Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
프랑스 슈퍼마켓 냉장고에서 발견된 취약점은 날짜 기반 백도어 비밀번호와 구식 펌웨어 사용 등 심각한 보안 문제를 드러냈습니다. 이는 산업용 시스템 전반의 기술적 낙후성을 보여주며, IoT 연결 시 물리적 망 분리 및 접근 제어가 필수적임을 강조합니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 GeekNews의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기글에서는 2025년 취약점을 점잖게 “로그인 우회”라고 부르지만, 실제로는 훨씬 심각함. 펌웨어에 날짜·시간 기반 백도어 비밀번호가 내장돼 있었으니, 1990년대로 돌아간 듯함.
최초 발견자는 신고한 지 1년 뒤인 올해 8월, “Defrost the Food”라는 제목으로 연구 결과를 공개했고, 공격자들은 그 제목을 좋은 제안으로 받아들인 모양임. 펌웨어는 누구나 내려받을 수 있으므로, 해당 함수를 흐리게 가려 놓는 건 오히려 더 찾아보라는 초대처럼 느껴짐. 나도 프랑스 냉장고 사건을 듣고 궁금해졌음. 실제 함수명은 check_code_of_the_day 이며, 현재 날짜를 조합하고 16진수 변환과 나눗셈을 거쳐 만든 5자리 값과 입력 비밀번호의 앞 다섯 글자를 비교하는 구현임.
코드와 실제 사건을 보고 나니 Danfoss의 보안 안내문 첫 문단이 우스워짐. “Danfoss는 보안을 진지하게 받아들이며, 지속적인 개선의 일환으로 새로운 조치를 도입하고 있음. 업그레이드 과정에 영향을 줄 수 있는 최신 AK-SM 800A 소프트웨어의 주요 보안 업데이트를 아래에서 확인해 주시기 바람.”
“1990년대로 돌아간 듯하다”지만, 실제로 1990년대에 만든 코드일 가능성이 있음. 산업용 시스템을 다루는 입장에서는 전혀 놀랍지 않음.
저 코드를 평소 쓰는 LLM에 복사해 붙여 넣으니 악용 방법을 그럴듯하게 설명해 줘서 참 좋았음. 공격자는 이런 걸 못 한다니 정말 다행임.
마지막 비교문은 대체 왜 저렇게 작성한 건가? 지나치게 장황해 보임.
업무상 식료품점 소프트웨어를 다루는데, 시대에 한참 뒤처져 있음. 점포가 10개 미만인 소규모 소매업체, 특히 동네 식료품점 대부분은 2000년 기준으로도 구식이었을 업무 절차를 사용함.
항공사, 전력회사, 아마 철도회사도 그렇고 은행과 소방기관도 비슷함. AI가 우리 업계를 뒤흔드는 모습을 보면 조금 부럽기도 함.
식료품점이야 얼마든지 뒤처져 있어도 되지만, 병원 냉장고가 걱정됨.
점포 100개 규모 업체에서 일하는 지인을 아는데, 그곳도 똑같이 석기시대 수준임.
이런 장비는 인터넷에 연결하면 안 되며, 물리적으로 망을 분리해야 함. 슈퍼마켓 사무실에 냉장고 등을 전담하는 별도 컴퓨터를 두지 못할 이유는 비용을 포함해 어디에도 없음. 폐기한 상품과 영업 중단으로 생긴 손실이 저렴한 컴퓨터 한 대 값보다 훨씬 클 것임.
인터넷에 연결하면 원격 제어가 가능하며, 그 자체로 잘못된 일은 아님.
무엇보다 편의성 때문이라고 봄. 모든 점포에 기술을 아는 직원이 있는 것도 아니고, 기술자가 매일 매장을 돌며 POS와 사무용 컴퓨터, 기타 장비를 관리하려면 비용이 듦.
대부분은 안전하게 보호할 수 있지만 비용이 상당함. 이제라도 투자할 수도 있고, “두 번이나 당하겠어?”라며 실질적인 조치를 하지 않을 수도 있음.
연결하더라도 데이터 감시 같은 읽기 전용 모드로 제한할 수 있음. 제어하려면 현장 직원이 냉장고 뒤나 현지 제어실에 있는 “명령 승인” 버튼을 직접 누르도록 하면 됨.
당연히 연결해야 하지 않겠나? 그래야 고객 데이터를 구매자에게 실시간으로 팔 수 있을 테니 말임. 냉장고만 파는 건 지루하니 고객을 감시하고 데이터도 팔자는 식의 탐욕이 씁쓸함. 이런 결정을 내리는 이들이 실제로 감옥에 가는 일이 흔해지기 전까지는 계속될 것임.
