입력 : 2017.10.12 19:33
지난 28일 오후 서울 성북구 고려대 안암캠퍼스 산학관 입구. 해커 역할을 맡은 보안 전문 업체 노르마 직원이 본지 취재진 요청으로 스마트폰에서 ‘맥(MAC·Media Access Control) 주소 스캐너’라는 앱(응용프로그램)을 실행했다. 맥주소는 인터넷에 연결된 기기를 식별하기 위해 부여된 숫자 조합. 해커들은 이를 빼내 남의 컴퓨터·스마트폰에 접속할 때 사용한다. 약 3~4초 만에 시연용으로 준비한 차량용 블랙박스와 차량 주인의 스마트폰 맥주소가 떴다.
다음 단계로 남의 맥주소를 카피하는 스푸핑(spoofing·속이기) 앱을 실행해 스마트폰 고유 주소를 바꾼 뒤 블랙박스와 연결하자 곧바로 차량 블랙박스의 화면을 볼 수 있었다. 영상을 내려받고 지우는 것까지 가능했다. 이 모든 과정을 수행하는 데는 채 3분도 걸리지 않았다. 노르마 강재혁 이사는 “해커가 교통사고나 범죄 현장 증거가 될 수 있는 블랙박스 영상을 없애는 데도 활용할 수 있다”며 “시연팀이 사용한 앱들은 누구나 다운받을 수 있는 것”이라고 말했다.
웹캠, 블랙박스, 커넥티드 카(connected car), 스마트 가전, 로봇 등 수많은 기기가 인터넷에 연결되면서 해킹 위험에 무방비로 노출되고 있다. 특히 노트북이나 태블릿PC에 기본으로 탑재되는 웹캠과 스마트폰 연동형 블랙박스의 경우 사용자가 비밀번호를 설정하려는 생각조차 하지 않는다. 보안업계 관계자는 “제품이 공장에서 나올 때 설정해둔 ‘어드민(admin·관리자)’을 아이디와 비번으로 이용하는 사용자가 태반”이라며 “비밀번호가 있는 줄도 모르는 것”이라고 말했다. 연간 국내에서만 노트북 240만대, 블랙박스가 200만대가량 팔리는 것을 감안하면 길거리를 돌아다니는 수많은 카메라가 해킹 위험에 노출되어 있는 셈이다.
다음 단계로 남의 맥주소를 카피하는 스푸핑(spoofing·속이기) 앱을 실행해 스마트폰 고유 주소를 바꾼 뒤 블랙박스와 연결하자 곧바로 차량 블랙박스의 화면을 볼 수 있었다. 영상을 내려받고 지우는 것까지 가능했다. 이 모든 과정을 수행하는 데는 채 3분도 걸리지 않았다. 노르마 강재혁 이사는 “해커가 교통사고나 범죄 현장 증거가 될 수 있는 블랙박스 영상을 없애는 데도 활용할 수 있다”며 “시연팀이 사용한 앱들은 누구나 다운받을 수 있는 것”이라고 말했다.
웹캠, 블랙박스, 커넥티드 카(connected car), 스마트 가전, 로봇 등 수많은 기기가 인터넷에 연결되면서 해킹 위험에 무방비로 노출되고 있다. 특히 노트북이나 태블릿PC에 기본으로 탑재되는 웹캠과 스마트폰 연동형 블랙박스의 경우 사용자가 비밀번호를 설정하려는 생각조차 하지 않는다. 보안업계 관계자는 “제품이 공장에서 나올 때 설정해둔 ‘어드민(admin·관리자)’을 아이디와 비번으로 이용하는 사용자가 태반”이라며 “비밀번호가 있는 줄도 모르는 것”이라고 말했다. 연간 국내에서만 노트북 240만대, 블랙박스가 200만대가량 팔리는 것을 감안하면 길거리를 돌아다니는 수많은 카메라가 해킹 위험에 노출되어 있는 셈이다.
