날짜만 시드로 쓰는 허술한 알고리즘이 있다는 얘기입니다. 그리고 이 메커니즘은 일반 인증과 별개로 존재합니다. 그러니까 관리자 비밀번호는 따로 있었고, 알고리즘을 역공학으로 알아내면 그 비밀번호를 몰라도 로그인할 수 있었던 겁니다.
그래서 저는 역시 펌웨어 문제라고 봅니다. 관리자가 자발적으로 비밀번호를 오늘 날짜로 정해 놓는 경우는 없으니까요.
문제의 분석 글입니다: https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
이런 게 있는데 비밀번호가 무슨 소용이래요?
유럽에 DMCA가 없다니 안타깝네요. 저런 식의 우회(해킹!)는 불법이어야 하는데 말이죠.
농담일 수도 있지만, EU에는 사이버 복원력법(Cyber Resilience Act)이 있다는 점은 짚어 둘 만합니다. 이 법은 이런 보안 허점이 있는 기기를 만드는 것 자체를 불법으로 규정하고, 대체로 2027년 12월부터 시행됩니다.
저는 임베디드 보안 분야에서 일합니다. CRA와 RED는 판도를 바꿀 겁니다. 몇 년 늦었다는 지적은 할 수 있겠지만, 그래도 EU가 보안 요건에 이빨을 달아 준 건 사실이죠. 아주 비싼 이빨이긴 하지만요.
미국 기업 데이터 팀들이 GDPR이 시행됐을 때만큼 재빨리 자세를 고쳐 잡고 실제로 뭔가를 한 경우는 별로 못 봤습니다. 다른 문제는 차치하고, 이빨이 있다는 부분은 효과가 있는 것 같아요.
DORA 탐험가 법이네요. 몸값도 내고 벌금도 내야 하니까요.
그건 DMCA가 아니라 CFAA(컴퓨터 사기 및 남용 방지법)입니다.
그리고 유럽에도 당연히 비슷한 법이 있습니다.
DMCA는 현존하는 최악의 법 중 하나입니다.
뭐, 적어도 비밀번호를 자주 바꾸는 데는 진심이었네요...
SOC2 준수율 90배네요.
수정: 따지고 보면 ISO 27001 인증은 받았다고 합니다. 아주 대단한 사이버 보안이네요! :P
https://www.danfoss.com/en/about-danfoss/news/cf/danfoss-reinforces-commitment-to-cybersecurity-with-iso-27001-certification/
ISO 27001이란 위험을 모니터링하고 지속적으로 개선하고 있다는 걸 증명할 수 있는 프로세스가 갖춰져 있다는 뜻입니다. 정책이 있고, 그 정책을 심사관에게 보여 줄 수 있다는 뜻이기도 하죠.
그 인증이 있다고 해서 실제로 보안이 탄탄하다고 절대 믿으면 안 됩니다. 그저 회사가 심사용 춤을 출 줄 안다는 뜻일 뿐입니다.
엄밀히 말하면 그 표현은 개선할 거리가 절대 바닥나지 않도록 결함을 늘 넉넉히 공급해 둔다는 뜻이기도 하겠네요 ;)
개선할 거리는 절대 바닥나면 안 됩니다. 심사받을 때 제1원칙이죠.
한번 보면 뻔히 보이지만 사소한 결함은 항상 어딘가에 남겨 두세요. 심사관이 물고 늘어질 만한 결함이요. 그러면 인증을 내주기 전에 해결 계획을 세워 오라고 지목해 줄 테고, 미리 준비해 뒀으니 계획서는 금세 쓸 수 있습니다.
좋은 심사관과 이런 일을 실제로 진지하게 하는 회사라면 27001에서 얻을 게 있습니다. 그런 경우는 전체 27001 인증의 5% 정도겠죠.
운이 좋으면 몇 년 뒤 조기 퇴직만 바라보며 그냥 따라온 심사관을 만납니다. 농담도 주고받고 점심도 얻어먹는 사람이죠. 저도 한 번 그런 분을 만났습니다. 물론 보안에는 털끝만큼도 도움이 안 되지만, 심사 기간은 훨씬 느긋해집니다.
하지만 그건 다른 어떤 심사관도 마찬가지잖아요...
비밀번호는 자주 바꿀수록 강해집니다.
그게 보안을 오히려 약화시키는 관행이라는 건 수년 전부터 인정돼 왔습니다.
흥미롭네요. 댄포스 취약점이 2026년 8월 말 미국 군 기지 전반에서 벌어진 비슷한 사건과 관련 있다는 의심이 있었거든요.
https://signalandsilence.substack.com/p/i-think-someone-hacked-the-commissary
같은 그룹일까요? 아니면 그 글을 읽고 영감을 받은 누군가일까요? 아니면 완전히 무관한 걸까요?
