군 매점 냉동고가 동시다발로 멈췄다 — 우연인가, 원격제어 시스템의 경고인가

미군 기지에 있는 면세 식료품점인 '커미서리(commissary)'의 냉장·냉동 설비가 8월 하순 여러 기지에서 거의 동시에 멈춰 섰다. 처음에는 낡은 냉동고 몇 대가 고장 난 흔한 사건처럼 보였다. 그러나 소셜미디어에 '우리 기지도 똑같다'는 제보가 잇따르면서 이야기는 단순 설비 노후 문제를 넘어섰다. 국방부(펜타곤)는 이후 다수의 국방매점청(DeCA) 매점에서 '냉장 설비 장애 가능성'을 인정했고, 최소 6개 군 시설에서 시차 없는 냉각 장애가 공식 확인됐다. 원문 필자는 초기 시점에 11개 주 14개 기지에서 발생한 냉동 장애 보고를 집계했고, 이후 일부는 오보나 무관한 사례로 확인돼 목록에서 제외했다.

'전원이 나간 것'과 '해동 모드로 바뀐 것'은 다르다

이 사건을 단순 정전과 구분 짓는 결정적 대목은 애리조나 포트 후아추카 기지의 사례다. 이 기지의 공식 계정은 8월 27일, 야간 설비 장애로 매점의 모든 냉동고가 '해동(defrost) 모드'로 진입해 내용물이 상했다고 밝혔다. 단순히 전원이 끊겨 아이스크림이 녹은 것이 아니라, 냉동고가 스스로 가열 동작을 했다는 뜻이다. 냉각이 멈춘 것과 냉동고가 능동적으로 데워진 것은 기술적으로 전혀 다른 실패 양상이며, 바로 이 지점이 필자가 사건을 파고든 이유가 됐다.

왜 이것이 문제인가. 커미서리는 각 기지가 개별 운영하는 것이 아니라 국방부 산하 DeCA가 전 세계 약 235곳을 통합 관리한다. DeCA는 2026년 3월 조달 문서에서 약 182개 지점을 대상으로 '원격 감시·제어 시스템(RMCS)' 관리 지원을 요청했는데, 이 범위에 초기 집계된 14개 기지가 모두 포함된다. 더 눈에 띄는 것은 DeCA 자체 냉각 엔지니어링 규격의 한 문장이다. '해동은 RMCS를 통해 제어된다.' 즉 기지 측이 '전원은 나가지 않았고 해동이 음식을 데웠다'고 설명한 바로 그 기능이, DeCA 문서상 원격 제어 시스템의 관할이라는 뜻이다.

중앙 감시 인프라는 있지만 '일괄 해동 버튼'의 증거는 없다

다만 여기서 성급한 결론은 금물이다. RMCS의 존재는 중앙집중식 감시 인프라가 구축돼 있다는 사실을 말해줄 뿐, DeCA 본부의 누군가가 '전 매점 해동' 버튼을 누를 수 있다는 의미는 아니다. 원격 제어의 실제 범위, 현재 마스터 시스템이 어디에 호스팅되는지, 피해 매점들이 설비를 공유하는지는 여전히 불분명하다. 공개된 정보 자체가 빈약하기 때문이다. 그럼에도 개별 매점 단위의 네트워크 제어는 독립적으로 확인된다. 문제가 보고된 로빈스 공군기지의 신축 매점은 냉각·공조 전체를 관리하는 RSMS 제어 설비를 갖춘 것으로 소개돼 있다. 현대식 슈퍼마켓의 표준 구조라는 점에서 중앙 제어 자체가 수상한 것은 아니지만, 이는 '냉동고 고장'이라는 사건의 해석 범위를 넓혀 놓는다.

타이밍도 공교롭다. 산업 사이버보안 연구팀 클라로티(Claroty) Team82는 8월 9일, 상업용 냉각 설비를 중앙 관리하는 감독 컨트롤러 Danfoss AK-SM 800A에서 무단 접근을 허용할 수 있는 취약점을 공개했다. 필자는 포트 후아추카가 이 기종을 쓴다고 입증하지는 못했으나, DeCA 장비 목록에서 NAF 엘센트로에 설치된 Danfoss AK-SM880을 찾아냈다. 다만 엘센트로는 피해 목록에 없다. 같은 날 공개된 두 번째 조사는 Copeland XWEB Pro 컨트롤러에서 23개 취약점(21개 고위험)을 발견했고, 감독 컨트롤러 장악 후 냉각 설비를 물리적으로 조작하는 시연까지 보여줬다. Copeland는 보안 공지에서 제어 시스템과 웹 인터페이스를 인터넷에 절대 노출하지 말라고 명시적으로 권고했다.

실무자가 읽어야 할 지점: OT 원격제어의 위험 표면

물론 평범한 설명도 얼마든지 가능하다. 소프트웨어·설정 오류, 잘못된 업데이트, 통신 장애, 혹은 DeCA 차원의 지루한 유지보수 작업일 수 있다. 노후 설비들이 8월 폭염 속에 우연히 함께 수명을 다했을 가능성도 배제할 수 없으며, DeCA의 3월 조달 문서 자체가 '노후 인프라'를 관리 대상으로 명시하고 있다. 필자도 DeCA가 해킹당했다는 증거는 없다고 여러 차례 못 박는다. 남는 것은 정황과 우연의 연쇄일 뿐이다.

그럼에도 이 사건은 한국의 IT·보안 실무자에게 구체적인 시사점을 준다. 냉장·공조 같은 운영기술(OT) 설비가 원격 감시·제어망에 묶이는 순간, '냉동고 고장'은 더 이상 물리적 사건에만 그치지 않고 네트워크 사건의 얼굴을 갖게 된다. 벤더가 웹 인터페이스를 인터넷에 노출하지 말라고 경고했다는 사실, 감독 컨트롤러 장악으로 설비를 물리 조작할 수 있음이 이미 시연됐다는 사실은 냉각뿐 아니라 빌딩 자동화, 데이터센터 항온항습, 콜드체인 물류 전반에 그대로 적용된다. 결국 핵심 질문은 '해킹이 있었느냐'보다 '원격 제어가 가능한 설비를 우리는 어디까지, 어떤 경로로 노출하고 있는가'다. 후아추카의 실패 양상이 불편한 이유는, 그 답이 대체로 문서화돼 있지 않다는 데 있다.