외산 IP카메라·공유기, 해킹공격 무방비 노출

IP카메라와 공유기에서 계정 탈취와 원격 제어로 이어질 수 있는 보안 취약점 발견이 끊이지 않는다. 일부 제품은 실제 해킹에 악용된 경우도 있어 사물인터넷(IoT) 기기 보안 인증 의무화 등 보안 검증을 강화해야 한다는 지적이 지속 제기된다.

24일 보안업계에 따르면 허니웰, YI, CP 플러스, 에이수스, 선전즈보퉁전자(Zbtlink) 등 해외 IP카메라·공유기에서 다수의 보안 취약점과 침해 사례가 지속 보고되고 있다. 업계는 해당 제조사 제품이 국내에도 상당수 보급됐을 것으로 보고 있다. 이에 제품이 시중에 유통되기 전 최소한의 보안 수준을 검증할 수 있도록 인증 의무화나 관리체계 강화가 필요하다는 조언이다. 허니웰은 일부 폐쇄회로(CC)TV의 비밀번호 찾기 기능에서 이용자 본인 여부를 제대로 확인하지 않는 취약점이 발견됐다. 공격자가 로그인하지 않고도 계정의 복구 이메일을 변경해 계정과 카메라 영상을 빼앗을 수 있는 구조다.

YI IP 카메라에서는 제조사가 공통으로 사용할 수 있는 아이디와 비밀번호를 펌웨어에 미리 넣어둔 취약점이 발견됐다. 장비 내부에 사실상 '공용 열쇠'가 있었다는 설명이다. 해당 인증정보가 알려지면 공격자는 같은 취약점을 지닌 펌웨어를 쓰는 모든 카메라에 접근할 수 있다. 또 다른 IP카메라 제조사인 선전 리앤디앤 커뮤니케이션 테크놀로지 제품에서도 유사한 문제가 발생했다.

CP 플러스 IP카메라에서는 비밀번호를 반복 입력해도 접속을 제한하거나 계정을 잠그는 기능이 충분하지 않은 취약점이 확인됐다. 공격자가 자동화 도구로 아이디와 비밀번호 조합을 계속 대입할 수 있는 환경이다. 가정과 사무실에서 흔히 사용하는 공유기도 보안에 취약한 것으로 나타났다. 최근 선전즈보퉁전자의 공유기 펌웨어 21종에서는 외부 명령을 관리자 권한으로 실행할 수 있는 원격 관리 기능이 발견돼 충격을 주기도 했다. 공유기는 약 35초마다 외부 서버와 통신했고, 서버 명령을 별도 확인 없이 관리자 권한으로 실행할 수 있었다. 실제 취약점을 악용한 공격도 발생했다. 대표적으로 지난해 에이수스 공유기에서는 임의의 시스템 명령을 실행할 수 있는 기존 취약점을 악용해 9000대 이상이 공격받는 사고가 발생한 것으로 보고됐다. 공격자는 공유기에 백도어를 만들어 재부팅하거나 소프트웨어를 업데이트한 뒤에도 계속 접속할 수 있도록 했다.

IP카메라, 공유기 등 스마트 기기의 보안 취약성이 잇따라 드러나면서 국내 소비자 보호를 위한 제도 개선 필요성이 커지고 있다. 보안 문제가 일부 중소 브랜드에 그치지 않고 국내에 적지않게 도입된 시장 선두권 업체 제품에서도 확인됐기 때문이다. 우리 정부가 2018년 도입한 IoT 보안인증은 임의 인증에 그쳐 활성화가 더딘 상황이다. 올해 상반기 인증 건수는 37건으로 지난해 연간 106건의 절반에도 못 미쳤다. 정부는 인증 의무화가 중소기업의 비용 부담으로 이어질 수 있다는 점에서 신중한 입장이지만, 최소한의 안전장치도 활성화되지 못하고 있는 것이 현실이다. 김용대 KAIST 전기·전자공학부 교수는 “형식적인 인증에 그치지 않도록 AI 에이전트를 활용해 실제 취약점을 점검하고 이를 인증에 반영하는 방안을 연구해야 한다”며 “국내 기업의 취약점 공개·대응 체계(VDP·CVD) 참여를 늘려 보안 대응 수준을 높이면 해외 기업의 변화도 유도할 수 있다”고 말했다.