요약
공격 닷새 전 프랑스에서 인터넷에 열려 있던 냉장 제어 장치 85%에 알려진 보안 결함이 있었습니다.
10월 11~12일 밤 프랑스 슈퍼마켓 수백 곳의 냉장 설비가 해동 모드로 바뀌어 식품을 대거 버리는 사고가 났습니다. 인터넷 주소 정보 업체 IPinfo가 매주 하는 인터넷 전체 스캔 기록으로 공격 전후의 노출 상황을 분석했습니다.
왜 중요한가
- 공격받은 장치들이 몇 달 동안 같은 주소에서 결함을 안은 채 열려 있었습니다. 미리 막을 시간이 충분했다는 뜻입니다.
- 같은 결함을 안은 장치가 69개 나라·지역에도 열려 있어 프랑스만의 문제가 아닙니다.
핵심 내용
- 공격 닷새 전 단포스 StoreView 대시보드(냉장 제어기를 원격 관리하는 웹 화면) 2,528개가 보였고, 그중 1,331개가 프랑스에 있었습니다.
- 프랑스 대시보드 1,136개가 결함이 알려진 소프트웨어를 썼고, 모든 패치를 마친 것은 195개뿐이었습니다.
- 3월 말에도 같은 주소에 있던 장치가 1,019개였고, 패치를 마친 신형 비율은 14%에서 24%로 오르는 데 그쳤습니다.
- 공격 이틀 뒤 프랑스에는 316개만 남았는데, 패치된 장치도 함께 줄어 갱신보다 연결 차단이 많았던 것으로 봤습니다.
- 다만 스캔만으로는 공격 경로나 공격자, 실제로 악용된 결함을 알 수 없다고 밝혔습니다.
HN 반응
- 일부 이용자는 문제의 결함이 날짜로 계산하는 백도어 비밀번호였고, 보안 업체 시낙티브가 이미 2023년에 보고했다고 지적했습니다.
- 냉장고를 인터넷에 둘 이유가 없다는 의견과, 온도 기록 같은 원격 관리는 필요하니 VPN 뒤에 두면 된다는 의견이 갈렸습니다.
글쓴이는 2025년의 취약점을 "로그인 우회"라고 후하게 불러 주지만, 실제로는 그보다 훨씬 심각합니다. 펌웨어에 "날짜 기반 비밀번호" 메커니즘이 들어 있었습니다. 마치 90년대로 돌아간 것처럼, 백도어 비밀번호가 내장되어 있었던 겁니다.
원래 연구자는 제보하고 1년이 지난 올해 8월에 이 내용을 공개했고 [1], 보고서 제목을 "Defrost the Food"(음식을 해동하라)로 붙였는데, 공격자들이 이걸 꽤 좋은 제안으로 받아들인 모양입니다.
펌웨어는 누구나 내려받을 수 있게 공개되어 있으니 [2], 문제의 함수를 흐리게 처리한 건 오히려 더 파헤쳐 보라는 초대장처럼 보입니다. 프랑스 냉장고 소식이 터졌을 때 저도 궁금했습니다. 이 함수의 실제 이름은 "check_code_of_the_day"이고, 구현은 다음과 같습니다.
[1] https://www.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
[2] https://www.danfoss.com/en-us/service-and-support/downloads/dcs/adap-kool-software/ak-sm-800a
그런데 그보다 더 심각합니다. 프랑스의 유명 사이버보안 업체 시낵티브(Synacktiv)가 2023년(!)에 이미 이 code-of-the-day 취약점에 관한 보고서를 냈습니다. 다만 화제는 덜 된 모양입니다 [1]
[1] https://www.synacktiv.com/sites/default/files/2023-10/synacktiv-danfoss-sm800-sc255-sc355-auth-bypass.pdf
미군 기지들도 올해 원격으로 공격을 받았는데, 그런데도 이번 공격은 이 식료품 체인 고위 경영진한테는 여전히 "전례 없는" 일이었다네요. 제 눈에는 무능의 냄새가 나는데요.
"90년대로 돌아간 것처럼"이라고 하셨는데, 아마 진짜 90년대에 만들어졌을 겁니다. 산업용 시스템을 다뤄 본 입장에서는 전혀 놀랍지 않습니다.
알려 주셔서 감사합니다. 코드 예시와 이번 사건을 보고 나서 소개 문단을 읽으니 웃음이 나왔습니다.
업무상 식료품 소프트웨어를 다루는데, 이쪽 소프트웨어는 시대에 한참 뒤처져 있다고 단언할 수 있습니다. 대부분의 소규모 소매업체(여기서 소규모란 체인 점포가 10개 미만인 사업주, 대개 동네 식료품점을 말합니다)는 2000년 기준으로도 구식이라 할 만한 방식으로 일하고 있습니다.
