프랑스 국가정보시스템보안청(ANSSI)은 수백 개 대형 매장의 냉각 시스템을 중단시킨 사이버 공격에 Copeland의 제어 장치와 그 브랜드인 Dixell이 포함됐으며, 최초 경고의 중심이었던 Danfoss 시스템도 영향을 받았다고 밝혔다. 프랑스 재무장관 Roland Lescure에 따르면, 프랑스 내 약 1만 개 매장 가운데 약 700개 매장이 피해를 입었다.
영향받은 시스템 범위 확대
ANSSI 산하 컴퓨터 비상 대응 센터 CERT-FR은 10월 12일 Danfoss AK-SM 및 AK-SC 제어 장치를 대상으로 한 침해를 경고했다. 다음 날 센터는 경보를 업데이트해 Copeland XWEB 및 Dixell XWEB 시스템도 포함했다. 이후 Copeland는 취약점의 존재를 확인하며, 위험을 줄이기 위해 영향을 받은 고객들과 협력하고 있다고 밝혔다.
Claroty는 여름 동안 Danfoss AK-SM 800A의 결함과 Copeland XWEB Pro 장치의 취약점 23건을 공개했으며, Copeland는 해당 결함을 해결하기 위한 펌웨어 업데이트를 발표했다. 그러나 CERT-FR과 프랑스 당국, Danfoss는 현재의 공격을 이들 취약점 중 어느 것과도 명시적으로 연결하지 않았다.
노후 장치와 운영 손실
Danfoss는 영향을 받은 장치 대부분이 AK-SM 800 및 AK-SC 355 구형 장치로, 운영 수명이 끝나 더 이상 보안 업데이트를 받지 않는다고 밝혔다. 회사는 2021년 5월 AK-SM 800에 대한 지원을 중단했으며, AK-SC 355는 2016년에 지원이 종료됐다. 구형 소프트웨어 버전으로 작동하던 일부 최신 AK-SM 800A 장치도 영향을 받았다.
피해 매장에는 Carrefour, Coopérative U, E.Leclerc, Intermarché 및 Monoprix 체인이 포함됐다. Intermarché의 소유주인 Les Mousquetaires는 약 150개 매장이 피해를 입었으며, 냉각 장치의 온도가 6시간 동안 섭씨 50도까지 올라 매장 내 모든 식품을 폐기해야 했다고 밝혔다. Carrefour는 80개 매장이 피해를 입었다고 밝혔고, Coopérative U는 80개 매장이 공격을 받았으며 그보다 적은 수의 매장이 제품을 폐기해야 했다고 말했다. 알자스 지역의 두 매장은 합쳐 27만 유로의 손실을 기록했다.
보도에 따르면 공격자들은 제상 주기를 1시간에서 8시간으로 연장해 경보를 지연시켰다. 또한 파리 검찰은 식품 손실과 함께 화재도 발생했다고 밝혔으며, 사이버 범죄 부서가 수사에 착수했다.
실무적으로 무엇이 달라지는가?
CERT-FR은 영향을 받은 제어 장치 운영자들에게 장치를 인터넷에서 분리하고, 보호된 네트워크나 안전한 VPN을 통해서만 원격 접속을 다시 허용하라고 권고했다. 해당 기관은 통신을 IP 주소로 제한하는 조치가 일시적인 비상 대응책에 불과하다고 판단했다. 수명이 끝난 장치의 경우 공장 초기화만으로는 충분하지 않으며, 인터넷에 다시 노출되면 여전히 위험에 처하게 된다.
Censys는 10월 11일 인터넷에 노출된 Danfoss StoreView 제어판을 약 3,000개 발견했으며, 이 가운데 1,800개 이상이 프랑스에 있었다. 10월 14일까지 프랑스 내 수는 537개로 감소했지만, 프랑스 외 지역의 수는 이전 수준에 가까운 상태로 유지됐다. 업데이트된 버전과 업데이트되지 않은 버전이 비슷한 비율로 사라진 점은 많은 운영자가 장치를 업데이트하는 대신 분리했음을 시사한다.
여전히 풀리지 않은 질문
공격의 책임을 주장한 주체는 없으며 몸값 요구도 나타나지 않았다. 공격자들이 어떻게 접근 권한을 확보했는지도 분명하지 않다. Sekoia는 스페인, 포르투갈, 폴란드, 독일 및 벨기에의 매장도 영향을 받았다고 밝혔지만 추가 세부 사항은 제시하지 않았다. 이번 사건은 공급업체가 관리하는 민감한 운영 시스템의 책임 문제도 제기한다. Les Mousquetaires는 냉각 시스템을 Danfoss가 관리하고 있었으며, 신고를 제기하는 것은 공급업체의 책임이라고 밝혔다.