더 큰 문제는 사물인터넷(IoT·Internet of Things) 기술로 현관문을 원격으로 여닫고, 가스 밸브나 조명, 에어컨까지 제어하게 되면서 해커들이 안방까지 노릴 수 있게 된 점이다. 국내 가정용 IoT 기기 보급 가구는 이미 150만 가구를 넘어섰다. 우리나라의 경우 사이버 전쟁 역량을 키우고 있는 중국과 북한 해커들이 인터넷 시스템뿐 아니라 국내 주요 보안 시설까지 들여다볼 수 있다는 우려가 나온다.
◇한국은 IoT 해커들의 놀이터
한국은 이미 전 세계 해커들의 놀이터가 되고 있다. 6일 오후 러시아 해킹 사이트 인세캠에 접속하자 국내 웹캠 400여 개가 그대로 ‘생중계’되고 있었다. 식당, PC방, 아파트 현관, 병원 진료실, 노래방 입구 모습이 드러났다. 서울의 한 발레학원 여성 수강생들이 연습하는 모습도 보였다. 외국 해커들이 한국을 자기네 안방처럼 들여다보고 있는 것이다.
지난달 국내에선 단 5개월 동안 IP카메라(인터넷에 연결된 폐쇄회로 카메라) 1402대에 2354차례 접속해 여성들이 옷 갈아입는 모습을 빼낸 남성 2명이 경찰에 검거되기도 했다. 이들이 해킹한 카메라 역시 비밀번호 관리가 허술했다. 한국인터넷진흥원(KISA) 김도원 팀장은 “한국은 다른 나라보다 훨씬 많은 수의 웹캠과 블랙박스가 보급됐지만 비밀번호 관리는 허술하기 짝이 없다”고 말했다.
국회 과학기술정보방송통신위원회 송희경 의원에 따르면, 국내 1만2300곳에 구축된 무료 공공 와이파이(무선랜)의 경우에도 10개 중 4개꼴로 데이터를 암호화하는 보안 장치가 설치되지 않아 해킹 위험에 노출된 것으로 파악됐다. 해커들이 이를 장악하면 연결된 스마트폰이나 각종 기기의 정보를 들여다볼 수 있다.
◇점점 늘어나는 IoT 해킹 시도
전 세계 주요 시스템에 대한 해킹 시도는 매년 급증하고 있다. 보안업체 시만텍이 4월에 발간한 ‘2017 인터넷 보안 위협 보고서’에 따르면 시만텍이 사이버 공격을 탐지하기 위해 설치해둔 미끼 시스템에 가해진 공격 빈도는 작년 1월 하루 110회(시간당 4.6회)에서 작년 12월에는 하루 211회(시간당 8.8회)로 급증했다. 공격 발원지는 중국이 26.5%로 가장 많았고, 미국(17.7%)이 그다음이었다. 가트너는 2018년까지 IoT 로 연결된 기기 절반가량이 보안 취약점 때문에 각종 위협에 노출되고, 앞으로는 사이버 공격의 25%가 IoT와 연관될 것이라고 전망했다. 2016년 기준 인터넷에 연결된 각종 기기의 숫자는 64억개에서 2020년 208억개로 늘어날 전망이다.
국내의 IoT 기기 해킹 시도도 최근 급증하고 있다. KISA에 접수된 국내 IoT 취약점(해커의 표적이 될 수 있는 허점) 신고 건수는 2015년 130건에서 지난해 362건으로 1년 만에 세 배 가까이 급증했다. 올해 상반기에만 199건을 기록했다.
일단 한번 해킹된 IoT 기기는 카메라와 마이크를 이용해 사생활을 감시하거나 기업 핵심 정보를 빼내는 데 활용할 수 있다. 국내 주요 기간 시설이 북한의 해킹 공격에 노출될 가능성도 높다. 시만텍 코리아 윤광택 본부장은 “인터넷에 연결되는 기기의 숫자와 종류가 다양해지면 앞으로 어떤 유형의 해킹이 발생할지 점점 예상하기 힘들어진다”며 “보안 수준을 지금보다 훨씬 높여야 한다”고 말했다.
