2026년 10월 11일 밤부터 12일 새벽 사이, 프랑스 전역의 수백 개 슈퍼마켓에서 냉동 및 냉장 설비가 가열되는 사고가 발생했다. 공격자가 제어 시스템을 해동 모드로 전환시켰기 때문이다. 일부 장비는 섭씨 50도까지 온도가 치솟았고 화재가 발생하기도 했다.
파리 검찰청 발표에 따르면 매장은 신선식품과 냉동식품을 대량으로 폐기해야 했다.
이번 사건의 핵심은 사전에 알려진 보안 취약점이 장기간 방치되었다는 점이다. IPinfo의 인터넷 스캔 데이터 분석 결과, 공격 직전인 2026년 10월 기준 프랑스 내 노출된 냉장고 제어 대시보드는 1331개였다. 이는 나머지 72개국과 지역을 합친 수치보다 많았다.
이 중 85%가 이미 알려진 보안 결함을 가진 소프트웨어를 실행하고 있었다.
특히 문제가 된 것은 덴마크 산업용 기기 제조사 Danfoss의 제어기였다. 분석 대상 중 527대는 Danfoss가 더 이상 지원을 하지 않는 구형 모델이었다. 모든 알려진 패치가 적용된 기기는 195대에 불과했다.
대부분의 대시보드가 최소 6개월 이상 인터넷에 노출되어 있었다. 3월 30일 시점에 동일한 주소에 있던 1019개의 대시보드 중 완전 업데이트 비율은 14%에서 24%로 소폭 상승하는 데 그쳤다.
공격 방식은 단순한 디폴트 설정 악용이었다. Wikipedia 기록에 따르면 많은 제어기가 웹 서버를 통해 공개 인터넷에 연결되어 있었으며, 사용자 이름은 ‘admin’, 비밀번호는 현재 날짜로 설정되어 있었다. Hacker News 커뮤니티에서는 펌웨어에 포함된 ‘check_code_of_the_day’ 함수가 날짜 기반 백도어 역할을 했다는 지적이 나왔다.
이 코드는 월, 일, 연도를 조합해 인증을 통과하도록 설계되어 있었다.
피해 규모는 예상보다 컸다. Futura-Sciences 보도에 따르면 총 400개 이상의 매장이 영향을 받았으며 손실액은 수백만 유로에 달할 것으로 추정된다. Carrefour는 80개 매장이 피해를 입었다고 밝혔고, Les Mousquetaires 그룹 산하 Intermarché와 Netto는 300개 이상 매장이 공격받았다.
Monoprix 등 다른 체인들도 피해를 호소했다.
공격 이후 상황은 빠르게 변했다. 1331개 중 316개만이 10월 14일에도 온라인 상태였다. 대부분은 오프라인으로 전환되거나 차단된 것으로 보인다.
프랑스만의 문제는 아니었다. 다른 국가들의 취약점 보유 비율도 84%로 거의 유사했다. 다만 프랑스가 이러한 시스템을 인터넷에 더 많이 노출시키고 있었던 것이 차이를 만들었다.
현재까지 정확한 공격 주체는 밝혀지지 않았다. 미확인 세력이 제어기에 접근해 해동 명령을 내린 것으로 파악된다. 보안 전문가들은 grocery 소프트웨어 업계 전반의 노후화 문제를 지적한다.
특히 소규모 소매업체들은 2000년대 수준에 머무른 프로세스를 사용하는 경우가 많아, 이번 사건이 단순한 개별 실수가 아닌 구조적 취약성을 드러냈다는 평가가 나온다.