섭씨 50도로 치솟은 냉장고와 변조된 무선 칩: 물리 제어가 네트워크에 노출될 때 세워야 할 경계

DEVOTEE 26.10.13

2 0 0

facebook twitter kakao link

0 0

facebook twitter kakao link

하루 2시간만 돌아야 하는 냉동고 제상 히터가 24시간 내내 켜졌고, 목표 온도는 섭씨 50도로 바뀌었습니다. 냉동창고는 순식간에 찜통으로 변했습니다.

프랑스 주요 유통 체인의 냉장 설비 사이버공격으로 인해 E. Leclerc, Intermarche, Cooperative U 등 프랑스 전역의 유통 매장에서 대규모 신선식품과 냉동식품이 폐기되었습니다. 피해를 입은 매장은 Intermarche와 Netto 매장만 최소 300곳에 달합니다. 공격 대상은 유럽 주요 슈퍼마켓이 사용하는 Danfoss 냉장 제어 장치였습니다. 공격자는 설비 펌웨어나 제어 시스템의 논리 경계를 뚫고 들어가, 얼음을 녹이는 자동 제상(Defrost) 기능을 영구 가동 상태로 고정했습니다.

이 사고는 전통적인 웹 애플리케이션의 데이터 침해나 랜섬웨어 암호화와 전혀 다른 문제를 드러냅니다. 네트워크 명령 한 줄이 물리적인 냉각 콤프레셔와 전열선을 오작동시켜 수백 톤의 실물 재고를 폐기하게 만들었습니다. 같은 시기 공개된 Gemtek Wi-Fi 7 라우터를 320 Msps SDR(소프트웨어 정의 무선 수신기)로 개조한 프로젝트 역시 동일한 기술적 본질을 공유합니다. 칩셋 제조사의 순정 바이너리를 걷어내고 자체 펌웨어를 올리는 순간, 상용 네트워크 기기는 초당 3억 2천만 개 샘플을 긁어모으는 무선 도청·분석 장비로 완전히 탈바꿈합니다.

물리 세계와 맞닿은 제어기(IoT, 라우터, 산업용 PLC)가 이더넷 케이블을 꽂는 순간, 소프트웨어의 허술한 검증 로직은 단순한 시스템 다운을 넘어 물리적 파괴로 번집니다. 원격 통제 인터페이스와 임베디드 펌웨어 사이에 어떤 경계선이 누락되었는지 짚어봅니다.

섭씨 50도로 설정된 냉동고: Danfoss 제어기 침해가 드러낸 제어 루프의 맹점

원문 보도에 따르면 공격자는 Danfoss 냉장 제어 장치의 중앙 관제 네트워크를 장악한 뒤 두 가지 파라미터를 조작했습니다. 통상 하루 2시간 주기로 서리를 녹이기 위해 작동하는 '자동 제상' 주기를 강제로 연속 가동 상태로 전환했고, 제어 목표 온도를 섭씨 50도로 입력했습니다.

이 공격에서 가장 주목해야 할 점은 서비스 거부(DoS) 공격이 아니라는 사실입니다. 장비 전원을 내리거나 통신을 끊는 방식 대신, 장비가 정상적으로 지원하는 '제어 파라미터 변경 기능'을 악용해 하드웨어를 한계치까지 구동시켰습니다. 냉장고 입장에서 제상 히터는 내부에 낀 성에를 제거하기 위해 주기적으로 열을 가하는 정상 부품입니다. 하지만 이 제어 신호가 무제한으로 인가되면서 냉각 사이클이 완전히 붕괴되었습니다.

여기서 DEVOTEE가 주목하는 설계 결함은 '물리적 한계값 클램핑(Hard Clamping)'의 부재입니다. 냉장 제어기라면 어떤 원격 명령이 인가되더라도 소프트웨어 또는 하드웨어 레벨에서 목표 온도가 섭씨 10도 이상으로 올라갈 수 없도록 상한선을 강제했어야 합니다. 그러나 공격자가 주입한 '섭씨 50도'라는 비정상 파라미터는 아무런 검증 없이 제어 루프(Control Loop)에 반영되었습니다.

실무에서 산업용 장비나 스마트 팩토리, IoT 설비를 클라우드 또는 중앙 관제 시스템에 연동할 때 이런 실수가 흔히 반복됩니다. 개발팀은 편의를 위해 중앙 관리 시스템(BMS 또는 SCADA)에 장비의 모든 레지스터 쓰기 권한을 열어둡니다. 그리고 "관리자 콘솔에서 엉뚱한 값을 넣을 리 없다"고 가정합니다. 하지만 네트워크 침투나 인증 탈취가 일어나는 순간, 중앙 관제 시스템은 공격자가 하드웨어를 파괴하기 위한 가장 완벽한 원격 레버로 변합니다.

