유럽 슈퍼마켓 냉동고 또 해킹당하다: 댄포스 제어기가 50°C로 설정되며 6개국 확산
11월 2일 새벽, 유럽 전역의 슈퍼마켓 점장들이 같은 경보에 잠을 깼다. 냉동고가 냉각되기는커녕 오히려 데워지고 있었던 것이다. 새벽 2시 30분쯤 벨기에 에클로의 들레이즈 매장 점장은 어둠 속을 운전해 매장에 가서 50°C로 설정된 시스템을 초기화했다. 스웨덴 남부 셰보의 ICA 크반툼 매장 직원들은 출근해 보니 냉동고에 뜨거운 바람이 불어 들어오는데 끌 방법이 없어, 매장은 월요일 오전 문을 닫아야 했다. 날이 밝을 무렵 벨기에, 룩셈부르크, 스웨덴, 아일랜드, 에스토니아, 네덜란드에서 같은 사례가 보고됐고, 핀란드도 유사한 고장을 조사했다. 정전도, 고장 난 온도조절기도 아니었다. 3주 만에 같은 공격의 두 번째 파도였고, 이를 막았어야 할 경고는 이미 나와 있었다.
첫 번째 파도는 10월 11일에서 12일로 넘어가는 밤 프랑스를 강타했다. 공격자들은 최대 700곳의 슈퍼마켓과 독립 상점의 냉동 설비를 원격으로 장악해 약 6시간 동안 연속 제상 상태로 만들었다. 앵테르마르셰는 150~200곳, 코오페라티브 위는 약 80곳, 까르푸는 약 80곳, 모노프리는 약 30곳이 피해를 입었다고 밝혔고, 파리 검찰은 화재 피해도 포함된다고 밝혔다. 앵테르마르셰 최고경영자는 프랑스 전역에서 하루 만에 수천만 유로의 손실이 발생했다고 말했다. 10월 12일 프랑스 정부 컴퓨터 비상대응팀 CERT-FR은 해당 제어기 계열을 사용하는 모든 운영자에게 인터넷에서 분리하거나 접근을 차단하라고 지시했다. 제어기 제조사인 덴마크 기업 댄포스도 10월 13일 고객에게 자체 경고를 보냈다. 3주 뒤, 여전히 인터넷에서 접근 가능했던 제어기들이 최소 6개국에서 추가로 공격받았고, 네덜란드의 댄포스 대변인은 상점들이 경고를 따랐다면 공격을 피할 수 있었을 것이라고 말했다.
공격 방식은 민망할 정도로 단순하고, 그래서 계속 통한다. 피해를 입은 매장마다 냉동 설비는 하나의 중앙 제어기로 운영된다. 하나의 패널이 모든 진열 케이스와 냉장실의 설정 온도를 쥐고, 제상 주기를 관리하며, 협력업체가 원격으로 장비를 조절할 수 있는 웹 인터페이스를 제공한다. 제상은 보통 얼음을 제거하기 위해 증발기 코일을 짧은 예정 시간 동안 가열하는 것이다. 침입자들은 제상을 켠 채 그대로 두었고, 설정을 최대 50°C로 올려, 식품을 지켜야 할 히터가 진열 케이스를 데우게 만들었다. 프랑스 보안 기업 세코이아의 분석가에 따르면 공격자들은 제어기 자체에 악성 코드를 사용한 흔적이 없어, 수사관들이 쫓을 단서가 적다고 한다. 댄포스가 지목한 모델 AK-SM 800과 AK-SC 355는 프랑스에서 공격받은 것과 같은 두 모델이다. 댄포스는 AK-SM 800을 2021년 5월에 단종했고 AK-SC 355를 2016년에 단계적으로 폐기했으며, 두 모델 모두 퇴역 이후 보안 업데이트를 받지 못했다. 네덜란드에서는 공격받은 장비 일부가 보호된 네트워크에 연결돼 있지 않았고 기본 비밀번호를 그대로 쓰고 있었다고 댄포스는 밝혔다.
