과학기술정보통신부가 11일 주요 콜드체인 기업의 정보보호최고책임자들과 간담회를 열고 국내 설비의 보안 대응 현황을 점검했다고 밝혔다. 콜드체인은 냉장·냉동 유통망을 뜻한다. 뉴시스
유럽에서는 냉장·냉동설비의 온도를 원격으로 높이는 공격으로 식품이 대량 폐기된 것으로 보도됐다. 이번 사안에서 살펴볼 변화는 식품을 보관하는 설비의 제어 시스템이 공격 대상이 됐다는 점이다. 뉴시스
과기정통부는 유럽 사고의 공통점을 기본적인 보안수칙 미준수로 설명했다. 이를 운영 관점에서 해석하면, 점검의 출발점은 비밀번호·원격 접속·보안 패치의 실제 관리 상태다. 정부가 무엇을 권고했고 무엇을 점검했는지, 운영자가 무엇을 확인해야 하는지를 구분해 읽을 필요가 있다. 서울경제 더팩트
냉장고의 온도와 제상 기능이 공격 대상이 됐다
뉴시스는 보도 시점 기준 ‘지난달’ 프랑스에서 해커들이 수백 개 슈퍼마켓의 냉장·냉동설비 온도를 원격으로 높여 식품이 대량 폐기된 것으로 알려졌다고 전했다. 이어 ‘이달 초’ 벨기에와 스웨덴 등에서도 유사한 공격이 발생했다고 보도했다. 이 표현만으로 개별 매장의 정확한 피해 발생일을 정할 수는 없다. 뉴시스
더팩트는 공격자들이 온도를 원격으로 조작하고, 냉각기에 낀 성에를 녹이는 ‘제상 기능’을 악용했다고 설명했다. 제상 기능은 이번 사건의 작동 방식을 이해하는 핵심이다. 냉장·냉동설비 안에 있는 기능의 설정을 공격자가 바꿨다는 것이다. 더팩트
더팩트는 일부 매장의 내부 온도가 50도까지 올라 보관 중이던 식품을 전량 폐기했다고 전했다. 이 수치는 해당 매체가 보도한 일부 매장 사례이며, 모든 피해 설비의 온도나 일반적인 고장 상태를 나타내는 값으로 확대할 수 없다. 더팩트
사건을 읽을 때는 ‘설정이 조작됐다’, ‘온도가 올라갔다’, ‘보관물이 폐기됐다’를 나눠 보는 편이 정확하다. 이 구분은 보도된 사례를 비교하기 위한 해석이다. 프랑스 혈액원 사례에서는 설정 조작이 있었지만, 기관 설명에 따르면 보관물을 옮겨 검체와 혈액제제의 손상을 막았다. 공격을 받았다는 사실만으로 최종 피해 규모까지 알 수는 없다. 에포크타임스
고도의 공격이라는 인상보다 기본 관리 상태를 먼저 봐야 한다
최우혁 과기정통부 정보보호네트워크정책실장은 유럽 사고가 고도의 해킹 기법보다 기본적인 보안수칙 미준수에서 비롯됐다고 말했다. 이는 정부 관계자의 사고 평가다. 서울경제는 알려진 취약점의 패치가 이뤄지지 않은 오래된 기기나, 관리자가 비밀번호를 바꾸지 않는 등 허술한 보안 정책이 악용된 것으로 알려졌다고 보도했다. 서울경제
이 설명을 ‘기본 조치만 하면 어떤 공격도 막는다’는 보장으로 읽어서는 안 된다. 정부가 강조한 것은 관련 보안수칙 준수, 관리체계 점검, 보안공지 확인, 취약점의 적시 패치다. 보안조치의 필요성과 개별 설비의 안전 여부는 구분해서 판단해야 한다. 서울경제
더팩트가 전한 정부 권고는 다음과 같다.
- 제조사가 설정한 초기 비밀번호를 바꾸고 비밀번호 관리를 강화한다.
- 설비를 원격으로 모니터링하거나 제어할 때 가상사설망(VPN)을 적용한다.
- 제조사의 보안 공지문을 수시로 확인하고 최신 보안 패치를 적용한다.