좋게 보자면, 이들의 위협 모델은 “누가 굳이 식료품점 냉장고 온도 조절기에 침입해서 설정을 바꾸겠어?”가 전부였을 가능성이 큼. 타당한 질문이며, 적어도 공개적으로는 아직 답이 나오지 않았음.
그 “누가”에 인터넷의 모든 이용자가 들어간다면, 자기 능력을 입증하거나 자랑하려고, 재미 삼아, 또는 최대한 피해를 주려고 실행할 사람은 충분함. 관건은 그중 얼마나 많은 이들이 실행 능력과 관련 지식을 갖췄느냐이며, LLM의 성능 향상으로 그 수는 늘고 있음.
빨리 돈을 내지 않으면 신선식품을 상하게 만들겠다고 금전을 요구하는 공격자가 아닐까?
냉장고는 아주 신뢰성 높은 장비인데, 문제가 생기면 알림을 받겠다는 이유로 굳이 IoT를 붙임. 그러고는 그 연결이 문제를 만들거나 가능하게 하고, 정작 알림은 보내지 않으니 지독한 역설임.
이번 내장 백도어 비밀번호는 특히 심각하지만, 그보다 앞서 냉장고를 IoT 장비로 만들고 기본적으로 네트워크 접속을 받도록 한 결정이 있었음.
전기료는 비싸고 식료품점은 극도로 낮은 이익률로 상하기 쉬운 재고를 다룸. 냉장 설비는 정비가 필요한 물리적 장비이며, 고장은 흔히 치명적임. 매장 직원이 냉난방·공조 설비를 고칠 수는 없으니, 누군가는 예방 정비를 위해 감시해야 함.
이걸 사소하게 취급하는 사고방식을 이해하기 어려움. 보안에 명백한 문제가 있었다고 해서 핵심 기반시설 감시 자체를 어리석다고 단정하는 건 이상함.
주방에 있는 압축기·증발기·응축기 한 세트짜리 냉장고가 아니라 훨씬 크고 복잡한 시스템임. AK-SM 800A는 냉장 장비 170대를 제어할 수 있으며, 슈퍼마켓의 냉동식품 코너 전체와 아마 육류·유제품 코너까지 담당하는 규모에 가까움.
냉장고 유지보수 자동화가 왜 나쁜 발상인가? 반드시 잘못 구현해야 하는 것도 아님.
85%가 알려진 보안 결함이 있는 소프트웨어를 사용했고, 여기에는 Danfoss가 더는 지원하지 않는 구형 제어기 527대도 들어감. 알려진 수정 사항을 모두 적용한 장비는 195대뿐임. 냉장고를 사용하는 동안에는 제어기도 지원해야 함. 대당 50달러짜리 Raspberry Pi가 아니지 않은가?
그 냉장고들은 1990년대 제품임. 그렇게 오래 지원하라는 요구는 현실적이지 않음. 소프트웨어만의 문제도 아니며, PLC는 고정된 하드웨어라 단순히 패치할 수 없음.
소프트웨어에도 적용하면 좋겠음. 사용되는 동안 제조사가 버그 수정을 지원하도록 의무화하고, 마케팅 부서는 끼어들지 못하게 하면 됨.
기업이 합리적인 보호 조치를 취하지 않았을 때 보험사가 보험금 지급을 거절해야 비로소 실질적인 변화가 생길 것임.
갑자기 냉장고 수백 대가 제상 모드에 들어갔는데 Danfoss에서는 아무도 알림을 받지 못했나? 매장에서 이상한 MS-DOS 소프트웨어를 돌리는 컴퓨터가 떠오름.
“새 인터넷 연결 냉장고는 여러 장비가 고장 나면 온라인 알림을 받을 수 있음.” “여러 장비가 왜 고장 나는데?” “인터넷에 연결했으니까!”
이런 장비 상당수는 주기적으로 열을 가해 성에나 수분을 제거하므로, 제상 모드 진입 자체는 흔할 수 있음. 가열이 오래 지속돼야 문제가 생기는데, 소프트웨어가 장악됐다면 알림도 전송되지 않을 수 있음.
2017~2022년에 인터넷에 노출된 냉장고 수가 크게 증가했음. 최근 몇 년간은 등락이 있지만 이전처럼 꾸준히 늘지는 않음. Shodan 추이에서 확인할 수 있으며, 계정이 없으면 Twitter의 차트를 보면 됨.
“업데이트를 안 했잖아”가 정당한 반박으로 통하는 한 이런 상황에서 벗어날 수 없음. 문제는 취약한 소프트웨어가 출시되는 순간 만들어짐. 이전 취약점을 고친 업데이트가 새로 만든 취약점을 해결하느라 매일 업데이트하는 지금 방식보다는, 출시 속도를 100분의 1 이하로 늦추는 편이 나을 것임.