보안
멈춘 것은 Ahold Delhaize의 웹사이트만이 아니라 물류센터였다. 프랑스에서는 냉동 진열대가 반대 방향으로 움직였다
Ahold Delhaize는 월요일 아침 자사 네트워크의 보안 문제를 공개했다. 그 시점에 이미 Albert Heijn의 여러 물류센터에서 작업이 멈췄고, 미국에서는 직원들이 근무표에 접근할 수 없었다. 같은 주말 프랑스에서는 수백 개 점포의 냉장·냉동 진열대 온도가 원격으로 올라갔다. 서로 무관한 두 사건 모두 고객 데이터베이스를 지나쳐 식품 자체를 겨냥한 모양새다.
MAI
Ahold Delhaize는 월요일 암스테르담 시간 8시 29분, "자사 네트워크 내에서 보안 문제를 겪고 있다"고 시장에 알렸다. 각 팀이 영향을 평가하고 완화하는 중이며, 그 조치의 일부로 일부 시스템을 오프라인으로 내렸다는 설명이었다. 발표문은 몇 문장에 불과했고, EU 시장남용규정(MAR) 제7조 1항상의 내부정보를 담고 있다는 주석이 붙어 있었다. 그 발표가 나간 시점에 Albert Heijn의 여러 물류센터에서는 이미 작업이 멈춰 있었다.
이 순서가 바로 이 사건의 핵심이다. 소매업체의 웹사이트와 앱이 꺼지는 것은 눈에 보이는 부분이고, 기사로 쓰이는 부분이다. 그러나 비용 규모를 결정할 부분은 일요일 밤에 트럭이 멈췄다는 사실이다.
무엇이 멈췄는가
| 시장 | 브랜드 | 영향 |
|---|---|---|
| 네덜란드 | Albert Heijn, Etos, Gall & Gall | 웹사이트, 앱, 적립 프로그램, 온라인 주문 이용 불가. 매대 가격표는 지난주 가격을 그대로 표시 |
| 벨기에 | Delhaize | 웹사이트와 앱 영향 |
| 미국 | Food Lion, Hannaford, Stop & Shop, Giant Food, The Giant Company | 직원들이 근무표와 급여명세서에 접근 불가. Food Lion 내부 공지는 점포의 피킹·분류·인계가 멈출 수 있는 IT 장애로 설명 |
| 물류 | Albert Heijn 물류센터 | 여러 거점에서 작업 중단. RTL Z가 입수한 공급업체 대상 이메일에 따르면 자안담 센터만 가동 중이었고, 납품은 사전 예약된 시간대에 그곳으로만 하도록 요청 |
Ahold Delhaize는 유럽, 미국, 인도네시아에서 9,400개가 넘는 점포를 운영한다. Albert Heijn은 고객에게 상품 공급이 납품 상황에 따라 점포별로 달라질 것이며, 상온 보관 상품은 비교적 유지되겠지만 신선 과일과 채소가 취약하다고 밝혔다. 복구 시점은 제시하지 않았다. 주가는 유로넥스트 암스테르담에서 3.15% 내린 31.38유로로 마감해 52주 최저가인 30.335유로에 근접했고, 3월에 기록한 최고가 42.54유로에서는 크게 떨어져 있다.
공격을 자신의 소행이라고 주장한 측은 없고, 회사도 암호화나 데이터 탈취가 있었는지 밝히지 않았다. Ahold Delhaize가 직전에 공개한 사건은 2024년 11월로, INC Ransom이 범행을 주장했고 미국 사업부 220만 명 이상의 개인·금융·건강 정보가 노출됐다. 이번 건은 성격이 다르다. 데이터 유출은 사후에 발견되고 수년간 소송으로 이어진다. 반면 창고관리, 공급업체 일정관리, 인사·급여 시스템이 내려가는 장애는 그날 오후부터 사업을 떨어뜨리고, 보충 작업을 수작업으로 돌리는 동안 계속 떨어뜨린다.
프랑스, 같은 업종의 다른 계층
이와 별개로, 그리고 두 사건이 연결됐다는 징후는 없는 가운데, 10월 11일에서 12일로 넘어가는 밤 프랑스 슈퍼마켓에서는 원격 관리되는 냉장·냉동 컨트롤러의 설정 온도가 공격자에 의해 변경됐다. BFM Business는 Intermarché 약 150개 점포가 영향을 받았다고 보도했다. Coopérative U의 최고경영자 Dominique Schelcher는 자사가 피해를 입었음을 공개적으로 확인하고 전례 없는 공격이라고 말했다. Carrefour Market, Monoprix, E.Leclerc 점포 직원들도 같은 현상을 보고했으나 해당 체인들은 입장을 내지 않았다. 본래 −20°C 안팎이어야 하는 냉동 진열대가 영상으로 한참 올라갔고, 초기 내부 추정으로는 점포당 수십만 유로에 이르는 손실도 있다고 한다.
문제가 된 장비는 Danfoss 제품이다. 8월에 Claroty의 Team82는 Danfoss AK-SM 800A 냉동 시스템 매니저에 관한 연구를 공개하면서 인증 취약점, 명령 주입 문제, 웹서버 설정 관련 결함을 다뤘다. CVE-2025-41450, CVE-2025-41451, CVE-2025-41452다. Danfoss는 수정된 펌웨어를 배포했다. Claroty는 또한 이들 관리 인터페이스 가운데 2,765대가 인터넷에서 접근 가능하다는 Censys 스캔 결과를 인용했다. 프랑스 사건에서 이 결함들이 사용됐는지는 알려지지 않았고, 입증된 바도 없다.
분명한 것은 노출의 형태다. 냉동 시스템 매니저는 식품 소매 체인의 보안팀이 자산 목록에 올리는 종류의 장비가 아니다. 점포 인테리어 공사와 함께 구매되고, 냉동설비 시공업체가 설치하며, 그 업체가 유지보수할 수 있도록 공인 IP를 받은 뒤 10년쯤 방치된다. 그러면서도 자신이 돌아가는 서버보다 비싼 재고에 대해 물리적 권한을 직접 갖고 있다.
여기서 가져갈 것
한 주말에 두 나라에서, 서로 다른 두 계층에서 일어난 두 사건. 두 경우 모두 타격을 준 것은 고객 데이터베이스가 아니었다. 식품을 움직이는 설비와 시스템이었다.
설비 쪽에서 할 일은 화려하지 않고 이미 문서화돼 있다. Danfoss AK-SM 800A를 최신 펌웨어로 올리고, 냉동설비와 건물관리 인터페이스를 공용 인터넷에서 떼어내고, 분리된 네트워크의 VPN 뒤에 두는 것이다. 세부 사항은 공급업체 권고문에 있다. 인터넷에 노출된 컨트롤러에 두 달 전 패치가 적용되지 않은 것은 사고가 아니라 결정의 결과다.
전사 시스템 쪽에서 이번 Ahold Delhaize 장애는, 어떤 시스템을 수작업으로 돌릴 수 있는지 미리 정해 두어야 한다는 살아 있는 근거가 된다. 창고 납품 시간대 예약, 공급업체 통보, 매대 가격 표시, 급여 지급. 모의훈련 대상이 되기 어려운 네 가지이며, 이번에 눈에 보이게 깨진 네 가지다.
Sources: Ahold Delhaize newsroom · BleepingComputer · NL Times · RetailDetail EU · Help Net Security · Je bosse en grande distribution · Claroty Team82