[보안뉴스][2022 보안 핫키워드-2] 월패드 등 가정집 노리는 해킹, IoT 보안의 패러다임을 바꿔라

월패드부터 AI 스피커와 홈 CCTV까지 IoT 기기 해킹 사례 많아… 사용자들의 인식 변화 절실

[보안뉴스 원병철 기자] 지난 11월 말, 온라인에 월패드가 해킹된 아파트 리스트라며 수십, 수백 개의 아파트 명단이 온라인에 퍼졌다. 다크웹에서 한국의 아파트에 설치된 월패드를 해킹해 불법으로 촬영한 영상을 판매한다는 글이 올라온 후, 관련 아파트 명단이 인터넷에 공개됐기 때문이다. 해당 아파트에 살고 있던 주민들은 자신도 모르게 아파트 내부가 촬영되어 판매된다는 소리에 충격을 받았지만, 월패드의 카메라를 가리는 것 외에는 별다른 대응방법은 없었다.

[이미지=utoimage]

사실 월패드 문제는 오래전부터 제기돼 왔었다. 아파트 등 공동주택이 인기를 끌면서 각 건설사들이 IoT나 AI 등 첨단 ICT 기술을 아파트의 장점으로 부각시켰고, 아파트에 설치된 여러 시스템 및 보안장비들이 모두 네트워크로 연결되면서, 해킹이슈는 지속적으로 제기돼 왔다.

지난 2019년 아시아 대표 보안전시회인 ‘세계보안엑스포(SECON) & 전자정부 정보보호 솔루션 페어(eGISEC) 2019’에서 정보보호 전문기업 노르마는 월패드와 디지털 도어락을 같이 사용하는 ‘무선 통신 기반 기기’의 보안 취약성을 노린 공격을 시연하고 그 위험성을 지적한 바 있다. 한국정보통신기술사회 네트워크보안위원회도 2019년 실증 연구를 통해 월패드와 아파트 공용서버 접근 및 조작이 가능하다고 공개한 적이 있었다.

월패드뿐만 아니다. 이미 가정에서 사용하던 IoT 기기들은 대부분 해킹 위험이 도사리고 있다. 한때 유행하던 AI 스피커는 2021년 국감에서 가입자가 1,600만 명이 넘었음에도 불구하고 보안인증은 0건이라는 지적이 나왔고, 실제로 2018년 아마존의 알렉사를 탑재한 AI 스피커 해킹사건이나 2019년 미국 미시간대와 일본 전기통신대의 레이저를 통한 AI 스피커 해킹 연구를 통해 해킹이 가능하다는 게 증명됐다.

한 보안기업은 보안 카메라가 장착된 로봇청소기를 해킹해 집안 곳곳을 촬영하는 시연으로 사람들을 놀라게 했으며, 2017년에는 가정집이나 영업용 매장에 설치된 IP CCTV를 해킹해 일부 영상을 음란물 사이트에 공유한 혐의로 2명이 구속되고 11명이 불구속 입건되는 일도 있었다.

이번 사건이 발생한 후 전용기 더불어민주당 의원실은 “경찰청 사이버범죄 테러수사대가 최근 월패드 해킹 피해 추정 아파트 중 3곳의 현장조사를 실시한 결과 웹쉘 사용 흔적을 확인했다”고 밝혔다. 김정호 더불어민주당 의원은 ‘정보통신공사업법’ 및 ‘건축법’ 개정안 발의를 통해 지능형 홈네트워크 제도의 문제점을 개선하겠다고 밝혔다.

과기정통부 역시 정보통신기술 발전에 따라 스마트폰 애플리케이션을 통해 원격에서 가정에 있는 냉장고, 세탁기, 에어컨 등 홈네트워크 기기를 켜고 끄는 기술이 고도화되고 서비스가 보편화되면서 이를 악용할 경우 해킹을 통한 사생활 영상 유출 등 침해사고가 발생할 수 있기 때문에 이용자의 세심한 주의를 당부했다.

아울러 해킹 등 사이버위협으로부터 국민이 안전하고 편리하게 홈네트워크 기기를 이용할 수 있도록 마련된 ‘홈·가전 IoT보안가이드’에 따라 홈네트워크 기기 제조 기업은 △안전한 소프트웨어 개발보안(시큐어 코딩 등) △알려진 보안취약점 점검 및 조치 등과 이용자는 △기기에 안전한 암호 설정 등 보안수칙을 지켜줄 것을 당부했다.

보안전문가들은 IoT 기기에 대한 보안이 매우 중요하지만, 워낙 방대한 분야이면서도 보안을 강화하기 위해서 보안은 물론 해당 산업의 전문가들의 참여도 중요하다고 강조하고 있다. 의료용 IoT 기기의 보안을 강화하기 위해서는 의료장비 전문가들이 필요하다는 것이다. 다행이 전 세계적으로 IoT 보안 강화 의지가 높아 미국과 EU를 중심으로 많은 연구가 이뤄지고 있으며, 우리나라 역시 2020년부터 ‘IoT 보안인증 제도 개선 연구반이 운영되고 있는 등 보안 강화에 대한 기대감이 높아지고 있다. 그러나 이보다 앞서 선행돼야 할 것은 대부분의 가전제품들이 해킹을 당할 수 있다는 사용자들의 인식 전환과 함께 IoT 기기 보안수칙 준수 노력이 뒷받침되어야 한다는 점이다.