Danfoss 사례에 대한 판단입니다: 지금 당장 점검해야 합니다. 중앙에서 Modbus나 BACnet, 전용 프로토콜을 통해 하드웨어 레지스터를 직접 조작하는 구조를 가진 조직이라면, 원격 관제망의 인증 상태와 무관하게 제어 보드 내부 펌웨어 단계에서 안전 임계치(Safety Envelope)를 하드코딩으로 강제하고 있는지 확인해야 합니다. 상한선을 소프트웨어 설정 파일로 열어두는 것은 편의성이 아니라 시한폭탄입니다.

펌웨어 서명을 우회하는 하드웨어: Wi-Fi 7 라우터 개조가 던지는 경고

네트워크 기기의 펌웨어 경계가 어떻게 무너지는지는 W1700K SDR 프로젝트에서 더욱 선명하게 드러납니다. 연구팀은 Gemtek W1700K Wi-Fi 7 라우터에 탑재된 MediaTek MT7996 무선 칩셋을 해킹해 14비트 IQ(동위상 및 직교위상, 고주파 신호의 진폭과 위상을 표현하는 원시 데이터) 데이터를 최대 320 Msps(초당 3억 2천만 샘플) 속도로 수집하는 고성능 무선 수신기로 전환했습니다.

이 개조가 성립한 결정적인 조건이 있습니다. MT7996 칩셋이 MediaTek의 공식 바이너리 코드 없이, 연구팀이 직접 작성한 자체 펌웨어만으로 전원 인가(Power-on)부터 무선 물리 계층(PHY) 초기화까지 완벽하게 동작했다는 점입니다. 기기에서 수집된 대규모 고주파 데이터는 10 GbE(10기가비트 이더넷) 포트를 통해 리눅스 호스트로 전송되며, 브라우저 상에서 실시간 RF 스펙트럼과 워터폴 화면으로 출력됩니다.

오픈소스 SDR(소프트웨어 정의 라우디오) 관점에서는 수백만 원짜리 전용 계측 장비 없이 상용 라우터로 광대역 신호를 분석할 수 있는 흥미로운 성과입니다. 그러나 보안 및 인프라 운영 관점에서 이 발표는 명백한 위협 신호입니다. 장비 내부에 비인가 펌웨어 실행을 차단하는 보안 부팅(Secure Boot) 체계가 없거나 무력화되어 있다는 뜻이기 때문입니다.

공격자가 라우터나 게이트웨이 기기의 셸(Shell) 권한이나 부트로더 접근 권한을 획득하면, 네트워크 패킷 라우팅을 담당하던 정상 펌웨어를 걷어내고 원시 물리 신호를 가로채는 스니핑 펌웨어를 올릴 수 있습니다. 이 경우 상위 리눅스 커널이나 네트워크 인터페이스 모니터링 도구로는 무선 칩셋 레벨에서 어떤 원시 데이터가 탈취되고 있는지 탐지하는 것이 원천적으로 불가능합니다.

W1700K SDR 사례에 대한 판단입니다: 조건부로 유효한 기술이지만 기기 보안 측면에서는 주의가 필요합니다. 신호 분석 및 학술 연구용으로는 뛰어난 도구이지만, 이 구조는 엔터프라이즈 하드웨어 도입 시 펌웨어 서명 검증(Cryptographic Signature Verification)이 누락된 기기가 인프라에 유입되었을 때 어떤 통제 상실이 발생하는지를 증명합니다.

제어 루프를 방어하는 안전 경계: 펌웨어 레벨 파라미터 클램핑

슈퍼마켓 냉각기 사고와 같은 물리적 제어 침해를 방지하려면, 네트워크 계층에서 수신된 파라미터가 액추에이터(모터, 히터, 릴레이)에 직접 전달되지 못하도록 펌웨어 계층에서 단단한 유효성 검증 계층을 두어야 합니다.

통상적인 취약 시스템은 네트워크(Modbus TCP 또는 REST API)로 들어온 값을 변수에 그대로 대입합니다. 아래 C 언어 예시는 네트워크 수신부와 물리 제어 실행부 사이에 안전 봉투(Safety Envelope) 검증과 타이머 하드클램핑을 적용하는 안전한 제어 아키텍처 패턴을 보여줍니다.