세 항목은 더팩트가 보도한 과기정통부의 권고다. 더팩트
더팩트는 냉장·냉동설비가 24시간 가동되는 경우가 많아 운영 인력 사이의 인수인계가 필요하고, ‘1234’ 같은 단순 초기 번호를 유지하는 경우가 많다고 설명했다. 이 사례는 비밀번호를 한 번 바꾸는 일과 이후 운영 과정에서 관리하는 일을 함께 확인할 이유가 된다. 다만 모든 사업장이 이런 번호를 사용한다는 뜻은 아니다. 더팩트
정부의 권고 전파와 기업별 실태 점검은 구분해야 한다
더팩트에 따르면 과기정통부는 8일 관계 부처에 해외 해킹 사례와 보안 점검 권고사항의 전파를 요청했다고 밝혔다. 한국냉동공조산업협회 등 관련 단체에도 회원사에 사례와 수칙을 전달해 달라고 당부했다. 이는 국내 사업자에게 대응 정보를 전달하는 조치다. 더팩트
11일 발표된 간담회에서는 주요 설비의 활용 현황, 제조사의 보안공지와 사고사례 전달체계, 취약점 점검·패치 현황, 기업별 보안조치 실태를 점검했다. 정보가 전달되는 체계와 현장에서 조치가 이뤄진 상태가 모두 점검 대상에 들어갔다. 뉴시스
| 발표·보도 시점 | 보도된 조치 | 구분해서 읽을 내용 |
|---|---|---|
| 8일 | 관계 부처·관련 단체를 통한 해외 사례와 보안수칙 전파 요청 | 사업자에게 대응 정보를 전달하는 조치 |
| 11일 | 주요 콜드체인 기업 간담회에서 설비·전달체계·패치·보안조치 실태 점검 | 기업의 대응 현황을 살피는 조치 |
표의 날짜는 정부 조치에 관한 발표·보도 시점이며 유럽 공격의 발생일이 아니다. 마지막 열은 두 조치의 역할을 구분한 해석이다. 더팩트 뉴시스
뉴시스는 정부가 제조사와 설비 사용자에게 긴급 보안대책을 권고하고 보안수칙을 제작·배포했으며, 한국인터넷진흥원(KISA)을 통한 상담·안내 콜센터를 운영했다고 전했다. 간담회에서는 이런 초기 대응조치를 설명하고 업계의 애로사항과 대응 방안도 논의했다. 뉴시스
여기서 독자가 구별할 것은 ‘권고했다’, ‘현황을 점검했다’, ‘조치를 완료했다’라는 서로 다른 상태다. 앞의 두 행동이 보도됐다는 이유만으로 개별 기업의 패치 적용이나 모든 설비의 점검이 완료됐다고 판단할 수는 없다. 실제 운영 판단에는 해당 기업과 설비의 조치 상태를 별도로 확인하는 과정이 필요하다.
운영자는 공지를 받았는지와 적용했는지를 따로 확인해야 한다
아래 순서는 정부가 점검한 항목과 권고사항을 운영자의 확인 질문으로 재구성한 제안이다. 특정 제조사의 설정 방법이나 작업 절차를 대신하는 설명은 아니다. 확인의 중심은 설비 현황에서 출발해 공지 전달, 적용 상태, 지원 수단으로 이어진다. 뉴시스 더팩트
- 현재 사용하는 설비부터 확인한다. 정부가 살핀 ‘주요 설비 활용 현황’을 자기 사업장에 대입한다. 어떤 설비를 사용하고 있으며 그 설비의 보안 상태를 어디에서 확인할지 정리하는 출발점이다.
- 제조사 공지의 전달체계를 확인한다. 보안공지와 사고사례가 현장까지 전달되는지 살핀다. 공지의 존재와 담당자의 수신 여부를 같은 것으로 취급하지 않는다.
- 취약점 점검과 패치 적용 상태를 확인한다. 공지를 확인한 상태에서 멈추지 않고 해당 설비에 필요한 조치가 적용됐는지 확인한다.
- 비밀번호와 원격 접속 관리를 확인한다. 초기 비밀번호 변경·관리 강화와 원격 모니터링·제어 시 VPN 적용이라는 정부 권고를 기준으로 현재 상태를 살핀다.
설비 활용·공지 전달·취약점 점검·패치 현황은 간담회의 점검 항목이며, 비밀번호와 VPN은 더팩트가 전한 정부 권고다. 뉴시스 더팩트
이 순서를 업무에 적용한다면 제조사 공지를 확인하는 쪽과 설비를 운영하는 쪽 사이에서 ‘어디까지 했는가’를 맞춰 보는 데 의미가 있다. 전달체계와 적용 상태를 나눠 묻는 이유도 여기에 있다. ‘공지 확인’이라는 답만으로 ‘패치 적용’까지 확인했다고 기록하지 않는 방식이다.
지원 수단도 있다. 더팩트는 외부에 노출된 장비와 시스템의 보안 취약점을 진단하는 ‘공격 표면 점검 서비스’를 무상으로 지원한다고 전했다. 뉴시스가 전한 KISA 상담·안내 콜센터와 함께 운영자가 확인할 수 있는 지원 경로다. 더팩트 뉴시스
다만 실제 신청이나 설비 변경에 앞서 확인할 질문은 남는다. 우리 설비가 지원 대상인지, 신청은 어떻게 하는지, 해당 모델에는 어떤 공지와 패치가 적용되는지다. 이 부분은 개별 설비의 제조사 안내와 지원 창구에서 확인할 사항으로 남겨 둬야 한다.