다른 업종도 다 똑같아요. 항공사, 전력 회사, 아마 철도, 은행, 소방서도요.
우리 업계는 AI 때문에 온통 난리인데, 그쪽이 살짝 부럽다는 생각을 떨칠 수가 없네요.
AI로 무장한 해커들이 인터넷에 연결된 건 전부 박살 내 놓을 테고, 그러면 어쩔 수 없이 현대로 넘어오게 될 거예요.
연결을 끊는 것도 효과적이죠. 냉장고가 인터넷에 있을 필요는 없잖아요.
그건 확실하지 않아요. 연결된 냉장고로 1년 동안 아낀 비용이 이번 해킹으로 버려진 손실을 상쇄했을 수도 있으니, 전체적으로 보면 여전히 이득일 수 있죠. 이제 보안 패치를 적용하고, 연결은 모니터링(읽기 전용)에만 쓰고, 웹에서 명령을 보낼 때는 일종의 "2FA"나 현장에 사람이 있어야 하는 절차를 두면 되겠죠.
무슨 절감이요?
하루 중 전기 요금이 다른 시간대를 활용해서 전기를 쓰는 시간을 옮기는 거 아닐까요?
그러면 냉장고 내부 온도에 영향이 있을 것 같은데요.
네, 어차피 냉장고 온도는 일정하지 않아요. 그래서 가동 시간을 조금 옮길 수 있죠.
상한 생선을 팔았다가 그 조사 과정에서 감사를 받게 됐을 때, 3년 기록 보관 기간 동안 직원들이 온도 점검 기록을 빈틈없이 대충 서명해 넘기지 못한 횟수만큼 푼돈 같은 과태료가 곱해져 나오는 걸 안 내도 되잖아요.
냉장고 유지보수하려고 직원을 더 안 써도 되는 거 아닐까요.
아니요, 필요합니다. 전국 규모의 대형 체인을 운영하면서 피할 수 있는 사람의 실수로 인한 치명적인 보건 사고를 최소화하고 싶다면요.
유럽은 계속 팩스기나 쓰면서 현실을 외면할 필요가 없습니다.
디지털 기술을 도입하되 이번에는 멍청하게만 굴지 않는 방법도 있습니다. 이제 지능의 가격은 사실상 0이니까요.
아니면 프랑스는 계속 기술이 주는 생산성 향상을 가로막으면서 사회 시스템이 계속 무너지는 걸 지켜보든가요.
인터넷에 있을 필요는 없습니다. 원격으로 접근할 수 있기만 하면 되죠. 간단한 VPN만 있었어도 문제가 완전히 해결됐을 겁니다(...그 VPN을 업데이트하지 않게 되는 순간까지는요. 그래도 VPN을 업데이트하는 편이 상업용 냉동기 컨트롤러를 손보는 것보다는 훨씬 쌀 것 같습니다).
AI가 이 일과 무슨 상관이죠?
과거의 보안은 상당수가 "아무도 굳이 들여다보지 않겠지"에 기대고 있었어요. 지금은 봇 군단이 모든 걸 쉬지 않고 스캔하고 있고, 지난 몇 달 동안 모든 게 해킹당하고 있는 주된 이유가 바로 그거예요.
저는 이런 일이 현실이 된다면, 그러니까 수백만 개의 AI 해킹 에이전트가 인터넷을 휘젓고 다니며 찾아낼 수 있는 건 하나도 빼지 않고 악용하는 상황이 오면, 그게 마침내 기업들이 정신 차리고 시스템을 제대로 보안하게 만들어 주길 간절히 바라요.
동네에 문을 여는 자율 드론 100만 대가 무작위로 날아다니면서 문을 찾아 들어간다고 상상해 보세요. 모든 사람이 문을 잠그기까지 오래 걸리지 않을 거예요.
동의하지 않는 건 아니에요. 그런데 좀 더 넓혀 보죠.. 모든 동네에 자율 벽돌 투척 드론이 무작위로 유리창을 깨고 다닌다고 상상해 보세요. 모든 동네에 자율 화염방사 드론이 무작위로 불을 지르고 다닌다고 상상해 보세요. 모든 동네에 자율 사격 드론이 무작위로 사람을 죽이고 다닌다고 상상해 보세요. 모든 동네에 자율 수류탄 투척 드론이 무작위로 벽을 날려 버리고 다닌다고 상상해 보세요.
