프랑스 약 700개 슈퍼마켓의 냉각 시스템이 집단적으로 해킹되면서 냉장고와 냉동고가 작동하지 않았고, 일부 장치 내부 온도가 섭씨 50도까지 상승했다. 이로 인해 정확한 규모가 공개되지 않은 식품이 손상되고 일부 전기 시스템에서 화재가 발생했다.
공격자들은 기술자가 매장의 냉각 시스템을 원격으로 관리할 수 있도록 인터넷에 연결된 제어 장치를 노렸다. 공격자들은 장치를 침해한 뒤 제상 기능을 장시간 작동시켰고, 이로 인해 냉장 유통망을 유지하는 대신 온도가 상승했다. 스페인, 포르투갈, 폴란드, 독일, 벨기에에서도 이번 사건과 관련된 영향이 보고됐다.
오래된 장치의 알려진 취약점
연구 보고서와 공개 보안 권고에 따르면, 영향을 받은 장치에는 덴마크 기업 Danfoss와 Dixell, 그리고 미국의 모회사 Copeland의 일부 모델이 포함됐다. Danfoss 제어 장치의 일부 모델은 최근까지 펌웨어 내부에서 날짜를 기반으로 생성되는 일일 비밀번호를 사용했다. 이 비밀번호는 수백 또는 수천 개 매장에 설치된 모델 간에 동일했기 때문에 최신 업데이트를 적용하지 않은 장치에서는 비밀번호를 재현할 수 있었다.
Copeland와 Dixell의 장치에도 최근 몇 달 동안 수정된 치명적인 취약점이 있었으며, 이를 통해 관리자와 유사한 권한으로 원격 접근이 가능했다. 이는 문제가 원격 연결 자체에 있었던 것이 아니라, 오래된 장치를 사용하면서 공용 인터넷에서 접근할 수 있도록 방치한 데 있었음을 보여준다.
실제로 무엇을 방지할 수 있었나?
Pen Test Partners의 연구원들은 기본적인 조치만으로도 사건의 결과를 바꿀 수 있었다고 말했다. 여기에는 제어 장치를 공용 인터넷에서 제거하고, 원격 접근을 VPN과 허용된 IP 주소 목록 뒤에 두며, 알려진 또는 기본 자격 증명을 변경하고, 소프트웨어를 최신 버전으로 업데이트하는 조치가 포함된다.
연구원들은 또한 제3자 장비를 외부 계약업체에 속한 연결에 방치하지 말고, 문서화되고 기관이 통제하는 방식으로 조직의 네트워크에 연결해야 한다고 강조했다. Claroty는 지난해 10월 이러한 조치를 무시할 때의 위험을 경고했으며, 미국 사이버보안·인프라 보안국(CISA)도 2월에 유사한 경고를 발표했다.
책임 주체와 남은 교훈
공격 배후에 있는 주체는 책임을 주장하지 않았기 때문에, 공격 동기는 광범위한 사보타주인지 국제적 또는 정부 기관이 국경을 넘나드는 교란 작전을 수행한 것인지 여전히 확정되지 않았다. Copeland는 지원이 종료된 단종 세대의 제어 장치에 취약점이 존재했음을 인정하고, 유사한 사고를 방지하기 위해 고객들과 협력하고 있다고 밝혔다. Danfoss는 Ars Technica의 질문에 즉시 답변하지 않았으며, 논의 대상에는 단종된 모델들도 포함된 것으로 알려졌다.
이번 사건의 중요성은 오래된 소프트웨어와 노출된 접근 권한으로 관리되는 작은 산업용 장치가 재고와 시설 안전에 직접적인 운영상 영향을 미치는 지점으로 변할 수 있음을 보여준다는 데 있다. 그러나 해당 출처는 침해된 장치의 수나 최종 손실 규모를 확정하지 않았으며, 공격자의 신원이나 동기도 현재까지 입증하지 못했다.