냉장고가 해킹 당했다. 지난 달 12일 프랑스 전역의 수퍼마켓 1만 곳 중 700곳의 냉동, 냉장고의 온도가 섭씨 50도까지 치솟았다. 고기와 유제품, 냉동식품은 모두 폐기됐고 일부 매장에서는 화재까지 났다. 3주 뒤인 이달 2일에는 벨기에, 스웨덴, 아일랜드, 네덜란드 등 유럽 여러 나라 매장에서 같은 장면이 되풀이됐다.

고장도 정전도 아니었다. 매장 냉장설비의 원격 관리 제어장치에 접속해, 성에를 녹이는 '제상'기능을 켰을 뿐이었다. 이윤이 박한 유통업에서 신선식품은 몇 시간이면 상하기 충분했고 피해는 바로 매출과 밥상으로 이어졌다. 낮은 공격 비용에 비해 효과는 극적이었다. 식량이 공격 수단이 될 수 있다는 현실을 보여주었다. 프랑스 혈액원의 공급업체 역시 유사한 공격을 받았다. 단순히 냉장고라는 가전이 아니라 우리의 먹거리와 의료를 유지하는 생활 인프라에 대한 테러 위협이었다.

그들은 '어떻게' 냉장고를 해킹할 수 있었을까?

피해장비 대부분은 덴마크 기업 댄포스가 만든 냉장 제어기로, 각 2016년과 2021년에 제조사 지원이 끝난 구형 모델이었다. 보안 업데이트를 더 이상 받지 못하는 장비가 인터넷에 그대로 연결돼 있었던 것이다. 보안 연구자들은 이 장비 일부가 접속하는 날의 날짜만 알면 누구나 계산할 수 있는 '오늘의 코드'로 인증을 통과한다는 결함을 이미 수년 전 보고했다.  접속 시도를 관측한 한 보안업체는, 몰려든 접속 시도 대부분이 제조사 설명서에 버젓이 공개된 초기 아이디와 비밀번호를 그대로 넣어보는 방식이었다고 밝혔다. 굳이 해커가 용쓸 필요도 없이 문 옆에 열쇠가 걸려 있었던 셈이었다.

공격 당일 프랑스에서 인터넷에 그대로 열려 있던 댄포스 냉장설비 관리 화면은 1,825개. 매장 냉장고의 온도를 확인하고 설정을 바꾸는 웹 화면으로, 유지보수 업체가 원격으로 접속하기 편하도록 인터넷에 연결해 둔 것이다. 주소만 알면 누구나 그 로그인 화면 앞까지 찾아갈 수 있었다는 뜻이다. 사흘 뒤 이 숫자는 537개로 71% 줄었다. 사고가 터지자 허겁지겁 문을 닫고 열쇠를 감춘 것이다. 결국 이번 사태는 보안 기술 문제가 아니라 보안 의식의 문제였던 셈이다.

사실 경고는 오래 전부터 있었다. 미국 사이버보안 인프라보안청(CISA)은 2025년 댄포스 일부 제어기의 인증 결함을 공지했고, 댄포스는 고객들에게 펌웨어를 최신으로 유지하고 구형 장비는 교체하라고 오래전부터 권고해 왔다. 프랑스 당국은 해당장비를 즉시 인터넷에서 분리할 것을 공지했다. 그럼에도 3주 뒤 유럽 각국은 같은 수법의 공격에 당했다. 보안업체 센시스 Censys는 운영자들이 인터넷에서 분리만 했을 뿐 장비를 파치하지 않은 것으로 분석했다.

여전히 전 세계 다수가 보안 패치 이전 버전을 쓰고 있는 상황에서 '보안 의식'의 부재 자체가 문제를 부르고 있다. 물론 멀쩡히 돌아가는 냉장고의 보안을 챙기고 업데이트를 하고 일부러 비용을 들여 설비까지 교체하기란 현실적으로 쉽지 않다. 하지만 오늘날 보안은 비용이 들 수밖에 없는 기본 템 이자 언제 누가 비용을 치를지 반드시 결정해두어야 하는 필수 요건이 되었다.

유럽 마트만의 이야기가 아니다. 보안업계에 의하면 전 세계 99개국에서 인터넷에 노출된 냉장 제어 서비스는 약 1만 3천 건에 달한다. 우리 주변도 다르지 않다. 냉장고, 세탁기, 에어컨, 월패드처럼 한 번 들이면 10년 가까이 쓰는 연결 기기가 집집마다 있다. 그런데 그 기기의 보안 업데이트가 언제까지 제공되는지 알고 사고 또 관리하는 소비자는 드물다. 우유 한 팩을 살 때도 유통기한을 확인하면서, 수백만 원짜리 스마트 가전의 '보안 유통기한'은 묻지 않는 아이러니한 현실이다.

물론 매장 냉장설비를 통제하는 상업용 제어 시스템과 가정용 냉장고는 경로가 다르다. 하지만 '인터넷에 연결된 기기는 관리되지 않는 순간 누군가의 출입구가 된다'는 원리는 동일하다. 2021년 전국 40만여 가구의 아파트 월패드가 해킹돼 집안이 몰래 촬영되고 영상 일부가 유출된 사건을 떠올리면, 먼 나라 얘기로 여길 수만은 없다.

