집에 둔 카메라의 비밀번호, 마지막으로 언제 바꾸셨나요.
그런데 어떤 카메라에는 사용자가 손댈 수 없는 계정이 하나 더 들어 있었습니다. 제조사가 펌웨어에 미리 심어둔 아이디와 비밀번호입니다.
내가 정한 비밀번호는 왜 그 문을 막지 못할까요.
3줄 요약
1. 카메라 보안 구멍은 비밀번호 탓만이 아닙니다
2. 에이수스 공유기 9000대는 업데이트 뒤에도 뚫렸습니다
3. 확인할 곳은 뉴스가 아니라 우리 집 기기 라벨입니다
제조사가 심어둔 '공용 열쇠'
전자신문 보도에 따르면 허니웰, YI, CP 플러스, 에이수스, 선전즈보퉁전자(Zbtlink) 등 해외 브랜드의 IP카메라와 공유기에서 보안 취약점과 침해 사례가 잇따라 보고되고 있습니다. 업계는 이들 제품이 국내에도 상당수 보급됐을 것으로 보고 있지만, 정확히 몇 대가 쓰이고 있는지는 확인되지 않았습니다.
문제는 사용자가 비밀번호를 얼마나 잘 관리했는지와 무관하게 벌어졌다는 점입니다. 허니웰의 일부 CCTV에서는 비밀번호 찾기 기능이 본인 여부를 제대로 확인하지 않는 취약점이 나왔습니다. 로그인하지 않은 공격자가 계정의 복구 이메일을 바꿔치기해 계정과 카메라 영상을 그대로 가져갈 수 있는 구조였습니다.
YI IP카메라는 더 근본적이었습니다. 취약점이 있는 펌웨어가 들어간 제품에는 제조사가 공통으로 쓸 수 있는 아이디와 비밀번호가 미리 심겨 있었습니다. 장비 안에 사실상 '공용 열쇠'가 하나 더 놓여 있었던 셈입니다. 이 정보가 한 번 알려지면, 사용자가 자기 비밀번호를 아무리 어렵게 바꿔도 같은 펌웨어를 쓰는 카메라들이 한꺼번에 위험해집니다. 선전 리앤디앤 커뮤니케이션 테크놀로지 제품에서도 비슷한 문제가 확인됐습니다.
CP 플러스 카메라는 방식이 조금 다릅니다. 비밀번호를 반복해서 틀려도 접속을 막거나 계정을 잠그는 기능이 충분하지 않아, 공격자가 자동화 프로그램으로 아이디·비밀번호 조합을 끝없이 대입할 수 있었습니다. 은행 애플리케이션이라면 몇 번만 틀려도 잠기는 그 기본적인 방어가, 카메라에는 없었던 셈입니다.
| 제품 | 발견된 문제 | 영향 |
|---|---|---|
| 허니웰 CCTV | 비밀번호 찾기 인증 미흡 | 계정·영상 탈취 |
| YI IP카메라 | 공용 아이디·비밀번호 내장 | 같은 펌웨어 기기 노출 |
| CP 플러스 카메라 | 반복 입력 잠금 기능 미흡 | 무차별 대입 공격 |
| 선전즈보퉁전자 공유기 | 관리자 권한 원격 명령 허용 | 기기 완전 장악 |
35초마다 외부와 통신한 공유기
카메라만의 이야기는 아닙니다. 선전즈보퉁전자의 공유기 펌웨어 21종에서는 외부 서버가 보낸 명령을 관리자 권한으로 그대로 실행하는 원격 관리 기능이 발견됐습니다. 이 공유기는 약 35초마다 외부 서버와 통신하면서, 서버가 내린 명령을 별도 확인 절차 없이 수행하고 있었습니다.
실제 피해로 이어진 사례도 있습니다. 지난해 에이수스 공유기에서는 이미 알려진 취약점을 악용한 공격으로 9000대 이상이 뚫린 것으로 보고됐습니다. 공격자는 정보를 빼가는 데서 그치지 않고 백도어를 심어, 기기를 재부팅하거나 소프트웨어를 업데이트한 뒤에도 계속 접속할 수 있는 상태로 만들어 놓았습니다. 전원을 껐다 켜거나 최신 버전으로 올렸다는 사실만으로는 안심할 수 없다는 뜻입니다.
카메라의 공용 열쇠든 공유기의 백도어든 공통점은 같습니다. 사용자가 아무 실수를 하지 않아도 제품 설계에서 문제가 시작된다는 것입니다.
국내 인증은 상반기 37건에 그쳤습니다
이 사안이 국내 소비자 보호 논의로 이어지는 이유는, 문제가 이름 없는 중소 브랜드에 국한되지 않고 시장에서 널리 쓰이는 제품에서도 확인됐기 때문입니다. 정부는 2018년 IoT 보안인증 제도를 도입했지만, 강제가 아닌 임의 인증이어서 참여가 저조합니다. 올해 상반기 인증 건수는 37건으로, 지난해 한 해 106건의 절반에도 미치지 못했습니다.
정부가 의무화를 망설이는 이유는 중소기업의 비용 부담 때문인 것으로 전해집니다. 인증 의무화가 실제로 추진될지는 아직 확정되지 않았습니다.
오늘 저녁, 기기 뒷면부터 봅니다
제도가 정리되기를 기다리는 동안에도 할 수 있는 일은 있습니다. 순서대로 하면 십 분이면 끝납니다.
- 브랜드와 모델명을 적어둡니다. 공유기와 카메라 본체의 바닥이나 뒷면 라벨에 제조사명, 모델명, 초기 접속 주소가 함께 적혀 있습니다. 앱으로만 쓰는 카메라라면 앱 설정의 기기 정보 화면에서 확인합니다.
- 이번에 이름이 오른 브랜드인지 대조합니다. 허니웰, YI, CP 플러스, 에이수스, 선전즈보퉁전자입니다.
- 펌웨어 버전을 확인하고 업데이트합니다. 제조사 지원 페이지에서 모델명으로 검색하면 최신 펌웨어와 보안 공지가 함께 나옵니다. 자동 업데이트 항목이 있으면 켜둡니다.
- 관리자 비밀번호가 처음 그대로인지 봅니다. 공용 열쇠 문제와는 별개로, 설치할 때 받은 초기 비밀번호는 여전히 가장 먼저 뚫리는 지점입니다.
- 밖에서 접속할 일이 없다면 원격 접속 기능을 끕니다. 원격 관리, 외부 접속 허용, 포트 개방 같은 이름으로 되어 있습니다.
에이수스 사례처럼 백도어가 남는 경우에는 업데이트만으로 정리되지 않습니다. 제조사 공지에 초기화 절차가 함께 안내돼 있는지 살펴보고, 이미 지원이 끊긴 오래된 모델이라면 교체를 고민할 시점입니다.
당장 모든 위험을 없앨 방법은 없습니다. 다만 우리 집에 어느 브랜드의 기기가 몇 대 붙어 있는지 아는 것과 모르는 것은 다릅니다. 카메라 렌즈가 어디를 향해 있는지보다, 그 화면을 누가 함께 볼 수 있는지가 더 중요한 질문일 수 있습니다.
참고
- 전자신문
태그 #카메라보안 #IP카메라 #홈캠보안 #공유기해킹 #IoT보안 #스마트홈보안 #CCTV보안 #보안취약점 #개인정보보호 #에이수스공유기 #IoT인증 #펌웨어업데이트 #홈네트워크보안 #사물인터넷