모든 걸 방어할 수는 없어요. 어느 시점에는 이 세상이 돌아가는 건 악용할 수 있는 모든 것이 악용되지는 않기 때문이고, 우리가 (적어도 대부분은) 시민 사회에서 살고 있기 때문이라는 걸 깨달아야 해요.
인터넷이 상황을 다르게 만든다는 건 알아요. 하지만 그 비유는 맞지 않아요 파괴될 수 없는 건물은 지을 수 없으니까요.
"모든 동네"라고 해도 여전히 지역 문제라서 지역 차원에서 풀 수 있습니다. 호주에 있는 수류탄 투척 장치가 레드먼드의 1 Microsoft Way에 초당 여러 발씩 명중시킬 수는 없고, 우리에게 그런 포를 초당 여러 문씩 찍어낼 자원도 없습니다. 비유를 현실 세계로 확장하고 싶다면 이런 현실의 제약을 각주 정도가 아니라 제대로 인정해야 하고, 그렇지 않으면 쓸모 있는 비유가 아닙니다.
제가 바라는 건, 그리고 실제로 벌어지고 있다고 보는 건, 소프트웨어 업계의 주요 업체들이 지금 공격자보다 앞서 나가려고 최대한 많은 버그를 정신없이 패치하고 있고, 그 끝에서 우리가 엄청나게 견고한 소프트웨어를 얻게 된다는 거예요.
지원이 끊긴 IoT 기기는 전부 악성 봇에게 초토화되겠지만, 다음 세대 IoT는 더 견고하고 인터넷에 덜 직접 노출될 거예요. Matter 기기가 인터넷에 직접 연결되지 않고 허브 뒤에 있는 것처럼요.
꽤 흥미로운 예시네요. 저는 안전하고 주변 사람들을 믿을 수 있어서 문을 잠글 필요가 없는 사회에서 살고 싶거든요. 보안을 명분으로 무작위로 문을 여는 경찰 드론을 풀어놓는 건 명백한 퇴보로 들려요. "사람들이 배울 테니 좋은 일"이 아니라고요.
진지하게 인터넷 연결을 끊으시길 권합니다.
그리고 도시에 살지 마시고요.
무슨 말씀인지 잘 모르겠네요. 저는 대도시에 살아요. 여기는 아주 안전해요. 밤에 혼자 걸어도 무섭지 않고, 아내도 마찬가지예요. 절도가 문제이긴 하지만 크지는 않아요. 예를 들어 가게에 들어갈 때는 자전거를 잠그지 않고 두고, 밤새 밖에 둘 때는 잠가 둬요. 자전거 LED 라이트는 두 번 잃어버렸는데, 이상한 걸 훔쳐 가긴 하지만 떼어 내기 아주 쉬워서 그런 것 같아요. 집 안에 있을 때는 밤에도 현관문을 잠그지 않아요.
물론 말씀하신 대로 도시에서는 집을 비울 때 문을 잠그지 않아도 될 만큼 안전하다고 느낄 일은 결코 없을 거예요. 대도시는 크고, 0.1%의 못된 사람만 있어도 모두에게 피해가 갈 수 있으니까요. 하지만 더 안전하고 신뢰도 높은 사회를 바라는 건 좋은 일이잖아요, 안 그래요? 인터넷 연결을 끊는다고 그게 어떻게 도움이 되죠?
관련 없는 얘기라고 생각해요.
AI가 이 일에 쓰였다는 증거는 없는데, 대화에 AI를 억지로 끼워 넣는 것처럼 느껴져요. 이건 그냥 보안은 신경 쓸 필요 없다고 생각하면서도 원격 관리의 편의는 누리고 싶어서 물건을 인터넷에 올려 둔 사람들의 어처구니없을 만큼 태만한 행동일 뿐이에요.
10년 전 OPM 해킹이랑 똑같아요.
그런 일에 AI는 필요 없습니다. 모리스 웜은 38년 전 일이에요. 20년쯤 전에는 MS 웜이 윈도만큼이나 흔했고요. 워드프레스 시대에 웹 서버 로그를 한 번이라도 훑어본 사람이라면 그 수많은 결함을 노리는 자동 스캔을 알고 있습니다.
다만 해킹 사건이 기사로 낼 만하다고 편집자가 판단하는 데에는 현재 "AI"가 필요하다고 주장할 수는 있겠네요.
(물론 요즘 AI가 균형을 바꿔 놓는 건 사실입니다. 어느 정도는 말이죠. 상황이 종말론자들이 앞다퉈 떠드는 것의 근처만큼이라도 나쁘다면, 프랑스 냉장고 사건은 뉴스거리도 안 됐을 겁니다.)
AI는 취약점을 찾는 데 가차 없이 효과적입니다.