두 번째 파도를 첫 번째보다 가볍게 넘기기 어려운 이유는 피해 분포 때문이다. 대형 체인은 대부분 버텼다. 벨기에 까르푸는 700곳이 넘는 매장 중 15곳이 피해를 입었지만 모두 영업을 계속했다고 밝혔고, 스웨덴 체인 Coop은 800곳 중 7곳이 공격을 받았다고 밝혔다. 피해는 시스템이 가장 얇은 곳에 집중됐다. 가맹점, 체인 중앙 네트워크 밖에 있는 매장, 작은 정육점과 동네 상점이다. ICA는 이번 사고가 외부 공급업체를 쓰고 중앙 네트워크 밖에서 연결되는 소수 매장에 영향을 미쳤다고 밝혔다. 핀란드의 고장도 케스코 체인의 중앙 보안 모니터링 밖에 있는 설비에서 발생했다. 벨기에의 한 설치업체는 소프트웨어 업데이트만으로는 취약점을 메울 수 없다고 말했다. 설비에는 비용이 드는 물리적 개조가 필요하기 때문이다. 가장 단순한 보호책, 즉 제어기를 안전한 연결을 통해 관리하는 것은 소규모 운영자들이 가장 늦게 취하는 조치이며, 이들은 저마다 다른 협력업체와 예산을 갖고 있다.
두 파도 모두 어느 단체도 범행을 주장하지 않았고, 몸값 요구도 없었으며, 어느 당국도 공격 주체를 지목하지 않았다. 그 부재 자체가 이야기의 일부다. 센티넬원의 연구자들은 이런 종류의 공격이 보통 갈취, 정치적 동기, 국가 작전과 연결되며, 금전적 요구가 없다는 점은 파괴 공작을 가리킨다고 지적했다. 유럽연합 농업·식품 담당 집행위원 크리스토프 한센은 두 번째 파도를 EU 식품 공급을 교란하고 대중의 신뢰를 흔들려는 의도적 시도라고 불렀고, 그러면서 유럽의 식량 안보는 현재 위협받지 않고 있다고 덧붙였다. 벨기에 연방 검찰은 형사 수사에 착수했다. 식량 안보에 대한 안심 발언은 대륙 규모에서는 사실이지만, 정작 중요한 규모에서는 거의 동떨어져 있다. 안트베르펜 남쪽의 한 점주는 냉장고가 18°C까지 오른 것을 발견하고 경찰에 신고했고, 한 들레이즈 운영자는 매출 손실을 제외하고도 최소 10만 유로의 피해를 추산했다.
나는 이것을 대낮에 숨어 있는 인프라에 대한 이야기라고 읽는다. 콜드체인은 모두가 의존하면서도 고장 나기 전까지는 아무도 생각하지 않는 시스템 중 하나인데, 수천 개의 매장에서는 공개 인터넷에 면한 웹 인터페이스를 가진 퇴역 하드웨어로 돌아가고 있는 것으로 드러났다. 해결책은 특별하지 않다. 제어기를 분리하고, 방화벽이나 VPN 뒤에 두고, 제조사가 수년 전에 지원을 끊은 하드웨어를 교체하는 것이다. 하지만 지루한 해결책에는 비용을 낼 사람과 책임질 사람이 필요하고, 가맹화되고 파편화된 소매업에서는 그 '누군가'가 종종 특정한 아무도 아닌 경우가 많다. 첫 번째 파도는 경고였다. 정부 대응팀의 공개 경고 3주 뒤에 도착한 두 번째 파도는 경고가 단일 소유자가 없는 시스템을 어떻게 타고 흐르는지, 혹은 흐르지 못하는지를 보여주는 증거다. 내 판단은 이것이 아직 끝나지 않았다는 것이다. 인터넷에서 보이는 노출된 시스템이 수천 개나 남아 있고, 같은 수법이 이미 두 번 통했으니, 두 번째 파도가 마침내 첫 번째 파도가 이끌어내지 못한 분리를 강제하지 않는 한, 2027년 3월 말 이전에 최소 한 번 더 공개적으로 보고되는 파도가 있을 것으로 예상한다.