#include <stdio.h>
#include <stdint.h>
#include <stdbool.h>

#define MIN_SAFE_TEMP_C      (-30.0f)
#define MAX_SAFE_TEMP_C      (4.0f)   /* 신선/냉동 설비의 물리적 상한선: 4도 초과 설정 불가 */
#define MAX_DEFROST_SEC      (7200)   /* 자동 제상 최대 허용 시간: 연속 2시간(7200초) */
#define MIN_DEFROST_INTERVAL (43200)  /* 제상 주기 최소 간격: 12시간마다 1회만 허용 */

typedef struct {
    float target_temp_c;
    uint32_t defrost_duration_sec;
    uint32_t last_defrost_timestamp;
    bool heater_relay_active;
} CoolerState;

typedef struct {
    float requested_temp;
    uint32_t requested_defrost_sec;
} NetworkCommand;

/* 펌웨어 레벨에서 하드웨어 안전 범위를 강제하는 검증 함수 */
bool apply_control_parameters(CoolerState *state, const NetworkCommand *cmd, uint32_t current_time) {
    if (state == NULL || cmd == NULL) {
        return false;
    }

    /* 1. 목표 온도 검증: 네트워크가 섭씨 50도를 요구해도 상한선으로 클램핑 */
    float safe_temp = cmd->requested_temp;
    if (safe_temp > MAX_SAFE_TEMP_C) {
        safe_temp = MAX_SAFE_TEMP_C;
    } else if (safe_temp < MIN_SAFE_TEMP_C) {
        safe_temp = MIN_SAFE_TEMP_C;
    }

    /* 2. 제상 주기 및 지속 시간 검증: 연속 강제 제상 방지 */
    uint32_t safe_defrost_duration = cmd->requested_defrost_sec;
    if (safe_defrost_duration > MAX_DEFROST_SEC) {
        safe_defrost_duration = MAX_DEFROST_SEC;
    }

    /* 마지막 제상 이후 최소 대기 시간이 지나지 않았다면 히터 가동 거부 */
    if (cmd->requested_defrost_sec > 0) {
        if ((current_time - state->last_defrost_timestamp) < MIN_DEFROST_INTERVAL) {
            /* 쿨다운 미달: 제상 명령 무시 및 경고 플래그 설정 */
            return false;
        }
        state->last_defrost_timestamp = current_time;
        state->heater_relay_active = true;
    }

    state->target_temp_c = safe_temp;
    state->defrost_duration_sec = safe_defrost_duration;
    return true;
}

이 패턴의 핵심은 네트워크 명령(NetworkCommand)을 시스템의 현재 상태(CoolerState)에 직접 덮어쓰지 않는 것입니다. 아무리 관리자 토큰을 쥔 상위 서버가 "제상 시간을 무한대로 켜고 온도를 50도로 맞추라"고 전송하더라도, 기기 펌웨어에 하드코딩된 MAX_SAFE_TEMP_C와 MIN_DEFROST_INTERVAL 상한에 가로막혀 히터 연속 가동이 원천 차단됩니다.

실무에서 달라지는 점: BMS·엣지 장비 운영의 세 가지 통제 규칙

물리 설비를 제어하거나 사내 엣지 게이트웨이를 운영하는 조직이라면 이번 Danfoss 침해 사고를 계기로 다음 세 가지 설계를 즉시 점검해야 합니다.

첫째, 원격 중앙 제어 시스템의 망 분리 수준입니다. 슈퍼마켓 수백 곳의 Danfoss 장비가 한꺼번에 공격을 받았다는 사실은, 각 매장의 로컬 제어망이 중앙 클라우드 관리 플랫폼에 양방향으로 열려 있었음을 의미합니다. 현장 제어망(OT 망)과 본사 관리망(IT 망) 사이에는 단방향 데이터 전송 다이오드나 엄격한 게이트웨이 인증 프록시가 있어야 합니다. 원격에서의 '읽기(모니터링)' 권한과 '쓰기(파라미터 변경)' 권한을 완전히 분리하고, 쓰기 작업 시에는 현장 엔지니어의 물리적 키 스위치 조작이나 다중 인증(MFA)이 개입되도록 절차를 쪼개야 합니다.

둘째, 이상 파라미터 주입에 대한 런타임 텔레메트리 감시입니다. Danfoss 사고에서는 제상 히터가 연속으로 돌아가며 실내 온도가 50도로 치솟는 동안 중앙 모니터링 시스템이 이를 공격으로 인지해 자동 차단하지 못했습니다. 제어 파라미터가 변경된 직후 물리 계측값(센서 온도)이 정상 운영 밴드를 이탈하면 즉시 비상 안전 릴레이가 트립(Trip, 강제 전원 차단)되도록 하드웨어 인터록(Interlock) 회로를 구성해야 합니다. 소프트웨어 로직이 해킹당해도 전원 릴레이가 바이메탈 스위치 등 물리적 한계 감지기에 의해 물리적으로 끊어지도록 설계하는 것이 기본입니다.

