관련 통계자료 다운로드 IoT 보안인증 건수
24일 보안업계에 따르면 허니웰, YI, CP 플러스, 에이수스, 선전즈보퉁전자(Zbtlink) 등 해외 IP카메라·공유기에서 다수의 보안 취약점과 침해 사례가 지속 보고되고 있다. 업계는 해당 제조사 제품이 국내에도 상당수 보급됐을 것으로 보고 있다. 이에 제품이 시중에 유통되기 전 최소한의 보안 수준을 검증할 수 있도록 인증 의무화나 관리체계 강화가 필요하다는 조언이다.
허니웰은 일부 폐쇄회로(CC)TV의 비밀번호 찾기 기능에서 이용자 본인 여부를 제대로 확인하지 않는 취약점이 발견됐다. 공격자가 로그인하지 않고도 계정의 복구 이메일을 변경해 계정과 카메라 영상을 빼앗을 수 있는 구조다.
YI IP 카메라에서는 제조사가 공통으로 사용할 수 있는 아이디와 비밀번호를 펌웨어에 미리 넣어둔 취약점이 발견됐다. 장비 내부에 사실상 ‘공용 열쇠’가 있었다는 설명이다. 해당 인증정보가 알려지면 공격자는 같은 취약점을 지닌 펌웨어를 쓰는 모든 카메라에 접근할 수 있다.
또 다른 IP카메라 제조사인 선전 리앤디앤 커뮤니케이션 테크놀로지 제품에서도 유사한 문제가 발생했다.
CP 플러스 IP카메라에서는 비밀번호를 반복 입력해도 접속을 제한하거나 계정을 잠그는 기능이 충분하지 않은 취약점이 확인됐다. 공격자가 자동화 도구로 아이디와 비밀번호 조합을 계속 대입할 수 있는 환경이다.
최근 선전즈보퉁전자의 공유기 펌웨어 21종에서는 외부 명령을 관리자 권한으로 실행할 수 있는 원격 관리 기능이 발견돼 충격을 주기도 했다. 공유기는 약 35초마다 외부 서버와 통신했고, 서버 명령을 별도 확인 없이 관리자 권한으로 실행할 수 있었다.
실제 취약점을 악용한 공격도 발생했다. 대표적으로 지난해 에이수스 공유기에서는 임의의 시스템 명령을 실행할 수 있는 기존 취약점을 악용해 9000대 이상이 공격받는 사고가 발생한 것으로 보고됐다. 공격자는 공유기에 백도어를 만들어 재부팅하거나 소프트웨어를 업데이트한 뒤에도 계속 접속할 수 있도록 했다.
IP카메라, 공유기 등 스마트 기기의 보안 취약성이 잇따라 드러나면서 국내 소비자 보호를 위한 제도 개선 필요성이 커지고 있다. 보안 문제가 일부 중소 브랜드에 그치지 않고 국내에 적지않게 도입된 시장 선두권 업체 제품에서도 확인됐기 때문이다.
김용대 KAIST 전기·전자공학부 교수는 “형식적인 인증에 그치지 않도록 AI 에이전트를 활용해 실제 취약점을 점검하고 이를 인증에 반영하는 방안을 연구해야 한다”며 “국내 기업의 취약점 공개·대응 체계(VDP·CVD) 참여를 늘려 보안 대응 수준을 높이면 해외 기업의 변화도 유도할 수 있다”고 말했다.
박진형 기자 jin@etnews.com