저도 바로 그 글이 떠올랐어요. 정말 흥미롭네요. 누가 옵션이나 선물, 아니면 다른 난해한 금융상품으로 이걸 돈벌이에 이용했을 수도 있겠다 싶어요. 다른 동기는 떠올리기 어렵네요.
러시아가 이런 식의 잡다한 짓을 하고 있다고 봐요. 외교 차원에서 거론될 만한 강한 행동이 아니라, 그냥 전반적인 혼란을 퍼뜨리는 게 목적이라고 이해하고 있습니다.
정말요? 너무 만화 같은 악당 짓 같잖아요. 어린이 만화 악당이나 할 법한 짓이요. 의미 있는 영향도 없고요.
글쎄요, 맞기도 하고 아니기도 합니다. 권력을 쥔 사람들에게 가해지는 압박이 커지거든요. 압박이 커지면 실수도 늘고요.
이번 경우 의문은, 미군 냉동고가 앞서 해킹당했다면 왜 아무도 다른 냉각 설비 운영자들에게 상황을 알리지 않았느냐는 겁니다. 지휘부의 실패죠! 다들 허둥대고 칼날이 오가는 중입니다.
하지만 어쩌면 근본적인 소프트웨어 문제 같은 걸 고칠 수 없었고, 더 많은 공격에 노출될까 봐 세부 내용을 공유할 준비가 안 됐을 수도 있습니다. 게다가 공격은 항상 쉴 새 없이 벌어지는데, 그중 어느 걸 공유하겠습니까?
최상층의 심리적 압박이 커지면 실수가 더 많아집니다. 그 실수는 과잉 대응이나 과소 대응처럼 미묘한 형태일 수도 있고, 아무것도 하지 않는 것일 수도 있습니다. 적절한 대응이 무엇인지 평가하는 것 자체가 상당한 노력이 드는 일입니다. 예를 들어 군이 민간 사업자들에게 더 빨리 연락할 수도 있겠지만, 그러면 모든 소통과 질문을 군이 떠안아야 하고 공격 경로가 더 새어 나갈 가능성도 있습니다. 민간 쪽도 군에서 오는 이메일을 읽어야 하는 부담이 생기고, 내부적으로도 그 심각성을 판단하는 소통 부담을 감당해야 합니다.
이게 문제인 이유는, 이런 일에 쓸 여력이 있는 조직이 거의 없어서 선택을 해야 하기 때문입니다. 군의 연락에 대응하다가 소통이나 관리의 병목 때문에 다른 데서 실수할 위험을 지거나, 그 반대를 택해야 합니다. 나쁜 선택지뿐이죠. 그리고 이런 일이 생길 때마다 또 선택을 해야 합니다.
이런 공격 중 상당수는 영향이 감당 가능한 낮은 수준이라서 시간이 갈수록 경계심을 떨어뜨리고, 결국 정말 심각한 일이 터지는 순간이 옵니다. 그때 다들 지쳐 있다면 값비싼 실수가 실제로 벌어지겠죠. 긴 호흡의 싸움입니다.
이번 건에서는 이미 눈에 띄는 대상에게 이 공격이 쓰였으니, 막히기 전에 그 공격 경로를 더 넓게 써먹는 게 낫다는 판단이 한몫했을 거라고 확신합니다.
CVE는 2025년 중반에 나온 것이고, 댄포스도 그때 펌웨어 업데이트를 내놨습니다. 고칠 시간은 충분했어요.
수정본이 있었다면 왜 댄포스는 수정을 못 했던 겁니까?
펌웨어 업데이트가 있었다는 데는 동의하지만, 모든 고객의 (메모 확인 중) 냉동고를 업데이트할 운영 역량이 없었다면 그건 수정이 아닙니다. 문제를 푸는 이론적·기술적 측면은 대개 쉬운 부분이거든요.
마치 NASA가 화성의 오퍼튜니티 탐사 로버를 다시 가동할 방법이 있다고 주장하는 것과 같습니다. 배터리만 교체하면 된다고요. 하지만 실제로 배터리를 교체할 방법이 없다면 그건 수정이 아니죠.
펌웨어 업데이트가 존재한다고 해서 하드웨어 제조사의 과실 책임이 사라져야 할 이유를 모르겠습니다.
그런데 조직도상 주방의 펌웨어 업데이트를 확인하는 일은 대체 누가 맡고 있는 겁니까?
IT 부서죠. 그럴 자원과 역량이 있었느냐는 또 다른 문제지만요. (유능한 IT라면 애초에 그런 장비가 인터넷에 직접 연결되는 것도 막아야 합니다.)
누가 맡았든 인터넷으로 원격 관리자 화면에 쉽게 접속할 수 있으니, 패치를 안 하고 방치할 변명은 정말 없습니다!
이 질문에 답이 나오기 전에는 냉동고용 이더넷 선을 깔면 안 됩니다.
잠깐, 자체 셀룰러 모뎀이 있다고요? 그럼 없던 얘기로 하죠.
"자기야, 네 냉장고 DM으로 슬쩍 들어가 볼게."