IoT 기기·전자제품에 숨어있는 사이버 위협, 전문가도 구분 어려워
소비자는 신뢰할 수 있는 제조사 이용하고, 저렴한 가격만 보고 구매하면 안돼

알쓸보안사전은 보안뉴스 기자들이 ‘알아두면 쓸모있는’ 보안 용어들을 보다 쉽게 정리해 독자의 이해를 돕고 보안 지식을 넓혀줄 수 있는 코너입니다[편집자주]

[보안뉴스 박은주 기자] 충전기로 스마트폰을 해킹할 수 있는 시대다. 사실 전기로 작동하는 가전제품 모두 해당된다. 해커들이 소비자 모르게 제품에 해킹 칩을 심고 악성코드를 유포하는 짓을 저지르기 때문이다. 소리소문 없이 벌어지는 사이버 공격에 전기포트, 다리미까지 살펴봐야 할 지경에 이르렀다.


[이미지=utoimage]

△이 주의 보안 용어
알쓸보안사전의 첫 번째 보안 용어는 바로 ‘IoT 좀비’다. IoT 기기나 전자제품이 디도스 공격이나 해킹 등을 수행하는 도구로 전락할 수 있다는 의미다. 일례로, 해킹 칩이 담긴 충전기는 평범한 충전 케이블과 똑같이 생겼다. 직접 분해해 보기 전까지는 차이를 알 수 없다. 해킹 칩이 장착된 충전 케이블을 스마트폰에 꽂는 순간 해킹은 시작된다. 특정 프로그램을 실행하거나, 웹캡과 마이크를 해킹하고 그 정보를 전송할 수 있다. 입력 값을 훔쳐보는 키로거 해킹이나 전화나 메시지를 가로채는 스파이 앱 설치 등 다양한 공격이 가능하다. 스마트폰, PC등 인터넷이 연결되는 디바이스 전부 위험 대상이다.

△이런 일이 있었다
미국 인터넷 종합 쇼핑몰 아마존에 특가로 올라온 안드로이드 셋톱박스에서 해킹 프로그램이 발견됐다. 보안 전문가 다니엘 밀리식(Daniel Milisic)이 셋톱박스를 구매해 인터넷 트래킹을 차단하는 애플리케이션 파이홀(Pi-Hole)을 실행했다. 그 결과 악성 소프트웨어인 ‘멀웨어’ 2개와 사용자 동의없이 제멋대로 광고를 노출하는 애드웨어가 발견됐다.

2016년 사물인터넷(IoT) 기기가 사이버 공격에 이용되는 영화 같은 사건이 벌어졌다. 인터넷 도메인 서비스 업체 ‘딘(Dyn)’이 IoT 기기를 통한 디도스 공격에 당한 것으로 밝혀졌다. 공격자는 ‘미라이(Mirai)’라는 멀웨어를 이용해 IoT 기기를 대거 해킹했고, 해킹된 IoT 기기를 봇넷으로 만들어 디도스 공격에 악용했다. 이로 인해 미국 동부 지역의 인터넷이 일시적으로 마비되는 피해가 발생했다. 2016년 아카마이 인텔리전트 플랫폼을 통해 전 세계 사이버 공격과 위협을 분석한 ‘2016년 3분기 인터넷 현황 보안 보고서’에 따르면 2016년 3분기 발생한 초대형 디도스 공격 2건 모두 미라이 봇넷이 사용된 것으로 드러났다.

제품에 해킹 칩이나 스파이 칩, 악성코드를 심어 공격하는 경우도 있다. 미국 경제주간지 ‘블룸버그 비즈니스위크’가 지난 2018년 보도한 내용에 따르면 중국에서 해킹 마이크로 칩을 이용해 미국 기업 애플과 아마존의 정보를 수집하려 한 정황이 드러났다. 애플과 아마존에 납품하는 서버 메인보드에 연필 촉 만한 해킹 칩을 숨겨 심어 놓은 것이다. 이를 통해 해킹을 감행했고 원격 공격을 가능케 했다.

또한, 중국의 PC제조사 레노버의 노트북에서 애드웨어가 발견됐다. 레노버 사는 집단 소송에 휘말리며 수백만 달러에 이르는 벌금형을 선고 받았다. 일반 가전제품을 이용해 해킹을 시도한 사례가 있다. 러시아 통관 절차를 밟던 중국산 다리미에서 해킹 칩이 나왔다. 이 해킹 칩은 보안 설정이 안 된 집안 네트워크를 노려 악성 스팸메일을 보내도록 설계돼 있었다.

△피해는 이렇게 막을 수 있다
저렴한 가격으로 소비자의 눈을 가리고 멀웨어나 해킹 칩이 담긴 물건을 판매하는 사례는 꾸준히 발견되고 있다. 일반 사용자는 악의적인 목적을 가진 해킹 시도를 알아챌 수 없고 전문가 또한 겉으로만 봐서는 구분이 어렵다.

국가적 차원에서 제품 수입 시 검열 절차를 강화해 불법적인 해킹 칩과 악성 프로그램에 대한 선제 검사를 진행해야 한다는 의견이 제시된다. 일반 소비자는 가전제품을 구매할 때 저렴한 가격만 보고 사용하면 안된다. 대부분의 사이버 범죄자는 해킹 칩을 심은 물건을 저렴한 비용으로 판매하기 때문이다. 신뢰할 수 있는 제조사에서 만든 제품을 이용해야 하며 되도록 국제표준 인증을 갖추고 있고, 제조사 자체도 검증된 기업의 제품을 이용하는 것이 안전하다.

사물인터넷 기기를 활용한 사이버 공격은 꾸준히 이어지고 있다. 이에 한국인터넷진흥원(KISA)은 2017년 IoT 시장의 보안 위협에 대비하고 안전한 서비스 이용을 위한 ‘홈·가전 IoT 보안 가이드’를 발표했다. 보안 가이드에는 공통·유형별 IoT 보안 항목과 대응 방안이 설명돼 있다.

개인 소비자가 IoT 기기를 이용할 때 보안을 유지할 수 있는 가장 쉬운 방법은 ‘안전한 비밀번호’ 설정이다. 기기를 구매했을 때 기본으로 설정된 암호를 그대로 사용하게 되면 사이버 공격에 당하기 십상이다. 보안 가이드에는 동일한 문자로 구성되지 않고, 유추하기 어렵게 비밀번호를 설정하기를 권고했다. 또한, 제품을 사용할 때는 인가된 사용자만 접근할 수 있도록 최소한의 권한만 허용해야 한다고 설명했다.
[박은주 기자(boan5@boannews.com)]
[도움말=보안119]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>