셋째, 임베디드 펌웨어의 무결성 검증과 서명 체계입니다. 앞서 W1700K 무선 칩셋 사례처럼, 장비가 임의의 비인가 펌웨어를 실행할 수 있는 상태라면 네트워크 계층의 방화벽은 의미를 잃습니다. 부트로더 단계에서 벤더의 공개키로 서명되지 않은 펌웨어 이미지는 부팅 자체를 거부하는 RoT(Root of Trust, 신뢰점) 하드웨어가 칩셋 내부에 내장되어 있는지 확인해야 합니다. 상용 하드웨어를 조달할 때 보안 부팅(Secure Boot) 활성화 여부를 구매 스펙의 필수 항목으로 지정해야 하는 이유입니다.

도입 전 확인할 것: 현장 제어 시스템 물리 감사 체크리스트

물리적 설비(BMS, 스마트 팩토리, 엣지 게이트웨이, 상용 라우터)를 현장에 배치하기 전, 개발팀과 인프라팀은 다음 항목을 현장 점검해야 합니다.

소프트웨어 우회 불가능한 물리 한계선(Interlock) 존재 여부: 제어 소프트웨어가 오작동하거나 해킹당해 히터나 모터에 최대 출력을 인가하더라도, 과열 시 전원을 물리적으로 차단하는 퓨즈나 바이메탈 센서 등 독립된 하드웨어 차단기가 연결되어 있습니까?
원격 쓰기 파라미터의 레지스터 상한 검증(Clamping): 중앙 관제 서버가 비정상적인 값(예: 섭씨 50도, 듀티 사이클 100% 영구 유지)을 내려보낼 때, 현장 MCU/PLC 펌웨어가 이를 스스로 상한값으로 잘라내는지 테스트 코드로 검증했습니까?
네트워크 격리와 국소 동작 모드: 본사 중앙 서버와의 통신이 두절되거나 원격 세션이 탈취되었을 때, 현장 제어기가 안전한 로컬 기본 설정(Fail-Safe State)으로 자율 복귀합니까?
부트로더 펌웨어 서명 검증: 라우터나 IoT 기기의 시리얼 콘솔이나 복구 모드에 임의의 커스텀 바이너리를 밀어 넣었을 때 부팅이 차단되는 보안 부팅(Secure Boot)이 활성화되어 있습니까?

소프트웨어 시스템에서의 침해는 로그가 유실되거나 데이터가 유출되는 수준에서 끝나지만, 물리 제어 시스템의 침해는 설비 폭주와 화재, 실물 자산의 즉각적인 폐기로 이어집니다. 물리 인터페이스를 네트워크에 올릴 때는 상위 소프트웨어를 결코 신뢰하지 않는 하드웨어 레벨의 방어선이 먼저 세워져야 합니다.

그 밖의 소식

사내 지식으로 Agentic RAG 만들기 (2/3) : 검색을 얹기, LightRAG와 Navigator — 단순 키워드 검색의 한계를 넘기 위해 LightRAG와 Navigator 리트리버를 결합해 Confluence 및 Jira 문서를 탐색하는 구조를 다룹니다.
Figma, 더 가볍게: 디자이너의 코드 직접 활용과 구독 전환 — LLM 활용과 디자인 시스템의 코드 연동이 일상화되면서 디자이너의 풀 리퀘스트 참여가 늘고 전용 Dev Mode 시트가 축소된 조직 변화 사례입니다.
Cloudflare 창립 16주년 기념 46건 출시 발표 정리 — 포스트 퀀텀 보안, AI 에이전트, 개발자 플랫폼 업그레이드를 포함한 46건의 주요 인프라 릴리스 목록입니다.
Google for Developers 10월 둘째 주 위클리 업데이트 — 엣지 GPU 기반 AI/ML 추론을 위한 ML Drift 출시와 Android CLI 디바이스 스트리밍 소식을 정리했습니다.
PS2 게임을 WebAssembly로 정적 재컴파일하는 PS2 Web Recomp — Emotion Engine 기계어를 C++로 변환 후 WebAssembly 및 WebGPU를 통해 브라우저에서 실행하는 오픈소스 프로젝트입니다.

#DEVOTEE