국내 대형마트들은 냉장설비를 매장에서 수동으로 관리해 외부 접속 경로가 없다는 점은 다행스럽다. 하지만 원격 유지보수에 의존할 가능성이 큰 중소 매장이나 무인 매장, 신선식품 물류센터는 사정이 다를 수 있다. 이번 공격에 쓰인 제조사들의 냉장설비는 국내 매장에도 공급돼 왔지만, 그 제어기가 인터넷에 얼마나 노출돼 있는지는 국내 현황을 따로 공개한 집계가 없다. 한국인터넷진흥원(KISA)이 2023~2025년 주요 기업을 모의 해킹 방식으로 점검한 결과 약 89%에서 침투 가능한 취약점이 확인됐다는 보도도 있다. 반복된 침투 경로는 인터넷에 노출된 상용 장비와 늦어지는 보안 패치였다. 유럽이 뚫린 조건과 다르지 않다.

소 잃고 외양간 고치는 상황이 되기 전에 우리의 상황을 짚어봐야 한다. IoT기기 보안인증은 법에 근거한 국가 인증이지만, 받지 않아도 제품을 파는 데 아무런 제약이 없다. 그렇다 보니 2025년 5월까지 인증 받은 제품은 누적 439건에 그친다. 제조사가 연결 기기의 보안 업데이트를 최소 몇 년간 제공해야 하는지도 법에 정해져 있지 않다. 반면 유럽연합은 사이버복원력법(CRA)에 따라 2027년 12월부터 제조사가 제품별 보안 지원 기간을 원칙적으로 5년 이상 정하고, 그 종료일을 판매 시점에 알리도록 했다. 국내에서는 대형 가전사 제품도 지원 기간이 제품마다 달라, 소비자가 구매 시점에 이를 확인하기 어렵다.

규제와 제도가 미흡한 상황에서 무엇보다 집중해야 할 것은 '보안 의식의 강화'이다. 보안 의식이란 어려운 기술이 아니라 '기본값을 의심하는 습관'이다. 보안은 전문가나 IT 회사의 몫이 아니라 누구나 신경 써야 하는 생활습관이 돼야 마땅하다.

스마트 기기의 자동 업데이트를 켜두고, 공장 출고 비밀번호를 바꾸고, 새 가전을 구입할 때는 제품의 보안 업데이트 기한을 확인한다. 기기가 이상하게 작동하거나 해킹이 의심되면 한국인터넷진흥원, 국번 없이 118 상담센터에 도움을 청할 수 있다.

가게를 운영한다면 설치 업체에 한 번만 확인하면 된다. 우리 매장 냉장고나 CCTV를 밖에서 원격으로 접속할 수 있는지, 그렇다면 비밀번호는 무엇이고 누가 관리하는지를 알아 두어야 한다. 제어기와 별도로 온도 이상을 알리는 독립 경보를 두는 것도 방법이다. 제어기 자체가 장악되면 그 제어기의 경보는 울리지 않을 수 있지만, 감시·경보 시스템이 이상을 일찍 잡아낼 수 있다면 프랑스 혈액원이 혈액 제품을 잃지 않은 것처럼 피해를 막을 수도 있다.

제조사는 기본 비밀번호를 없애고 지원 종료일을 제품에 명시해야 한다. 정부는 보안 업데이트 최소 지원 기간을 법으로 정하고, 유통·물류 냉장설비 같은 생활 인프라의 인터넷 노출 실태부터 파악해야 한다.

미국 연방수사국(FBI)과 사이버보안·인프라보안청 등 5개 기관도 이달 5일 공동 경고를 냈다. 원격 제어 장치를 인터넷에서 분리하고 기본 비밀번호를 바꾸며 지원이 끝난 장비는 교체를 권고했다. 냉장설비에 의존하는 모든 조직은 스스로 표적이 될 수 있음을 가정하라고 당부했다.

연결은 편리함을 주지만, 관리되지 않는 연결은 위협을 초래한다. 유럽의 냉동고가 50도까지 달아오른 그날 밤, 해커는 대단한 기술이 아니라 보안의식의 부재와 무관심을 딛고 해킹에 성공할 수 있었음을 기억해야 한다.

◇하민회 이미지21대표(미래기술문화연구원장) =△경영 컨설턴트, AI전략전문가△ ㈜이미지21대표 △경영학 박사 (HRD)△서울과학종합대학원 인공지능전략 석사△핀란드 ALTO 대학 MBA △상명대예술경영대학원 비주얼 저널리즘 석사 △한국외대 및 교육대학원 졸업 △경제지 및 전문지 칼럼니스트 △SERI CEO 이미지리더십 패널 △KBS, TBS, OBS, CBS 등 방송 패널 △YouTube <책사이> 진행 중 △저서: 쏘셜력 날개를 달다 (2016), 위미니지먼트로 경쟁하라(2008), 이미지리더십(2005), 포토에세이 바라나시 (2007) 등