혈액원 사례는 공격 발생과 보관물 손상을 나눠 보여준다
에포크타임스는 로이터통신을 인용해 프랑스 혈액원(EFS)이 4일 현지시간, 산하 시설 3곳의 외주업체 운영 냉동창고 감시·제어 시스템이 ‘지난 2일 밤’ 공격받았다고 밝혔다고 전했다. 공격자는 냉동설비의 온도와 제상 기능의 작동 기준을 크게 높였다는 설명이다. 이 대목에서는 기관의 발표일과 기관이 밝힌 공격 시점을 구분해야 한다. 에포크타임스
같은 보도에 따르면 직원들이 상주하던 시설에서 경보가 울린 뒤 대응이 이뤄졌다. 직원들은 수혈용 혈장과 의약품 제조 원료를 인터넷에 연결되지 않은 다른 냉동고와 예비 시설로 옮겼다. EFS는 혈액 공급이 중단되지 않았고 검체와 혈액제제도 손상되지 않았다고 설명했다. 에포크타임스
| 비교 항목 | 슈퍼마켓 사례 | 프랑스 혈액원 사례 |
|---|---|---|
| 보도된 조작 | 설비 온도 원격 조작과 제상 기능 악용 | 온도와 제상 기능 작동 기준 상향 |
| 보도된 결과 | 일부 매장에서 보관 식품 전량 폐기 | EFS 설명상 혈액 공급 중단·검체와 혈액제제 손상 없음 |
| 보도된 대응 | 식품 폐기 | 경보 뒤 다른 냉동고와 예비 시설로 보관물 이동 |
슈퍼마켓 열은 더팩트, 혈액원 열은 에포크타임스가 전한 EFS 설명에 근거한다. 더팩트 에포크타임스
이 비교에서 얻을 수 있는 운영상의 해석은 침입을 막기 위한 관리와 이상 발생 뒤 보관물을 보호하는 대응을 함께 살펴야 한다는 것이다. 혈액원 사례를 근거로 모든 시설에서 같은 결과를 보장할 수는 없다. 다만 경보 뒤 무엇을 했는지와 최종 손상 여부를 분리해 읽으면, ‘공격을 받았다’는 표현만으로는 드러나지 않는 대응 과정을 볼 수 있다.
공급 관계에서도 설명의 주체를 구분해야 한다. 에포크타임스에 따르면 쿨월드는 폴리티코에 보낸 성명에서 문제가 발생한 부분을 제3의 공급업체가 제공하며 자사가 직접 통제하지 않는 부품이라고 설명했다. 이는 업체의 설명이다. 이 발언을 책임 소재가 확정됐다는 뜻으로 바꾸어 읽을 수는 없다. 에포크타임스
국내 피해 여부와 공격 배후는 발표의 범위 안에서 읽어야 한다
더팩트의 8일 보도에서 과기정통부 관계자는 “현재까지 국내에서는 냉장·냉동설비 해킹으로 인한 피해 사례가 보고되지 않았다”고 말했다. 이 문장은 당시 보고된 피해의 상태를 설명한다. 이를 글을 읽는 시점의 국내 모든 설비에 대한 안전 판정으로 옮겨 쓰면 발언의 시간과 범위가 달라진다. 더팩트
공격 배후 역시 출처와 표현을 붙여 읽어야 한다. 서울경제는 프랑스 정부가 이란 이슬람혁명수비대를 배후로 지목한 바 있다고 전했다. 여기에서 확인할 수 있는 것은 ‘프랑스 정부의 지목을 서울경제가 보도했다’는 사실이다. 서울경제
에포크타임스는 보도 시점 기준 공격을 자처한 조직이 없고 동기도 밝혀지지 않았다고 전했다. 두 서술을 읽을 때는 정부의 배후 지목과 공격 주체·동기에 대한 확인 수준을 구별해야 한다. 배후 지목을 유럽의 모든 피해 사례가 동일한 주체의 공격으로 입증됐다는 뜻으로 넓히지 않는 것이 타당하다. 에포크타임스 서울경제
지금 추가로 확인할 질문은 다음과 같다.
- 국내 피해 현황: 8일 보도에 인용된 발언 이후 신고·확인 현황이 어떻게 달라졌는가.
- 점검의 결과: 개별 기업의 취약점 점검과 패치 적용은 어디까지 완료됐는가.
- 설비별 적용 조건: 사용하는 모델에 해당하는 보안공지, 패치, 원격 접속 조치는 무엇인가.
- 지원 이용 조건: 상담·안내와 무상 점검 서비스를 어떤 절차로 이용할 수 있는가.
이는 당시 무피해 보고, 간담회 점검 항목, 정부 지원 보도를 바탕으로 정리한 후속 확인 질문이다. 답을 얻기 전에는 국내 전체의 피해 상태나 개별 설비의 보안조치 완료 여부를 추정하지 않는 편이 정확하다. 더팩트 뉴시스
