프랑스 슈퍼마켓 700곳 냉장설비 공격…먹거리까지 번진 사이버 위협

도어록·홈카메라도 잠재적 표적…설계부터 보안·인증 강화해야

(서울=연합뉴스) 한상용 오지은 기자 = 프랑스 슈퍼마켓 700곳의 냉장설비가 사이버 공격을 받아 온도가 50도까지 치솟는 사건이 발생하면서 인터넷으로 연결된 기기들이 일상생활의 안전을 위협하는 새로운 해킹 통로가 될 수 있다는 우려가 커지고 있다.

사물인터넷(IoT) 기술이 냉장고와 도어록, 홈 카메라를 넘어 공장과 물류 시설까지 확산하면서 사이버 공격의 피해도 개인정보 유출을 넘어 식품 폐기와 시설 가동 중단 등 실질적인 피해로 이어질 수 있다는 점이 드러난 것이다.

보안 전문가들은 초연결사회에서 해킹 피해를 막으려면 제품 설계 단계부터 보안을 적용하고 출시 이후에도 지속적인 업데이트와 접근 통제를 강화해야 하며 정부의 IoT 보안 인증 제도를 확대할 필요가 있다고 지적한다.

◇ 냉장고 온도 50도까지 올린 해커…먹거리·주거까지 위협

15일 외신에 따르면 롤랑 레스퀴르 프랑스 경제장관은 지난 13일(현지시간) 의회에서 자국 슈퍼마켓 약 1만곳 가운데 700곳이 냉장 설비를 겨냥한 사이버 공격으로 피해를 봤다고 발표했다.

지난 11∼12일 밤사이 프랑스 전역의 여러 유통업체 매장에서 냉장고 온도를 50도까지 높이는 공격이 벌어져 실제 물질적 피해로 이어졌다는 것이다.

레스퀴르 장관은 이번 공격을 두고 "우리의 식량 안보의 핵심을 건드렸다"며 "모두에게 울리는 경종"이라 규정하기도 했다.

해커의 공격 대상이 국가 기관이 아닌 슈퍼마켓 냉장·냉동설비의 온도와 작동 상태를 원격으로 관리하는 제어 시스템이란 점에서 국제 사회의 주목도는 더욱 컸다.

이런 시스템은 여러 설비를 한곳에서 관리하고 유지보수 업체가 현장에 없어도 설정을 조정할 수 있도록 해 관리 효율을 높일 수 있지만 보안이 취약하면 공격자가 어디서나 설비 제어권을 빼앗아 대란을 일으킬 수 있다는 점을 직접 보여줬기 때문이다.

[AFP=연합뉴스. 재판매 및 DB 금지]

다만, 공격 주체와 동기는 아직 드러나지 않았다.

이번 사태는 사이버 공격이 정보 탈취에 그치지 않고 식품 폐기와 시설 가동 차질 등 실물 피해로 이어질 수 있다는 점에서도 관심을 끈다.

사물인터넷(IoT)으로 연결된 생활기기도 사실 이러한 위험에서 자유롭지 못한 상황이다.

홈 카메라가 해킹당하면 사생활 영상이 유출될 수 있고 인터넷에 연결된 도어록 제어권이 넘어가면 출입 등 일상 안전에 위협이 될 수 있다.

기기 자체뿐 아니라 이를 조종하는 앱과 클라우드 계정, 공유기 등 연결 과정의 어느 한 곳이 취약하면 보안 문제가 발생할 수도 있다.

만약 이러한 해킹 공격이 산업 현장에서 벌어진다면 그 피해는 더욱 클 것으로 우려된다.

공장과 물류창고의 자동화 설비, 교통시설과 전력망처럼 물리적 장치를 제어하는 운영기술(OT) 시스템이 공격받으면 생산·물류 차질이나 서비스 중단을 넘어 안전사고로 번질 가능성도 있다.

생활 속 IoT 기기와 산업용 제어 시스템은 용도와 구조가 다르지만 외부 연결과 원격 관리 과정의 취약점이 물리적 피해로 이어질 수 있다는 공통점이 있다.

◇ 비밀번호부터 설계·인증까지…IoT 보안 전면 강화해야

국내 보안 전문가들은 일부 IoT 기기의 제한된 연산 능력과 메모리, 미흡한 유지관리 체계를 취약 요인으로 지목한다.

PC용 보안 프로그램을 그대로 적용하기 어려운 기기는 특성에 맞는 보호 기능을 갖춰야 하지만, 가격 경쟁과 빠른 출시 일정에 밀려 보안이 뒷전이 될 수 있다는 것이다.

출고 당시의 기본 관리자 계정과 비밀번호를 그대로 사용하거나 불필요한 통신 포트와 원격 접속 기능을 열어두는 관행도 공격 위험을 키우고 있는 요소다.

보안 전문가들은 IoT 해킹 대비의 출발점으로 제품 설계 단계부터 보안을 반영하는 '시큐리티 바이 디자인'(Security by Design)을 꼽는다.

기기마다 다른 초기 인증정보를 부여하고 안전한 비밀번호 설정을 유도하는 한편, 불필요한 외부 접속 기능은 기본적으로 차단해야 한다는 것이다.

또한 출시 이후 발견되는 취약점을 수정할 수 있도록 안전한 업데이트 기능을 갖추고 보안 지원 기간과 지원 종료 이후 대응 방안도 이용자에게 안내할 필요가 있다.

정부의 보안 인증 제도를 생활·산업 현장에 확산하는 것도 해결 과제로 뽑힌다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 IoT 제품의 보안 수준을 평가하는 '정보통신망연결기기 등 정보보호인증' 제도를 운용하고 있다.

인증은 라이트·베이직·스탠더드 등급으로 구분되며 인증정보와 데이터 보호, 암호, 소프트웨어·네트워크 보안, 업데이트 지원 등을 평가한다.

국내 한 보안 전문가는 "생활과 밀접하거나 사고 시 피해가 큰 기기에 보안 인증 제품 도입을 확대하고 위험 수준에 맞는 보안 요건을 적용하도록 유도할 필요가 있다"고 말했다.

또한 사업장에서는 스마트 기기와 설비를 주요 업무망에서 분리하고, 가정에서는 스마트 기기와 공유기의 비밀번호를 서로 다르게 설정하는 게 좋다고 이 전문가는 조언했다.

이와 함께 제품을 구매할 때부터 보안 인증 여부와 업데이트 지원 기간을 확인하는 등 성능·가격과 함께 보안도 선택 기준으로 삼아야 한다는 지적 역시 나온다.

gogo213@yna.co.kr

Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.