프랑스 마트 350곳 냉장고 50도로 달궈져…댄포스 제어기 4500대 여전히 노출

공격자들은 밤사이 프랑스 슈퍼마켓 최소 350곳의 냉장고와 냉동고를 원격으로 장악해 제상 모드로 전환했고, 내부 온도가 최대 50°C(122°F)까지 올라가도록 내버려 뒀다. Intermarché 매장 약 150곳에서는 냉장고가 6시간 동안 이 온도를 유지했고, 안에 있던 제품은 전부 폐기됐다. 침입 경로는 매장 전체의 냉장 진열대를 관리하는 장비였다. 냉장 설비 업체들이 인터넷을 통해 관리하는 Danfoss 제어기다.

쇼핑객들은 냉동식품 매대가 폐쇄된 모습을 마주했고, 파리 중심부 매장 직원들은 해동된 고기와 녹아버린 아이스크림을 카트째 대형 쓰레기통에 쏟아부었다. 하지만 이 문제는 프랑스를 훨씬 넘어선다. Reuters가 검색 엔진 Shodan을 이용해 확인한 결과, 공격 이후에도 Danfoss 인터페이스 최소 4,500개가 온라인에 노출돼 있었다. 프랑스 보안 검색 업체 Onyphe는 최신 소프트웨어를 구동하는 것으로 보이는 장비는 극소수에 불과하다고 밝혔다.

Carrefour는 슈퍼마켓 80곳이 피해를 봤다고 집계했고, Monoprix는 프랑스 매장 약 490곳 가운데 5%가량이 영향을 받았다고 밝혔다. Coopérative U도 공격을 받았지만, 최고경영자 도미니크 셸셰르(Dominique Schelcher)는 직원과 협력업체가 신속히 대응한 덕분에 피해 매장 대부분에서 냉장 유통망을 지킬 수 있었다고 말했다. E.Leclerc는 냉장 설비 공급업체 한 곳이 공격을 받았다고 밝혔다. 파리 검찰청은 식품 손실이 발생하고 장비에서 화재가 나기 시작했다고 전했다. Intermarché의 모기업 Les Mousquetaires를 이끄는 티에리 코티야르(Thierry Cotillard)는 BFMTV에 피해 규모가 ‘하루 만에 전국적으로 수천만 유로’에 이를 것이라고 말했다.

Danfoss는 공격을 받은 장비 중 상당수가 ‘수명이 다해 더는 소프트웨어나 보안 업데이트를 받지 못하는 상태’였고, 다른 장비는 ‘구형 펌웨어를 사용하고 있었다’고 밝혔다. 회사는 오래전에 단종된 AK-SM 800과 AK-SC 355 모델 두 가지를 언급했으며, 구형 펌웨어를 사용하던 현행 AK-SM 800A 제어기도 일부 피해를 봤다. 프랑스 국가사이버보안청 ANSSI는 Copeland와 그 자회사 브랜드 Dixell의 소프트웨어도 영향을 받은 시스템에 포함된다고 밝혔다. Copeland는 ‘취약점’을 인정하며 ‘현재 피해 고객과 협력해 위험을 완화하고 있다’고 말했다.

슈퍼마켓 냉장 설비가 인터넷에 연결돼 있는 데는 별다른 이유가 있다. 냉장 설비 업체가 매장까지 직접 가지 않고도 온도를 조정하고, 경보를 해제하며, 제상 주기를 바꿀 수 있기 때문이다. 정부의 비상 대응팀 CERT-FR은 Danfoss AK-SM 및 AK-SC 제어기를 운영하는 모든 업체에 인터넷 연결을 끊거나 접근 가능한 대상을 엄격히 제한하라고 권고했다. AFP 보도에 따르면 ANSSI의 뱅상 스트뤼벨(Vincent Strubel) 국장도 이 조치가 시급하다고 강조했다.

아직 밝혀지지 않은 것은 공격자들이 어떤 경로로 침입했는지, 그리고 왜 공격했는지다. Reuters가 인용한 한 소식통에 따르면, 공격을 주장한 단체도 없고 몸값 요구도 없어 수사 당국은 의문을 품고 있다. CERT-FR은 운영자들이 점검할 수 있도록 취약점이나 펌웨어 버전, 침해 징후를 특정하지 않았다. 보안업체 Claroty가 AK-SM 800A에서 발견해 공개한 취약점도 이번 공격과 연관된 것으로 확인되지 않았다. 가장 오래된 모델을 보유한 업체는 설치할 패치조차 없어, 기존 장비를 설치했던 업체를 통해 새 하드웨어를 구매하는 것이 사실상 유일한 해결책이다. Pen Test Partners의 켄 먼로(Ken Munro)는 ‘기본적인 사이버 보안 위생의 문제’라며 ‘잘못 대응하면 해동된 식품에서 악취가 나는 난장판이 벌어진다’고 말했다. 그는 공격자들이 사실상 활짝 열린 문을 밀고 들어간 셈이라며, 범인이 ‘장난삼아 해킹하는 아이들’일 수도 있다고 덧붙였다.

프랑스만 피해를 본 것은 아닐 수 있다. Sekoia의 위협 인텔리전스 분석가 펠릭스 에메(Félix Aimé)는 Reuters에 스페인, 포르투갈, 폴란드, 독일, 벨기에에서도 피해가 발생했다고 밝혔지만 구체적인 내용은 공개하지 않았다. ANSSI는 유럽 각국 기관과 연락을 주고받고 있다. 별개의 사건으로 네덜란드 유통업체 Ahold Delhaize의 온라인 식료품 서비스도 같은 시기에 중단됐지만, 네덜란드 사이버보안센터 NCSC는 이번 공격과 관련이 없다고 보고 있다. 비슷한 전례도 있다. 8월 말 미국 군 매점 약 12곳의 냉장고가 유사한 방식으로 작동을 방해받았고, Danfoss의 고객 뉴스레터에는 2022년 러시아 슈퍼마켓 16곳과 이스라엘 매장 40곳을 겨냥한 공격이 기록돼 있다.

이번 공격은 10월 11일 일요일 밤 시작됐고, CERT-FR은 다음 날 경보를 발표했다. Danfoss는 2021년 5월 AK-SM 800의 수명 종료를 선언했고, AK-SC 355는 2016년에 판매를 중단했다. Claroty는 신형 모델에 관한 조사 결과를 8월 9일 공개했다. 파리 검찰청 사이버범죄 부서는 사이버범죄수사국 OFAC에 조사를 맡겨 피해자 수를 파악하고 각 손실이 공격과 관련 있는지 확인하고 있다. 프랑스 유통업계 연맹 FCD는 Danfoss에 ‘전면적인 정보 공개’를 요구했다. 수사 당국이 침입 경로를 밝혀낼 때까지, CERT-FR이 제시한 가장 저렴한 해결책에는 패치조차 필요 없다. 제어기의 인터넷 연결을 끊으면 된다.

태그: Pelé, Cher, IoT 보안, 사이버 공격, ANSSI, Carrefour