하룻밤 사이에 프랑스 전역 수백 개 대형 매장의 냉동고 온도가 영상 50도까지 치솟았습니다. 랜섬웨어 협박장도, 몸값을 요구하는 암호화된 파일도 없었습니다. 컴프레서는 과열로 멈췄고, 제상 히터가 강제 가동되면서 막대한 규모의 신선 화물이 일제히 폐기되었습니다. 다국적 유통 기업 아홀드 델하이즈(Ahold Delhaize)는 이번 공격으로 인한 매출 손실이 최대 2억 5,000만 유로(약 3,800억 원)에 달할 것으로 공식 전망했습니다. 유사한 조작 시도와 피해는 곧이어 벨기에, 네덜란드, 스웨덴, 독일 등 유럽 주요 물류망으로 이어졌고, 급기야 프랑스 국립혈액원(EFS)의 냉각 시스템까지 침투해 영하 30도로 유지되던 혈장 보관고를 110도까지 가열하려는 시도로까지 확산되었습니다.
프랑스 국립사이버안보청(ANSSI)과 영국 NCSC 등의 기술 조사 결과는 산업계에 적잖은 충격을 주었습니다. 공격자들은 복잡한 제로데이 침투 도구를 쓰지 않았습니다. 에너지 효율 관리와 신속한 정비를 위해 외부 유지보수 목적으로 열어둔 산업용 냉동 컨트롤러의 원격 관리 인터페이스를 표적으로 삼았습니다. 장비 공급사들 역시 이번 침해가 직접 통제하기 어려운 서드파티 부품 컴포넌트의 노출에서 비롯되었음을 확인했습니다. 외부에 노출된 제어기들에 순차적으로 접근해 제상 주기와 가동 임계값을 수동 조작 모드로 뒤바꾼 것입니다.
이 공격의 실체는 프랑스 정부의 공식 발표를 통해 명백히 드러났습니다. 프랑스 사이버위기조정센터(ANSSI, 군 사이버사령부, 정보기관 합동)는 이번 연쇄 사보타주의 배후로 이란 이슬람혁명수비대(IRGC) 산하 사이버 부대인 '샤히드 카베(Shahid Kaveh, CyberAv3ngers로도 알려짐)'를 공식 지목했습니다. 프랑스 당국은 약 700개 매장이 피해를 입고 최소 15건의 실제 화재가 발생한 이번 사건을 국가 차원의 전례 없는 물리적 사보타주로 규정했습니다. 금전 갈취는 전무했으며, 오직 식량 공급망과 보건 인프라의 마비를 통한 사회적 혼란 조성을 목적으로 소프트웨어 암호화를 넘어 현장 기계의 물리적 파괴를 직접 겨냥했습니다.
원격 접속을 통과한 패킷을 최말단 제어기가 무조건 수용하는 구조적 결함
이 참사의 기술적 분기점은 명확합니다. 공격자가 원격 관리 통로를 확보한 뒤 제어기로 내려보낸 지시는 통신 규격상 완벽한 '정상 명령'이었습니다.
문제는 현장 Level 1 엔드포인트에 배치된 대다수 산업용 컨트롤러의 통신 구조입니다. 상위 네트워크를 거쳐 들어온 패킷이라 할지라도, 컨트롤러는 그 패킷 내부의 파라미터 변경 지시가 정당한 권한을 가진 엔지니어의 작업인지 악의적 침입자의 조작인지 식별하지 못합니다. 통신 규격상 세션이 열려 있다면 그 안의 쓰기(Write) 명령 역시 정상적인 작업으로 처리되도록 설계되어 있기 때문입니다.
결국 제어기는 들어오는 파라미터 변경 명령을 무비판적으로 수용했고, 기계는 전달받은 지시대로 히터를 강제 가동해 설비와 화물을 태워버렸습니다. 네트워크 접근 경로의 통과가 곧 설비의 물리적 제어 권한으로 직결되는 기존 아키텍처의 맹점이 실물 재난으로 이어진 순간입니다.
Level 1 엔드포인트의 독립적 검증이 필요한 이유
원격 유지보수 경로가 노출되거나 파트너사의 계정이 악용되는 시나리오는 이제 가정이 아닌 상수입니다. 수많은 협력업체가 얽혀 있는 복잡한 공급망 환경에서 모든 외부 접속 경로와 관리자 인증을 영구히 무결하게 통제하는 것은 물리적으로 불가능하기 때문입니다.
접속 경로의 침해를 상수로 받아들인다면, 설비의 물리적 붕괴를 막을 수 있는 방어선은 오직 하나뿐입니다. 제어 명령이 기계의 물리적 접점에 도달하기 직전, 최말단 엔드포인트에서 실행 권한을 독립적으로 재검증하는 것입니다.
국제 표준 IEC 62443과 NIST SP 800-82가 요구하는 최소 권한 원칙(Least Privilege)의 본질도 여기에 있습니다. 원격 접속 세션이 열려 있더라도, 설비 파라미터를 변경하는 고위험 명령 패킷에는 매번 오프라인에서도 검증 가능한 일회성 동적 코드가 요구되어야 합니다. 사전 인가 절차를 거치지 않은 비인가 제어 명령은 제어기 바로 앞단에서 물리적으로 거부되어야만 외부 통로 노출이 설비 파괴로 번지는 연쇄 고리를 끊어낼 수 있습니다.
무중단 운영을 위한 비침투적 통제 아키텍처
수천 개 매장과 산업 현장에 이미 가동 중인 레거시 제어기를 보안 기능이 탑재된 최신 장비로 전면 교체하거나 로직을 재개발하는 방식은 천문학적인 비용과 비계획적 다운타임을 초래합니다. 현장 운영 조직과 CISO에게 필요한 실질적인 대안은 기존 제어기와 통신 배선을 일절 훼손하지 않는 비침투적(Non-intrusive) 방식의 인라인 검증 계층입니다.
유럽 전역을 뒤흔든 냉각 설비 침해 사고는 원격 관리의 편의성 뒤에 방치되어 있던 Level 1 제어기의 무방비 상태를 증명했습니다. 외부 접속 통로를 관리하는 수준에 머무는 보안은 한계에 부딪혔습니다. 네트워크 접속 권한과 현장 제어 명령의 실행 권한을 물리적으로 분리하고, 제어 패킷 하나하나의 실행 자격을 엔드포인트 직전에서 동적으로 통제할 때 비로소 어떤 원격 경로 침해 속에서도 공정과 설비의 물리적 안전을 담보할 수 있습니다.
[실제 공격 차단 지점 확인]
원격 유지보수 계정 탈취와 비인가 제어 명령이 현장에서 어떻게 차단되는지 매트릭스 상에서 직접 테스트해 보세요.