2026년 10월 11일에서 12일로 넘어가는 밤, 프랑스 수백 개 슈퍼마켓의 냉장·냉동 설비가 갑자기 온도를 올리기 시작했다. 공격자들이 냉각 시스템을 성에를 녹이는 '제상(defrost)' 모드로 강제 전환시킨 것이다. 파리 검찰에 따르면 일부 설비는 50도까지 치솟아 불이 붙은 경우도 있었고, 매장들은 신선식품과 냉동식품을 폐기해야 했다. 보도는 덴마크 산업기업 단포스(Danfoss)의 냉각 제어기를 공통분모로 지목했고, 파리 검찰은 수사에 착수했다.
피해 규모는 집계가 거듭될수록 늘어났다. 퓌튀라시앙스(Futura-Sciences)는 400개 이상의 매장이 피해를 입었고 손실이 수백만 유로에 이를 수 있다고 전했다. 까르푸는 80개 매장이, 레 무스케테르 그룹 산하의 앵테르마르셰와 네토는 300개 이상이 영향을 받았다. 모노프리는 전체 매장의 약 5%가 피해를 봤다고 밝혔다. 쿠페라티브 U의 CEO 도미니크 셸셰르는 RTL과의 인터뷰에서 2,000개 매장 중 80곳이 당했다고 밝히면서, 매장들이 단포스 제품을 직접 구매하는 것이 아니라 냉각 설비 계약업체가 공급한 단포스 시스템을 쓴다고 설명했다. 공급망 구조 자체가 보안 책임의 경계를 흐리고 있음을 보여주는 대목이다.
공격 전에 이미 드러나 있던 위험
IP 데이터 기업 IPinfo는 주간 인터넷 스캔 기록을 통해 공격 직전의 상태를 되짚었다. 공격 닷새 전인 10월 6~7일 스캔에서는 2,528개의 주소가 단포스 '스토어뷰(StoreView)' 대시보드를 노출하고 있었다. 이는 매장과 기술자가 제어기를 감시·관리하는 웹 화면으로, 사실상 뒷방의 제어판에 해당하지만 주소만 알면 누구나 열 수 있는 상태였다. 그중 프랑스가 1,331개(53%)로, 나머지 72개 국가·지역을 모두 합친 1,197개보다 많았다. 폴란드 179개, 미국 101개, 포르투갈 92개, 벨기에 85개가 뒤를 이었다.
왜 프랑스에 유독 집중됐는지 데이터는 답하지 못하지만 몇 가지 추정은 걸러낸다. 프랑스 대시보드의 소프트웨어 버전 분포는 다른 나라와 다르지 않았고, 연결 방식도 특이하지 않았다. 약 3분의 2가 한 개의 국가 통신사를 통해 연결됐으며, 98%가 데이터센터나 클라우드가 아니라 통신사 망에 물려 있었다. 이는 매장 자체 인터넷 회선에 제어기를 꽂고 기술자나 본사가 접근할 수 있도록 열어둔 전형적인 구성이다. CERT-FR의 권고에는 그 이유가 암시돼 있는데, 제어기가 계약업체로 보내는 데이터를 끊기 전에 보험 약관부터 확인하라고 조언한 것이다. 원격 점검과 계약 관계가 노출을 유지시킨 셈이다.
대부분이 알려진 취약점을 안고 있었다
대시보드는 소프트웨어의 세대를 드러낸다. 구형은 2020년 지원이 끝난 플래시 기반 화면으로 AK-SM 800이 서비스하며, 단포스가 2023년에 수명 종료를 선언한 모델이다. 같은 해 보안업체 시낙티브(Synacktiv)는 이 제품의 로그인 우회 기법을 공개했다. 신형은 현행 모델 AK-SM 800A에서 돌아가는데, 펌웨어 3.3 이전 버전은 2023년 수정(치명적 등급 하나 포함)을 놓쳤고, 4.2 이전은 2025년 로그인 우회 수정을, 4.3.1 이전은 추가 수정 두 건을 빠뜨린 상태였다. 종합하면 프랑스 대시보드의 85%(1,331개 중 1,136개)가 알려진 취약점을 가진 소프트웨어로 돌아가고 있었다. 이는 다른 지역의 84%와 거의 같은 수준이어서, 프랑스가 관리를 특별히 못 했다기보다 전 세계적으로 방치돼 있었음을 보여준다.
이 상태는 하루이틀의 문제가 아니었다. 2026년 3월 말부터 공격 직전까지 매주 스캔할 때마다 2,464~2,622개의 단포스 대시보드가 인터넷에 열려 있었고, 절반가량이 프랑스였다. 10월 6일 발견된 프랑스 대시보드 1,331개 중 1,019개는 6개월 전인 3월 30일에도 같은 주소에서 열려 있었다. 단포스가 더 이상 지원하지 않는 구형 제어기 수는 3월 말 519개에서 10월 527개로 오히려 줄지 않았고, 최신 버전으로 모든 패치를 적용한 비율은 14%에서 24%로 월 2%포인트도 안 되는 속도로 느리게 올랐다. 방치의 관성이 수치로 고스란히 드러난다.
공격 이후, 그리고 실무가 새길 점
공격 직후에는 움직임이 빨랐다. 10월 14일 스캔에서 기존 프랑스 대시보드 1,331개 중 316개만 같은 주소에 남아 76% 줄었다. 평소 주간 이탈률이 3~7%였던 것과 대비된다. 단포스가 지원하지 않는 구형 제어기가 527개에서 64개로 가장 크게 줄었고, 모든 패치를 적용한 제어기도 195개에서 54개로 함께 줄었다. 이는 매장들이 업데이트가 아니라 '연결 차단'으로 대응했음을 시사한다. 다른 스캔 기업 센시스(Censys)도 10월 11~14일 프랑스에서 71% 감소를 관측했고, CERT-FR이 경보에 추가한 코프랜드·딕셀의 XWEB 감독 시스템 역시 프랑스에서 70개 중 20개만 남아 71% 줄었다.
다만 데이터의 한계는 분명하다. IPv4와 스캔 대상 포트만 집계했고, 한 주소가 반드시 한 매장을 뜻하지도 않아 수치는 최소치다. 대시보드를 인터넷에서 열 수 있다는 사실이 곧 침입 가능을 의미하지도 않으며, 위 취약점 중 무엇이 실제로 쓰였는지, 누가 어떻게 들어왔는지는 아직 밝혀지지 않았다. 그럼에도 실무적 함의는 선명하다. CERT-FR은 제어기를 공개 인터넷에서 분리하고, 원격 접근이 필요하면 보안 VPN을 통하라고 권고한다. 특정 IP만 허용하는 방식은 임시방편이며, 공장 초기화만으로는 부족하다. 업데이트가 끊긴 노출 제어기는 다시 장악될 가능성이 높기 때문이다. 산업용 제어 설비를 '설치하고 잊어버리는' 관행, 그리고 공급업체와 계약업체 사이에서 흐려지는 패치 책임이야말로 이번 사건이 가리키는 구조적 숙제다.