SPS Mieczkowski, 제조사의 코드가 자사가 정비한 열차를 고장 냈음을 입증하며 Newag를 이겼다

Nowy Sącz에 본사를 둔 바르샤바 상장 열차 제조사 Newag는 정비 문서를 독점 정보로 취급함으로써 자사의 Impuls 전동차 정비 시장을 오랫동안 지배했고, 그 결과 운영사들은 제조사의 값비싼 작업장을 이용할 수밖에 없었다. EU 철도 규정에 대한 재해석으로 독립 업체들도 이 작업을 할 수 있게 되자, Bydgoszcz 인근의 작업장인 SPS Mieczkowski가 더 낮은 가격으로 수백만 즈워티 규모의 정비 입찰을 따내기 시작했다.

2022년, SPS에서 정비를 받았던 하실레시아 지역의 Impuls 열차 4대가 시동이 걸리지 않았다. Koleje Dolnośląskie는 납기 지연을 이유로 SPS에 200만 즈워티가 넘는 벌금을 부과했고, Newag는 그 작업장이 무능하다는 이야기를 퍼뜨렸다. 추가 비용을 지불한 뒤 Newag로 돌려보낸 차량들은 다시 운행되었다. 그런데 SPS에 한 번도 가지 않았던 열차들도 멈춰 섰고, 그중에는 며칠 넘게 그저 주차되어 있었을 뿐인 열차들도 있었기에, 정비를 잘못했다는 이야기는 더 이상 성립할 수 없게 되었다.

SPS는 폴란드 최고의 보안 팀 중 하나인 Dragon Sector를 고용했다. 두 달에 걸쳐 연구원들은 Impuls 제어 컴퓨터를 리버스 엔지니어링했고 — IEC 61131-3 로직이 C를 거쳐 어셈블리로 컴파일되어 검색할 문자열이 전혀 없었다 — 의도적으로 심어 둔 정지 루틴을 발견했다. 즉 10일간 유휴 상태가 되면 작동하는 잠금 장치, SPS 자체의 정비동(그중 하나는 아직 공사 중이었다)에 하드코딩된 지오펜스, 그리고 매년 11월 21일부터 열차를 고장 내면서도 운전실에는 압축기 고장을 표시하는 날짜 조건이었다.

SPS에 이 수수께끼를 풀 수 있는 사람들이 있다는 소문이 퍼지자, 10개 운영사가 29대의 차량을 그들에게 보냈다. 2023년 12월 5일 Dragon Sector는 바르샤바에서 열린 Oh My H@ck 콘퍼런스에서 조사 결과를 발표했고 Onet이 그 사건을 보도했다. Newag는 모든 것을 부인하며 제3자에게 책임을 돌렸지만, 폴란드 중앙부패방지국이 조사에 착수했고, Koleje Dolnośląskie는 부과된 벌금을 취소하고 제조사를 상대로 소송하는 방안을 검토하겠다고 밝혔으며, 이 사건은 1,076점을 기록한 Hacker News 토론이 되었다.

기계의 펌웨어를 수수께끼가 아닌 증거로 다루라

펌웨어는 침묵하는 증인이었다. 하드코딩된 날짜와 GPS 좌표는 수리 실수나 부품 결함으로 설명할 수 없다.

분석은 작업장과 제조사 모두로부터 독립적이었기에, 그 결론은 운영사, 규제 기관, 법원에서 무게를 가졌다.

열차의 잠금을 해제해 준 것은 운영사들에게 해결책과 대화할 이유를 주었고, 입소문이 10개 회사의 29대 차량을 Dragon Sector로 불러들였다.

공개 보고서는 책임 소재를 뒤집었다. SPS에 벌금을 부과했던 고객사는 그 벌금을 취소하고 Newag를 상대로 소송하겠다고 밝혔고, 부패방지국은 사건을 개시했다.

코드를 통제하지 못하는 장비의 고장에 대해 책임을 뒤집어쓸 때는, 벌금을 내기 전에 독립적인 포렌식을 구하라. 펌웨어는 작성자의 기록을 남긴다.

2023년 12월 기준으로 피해 열차들은 운행에 복귀했고, Koleje Dolnośląskie는 자사의 Impuls 차량들이 수리 이후 문제없이 운행되었다고 밝히면서, SPS에 부과했던 벌금을 취소하고 Newag를 법정에 세우는 방안을 검토하고 있었다. Newag는 혐의를 부인하며 제3자들이 자사 열차를 방해했다고 주장하고 99퍼센트의 신뢰성 기록을 내세웠지만, 누리꾼들은 이 사건이 보도된 후 회사 주가가 하락했다고 지적했다. 이 사건은 전국적인 스캔들이 되었고, 1,076점을 기록한 Hacker News 토론이 되었으며, 폴란드 부패방지국의 조사 대상이 되었다.