사이버 공격으로 프랑스의 수백 개 슈퍼마켓 냉장 시설 가동 중단

2026년 10월 11~12일 야간, 해커들이 냉각 장치 내 연속 제상 사이클을 원격으로 트리거한 후 프랑스의 수백 개 슈퍼마켓의 냉장 시스템이 가동 중단되었다. 소매업자와 프랑스 당국에 따르면, 이 침입은 덴마크 제조업체 댄포스의 장비를 목표로 했으며, 프랑스의 주요 식품 그룹이 운영하는 여러 점포의 신선식품 및 냉동식품 코너를 사용 불가능하게 만들었다.

무엇이 일어났는가

영향을 받은 점포의 냉장고와 냉동고는 프랑스 공영방송 프랑스인포의 보도에 따르면 냉각 온도 대신 약 50℃로 리셋되었다. 강제 제상은 밤새 몇 시간 동안 계속되어 서리 제어 시스템을 녹였고, 정육점 카운터와 냉장 통로의 육류, 유제품, 냉동식품을 손상시켰다.

코우프 유(Coopérative U) 최고경영자 도미니크 셸셰르는 이 사건을 '전례 없는' 것이라고 표현했으며, IT-Connect 및 유로뉴스가 보도한 성명에서 다음과 같이 말했다. "신선 제품의 보존과 프랑스 국민의 식량 공급에 필수적인 장비를 표적으로 삼는 것은 극히 심각하며 전례 없는 일이다."

어느 체인이 영향을 받았으며 몇 개 점포인가

정확한 점포 수는 소매업자의 공개 공시와 10월 12일 시점의 보도에서 상이하며, 이는 사건이 얼마나 빠르게 진행되고 있으며 여전히 확인되지 않은 부분이 있는지를 반영한다.

유로뉴스는 E르클레르와 모노프리의 관여가 보도 당시 기업 자신에 의해 확인되지 않았다고 보도했다. 한편 프랑스인포는 더 높은 인터마르셰 수치와 모노프리의 구체적인 비율을 제시하여 사건이 진행되면서 여전히 전체 규모가 파악되고 있었음을 보여준다.

공격이 어떻게 작동했는가

프랑스인포에 따르면 댄포스는 취약한 장비를 AK-SM800 및 AK-SC355라는 2개의 컨트롤러 모델로 파악했으며, 이들이 "사용 종료에 도달했으며 더 이상 소프트웨어 업데이트나 보안 패치의 혜택을 받지 않는다"고 밝혔다.

IT-Connect는 공격자들이 댄포스의 냉장 제어 소프트웨어의 버전 4 이전 구형 버전을 악용했다고 보도했으며, 이 사건을 보안 연구자들이 2026년 8월 DEF CON 컨퍼런스에서 이미 공개 공시한 취약점과 연결시켰다. IT-Connect에 따르면 댄포스는 그 공시 이후 패치가 적용된 펌웨어 버전 R4.3.1을 릴리스하여 결함을 해결했다.

• CVE-2025-41450: 날짜 기반 숨겨진 비밀번호를 사용한 인증 우회
• CVE-2025-41451: 원격 코드 실행을 가능하게 하는 명령 주입 결함
• CVE-2025-41452: 서비스 거부를 야기하는 Nginx 구성 주입 문제

공식 대응 및 수사

유로뉴스에 따르면 파리 검사실은 프랑스의 여러 주요 식품 유통 체인의 냉동 장비에 영향을 미친 대규모 사이버 공격이라고 불리는 것에 대한 수사를 개시했음을 확인했다. 목표는 책임자를 파악하고 침입과 보도된 식량 손실 사이의 연결고리를 확립하는 것이다.

프랑스인포는 프랑스의 총리가 개인적으로 상황을 모니터링하고 있으며, 프랑스 국가 사이버보안 기관 ANSSI가 관여하고 덴마크산 소프트웨어의 취약점을 파악했다고 보도했다. 10월 12일 기준으로 어떤 그룹이나 개인도 공격에 대한 책임을 주장하지 않았으며, 검토된 출처 중 누구도 용의자를 지명하지 않았다.

경제적 및 식품 안전 영향

프랑스인포가 보도한 바에 따르면 영향을 받은 점포들은 부패한 재고를 처리 전 집행관 보고서로 문서화해야 했다. 프랑스인포가 인용한 출처는 전국적인 잠재적 손실을 "수백만 유로"로 추산했으나, 검토된 매체 시점에 정확한 수치를 공개하지 않았다. 유로뉴스는 인터마르셰가 일부 손실이 기존 보험 정책에 의해 보장되지 않을 수 있다고 경고했다고 보도했다.

이 기사를 위해 검토된 3개의 출처 중 어느 것도 프랑스 체인의 온라인 주문, 배송 스케줄링 또는 선반 가격 책정 시스템에 대한 확인된 영향을 보도하지 않았다. 프랑스인포는 이러한 시스템에 대한 정보가 제공되지 않았으며 보도가 물리적 냉장 장비에 초점을 맞췄다고 특히 언급했다.

무엇이 미해결로 남았는가

• 공격자나 그룹이 공개적으로 파악되지 않았으며 책임을 주장하지 않았다.
• 영향을 받은 점포의 정확한 총수는 출처 간에 상이하며 10월 12일 기준으로 확정되지 않았다.
• 회사가 확인한 정확한 재정 손실 수치는 공개되지 않았다.
• 냉장 하드웨어를 넘어 온라인 소매 시스템이 프랑스에서 영향을 받았는지는 검토된 어떤 출처도 확인하지 않았다.