4,500개 이상의 민감한 개인 사생활 영상, 여전히 텔레그램에 노출돼 있어
유출 영상, IP 주소 알 수 없어 피해 당사자에게 못 알려...IP 카메라 보안조치 관련 대국민 홍보 필요성
과기정통부, IoT 기기 사각지대 해소와 위험요소 고려한 보안대책 마련중

[보안뉴스 김경애 기자] 국내 IP 카메라가 해킹돼 4,500개 이상의 개인 사생활 영상이 텔레그램에 유포되고 있는 가운데, 현재까지도 별다른 대책 없이 무방비 상태로 노출되고 있는 상황이다.


▲중국 해커가 국내 IP 카메라를 해킹해 노출시킨 4,500개 이상의 영상이 3일 현재에도 텔레그램에 무방비로 노출되고 있다[사진=보안뉴스]

<보안뉴스>는 지난해 12월 30일 해커가 국내 IP 카메라를 해킹해 4,500개 이상의 영상을 텔레그램을 통해 무방비로 유포한 정황을 포착해 단독 보도한 바 있다. 이와 함께 본지는 한국인터넷진흥원(KISA) 측에 영상이 노출되고 있는 텔레그램 링크 정보를 공유했다. 그러나 1월 3일 현재까지도 영상은 무방비 노출되고 있는 상황이다.

이에 <보안뉴스>는 중국 해커의 추적과 함께 차단 및 대응 조치는 어떻게 진행되고 있는지 KISA와 과학기술정보통신부(과기정통부) 등을 후속 취재했다. 하지만 해커 추적은 물론 동영상 노출 차단, 그리고 제도적인 통제 역시 현실적으로 쉽지 않다는 답변을 받았다.

1. 보안 취약한 IP 카메라, 텔레그램 만나 사이버 범죄 ‘날개’ 달았다
사실 IP 카메라 영상 유출 이슈는 어제 오늘의 일은 아니다. 이미 오래 전부터 비일비재하게 발생됐던 이슈라고 할 수 있다. 이에 정부에서도 IP 카메라·CCTV의 비밀번호 설정변경 기능을 2019년 2월부터 의무화하고, 보안성을 검증받는 인증 획득을 유도하고 있다. 하지만 보안이 취약한 IP 카메라와 텔레그램을 이용하는 사이버 범죄자들이 활개를 치면서 IP 카메라 해킹 이슈는 좀처럼 사그라들지 않고 있다. 추적이 쉽지 않은 텔레그램의 특성을 악용해 IP 카메라 해킹 등의 사이버 범죄가 활개를 치고 있다.

2. 유출된 영상, IP 주소 알 수 없어 피해 당사자에게 아직 못 알려
특히 이번 사건에서 문제가 되는 것은 개인 영상 IP를 특정할 수 없어 사생활이 그대로 노출되고 있는 피해 당사자들에게 알릴 수 없다는 점이다. KISA 관계자는 “IP 카메라 해킹 영상이 유포된 텔레그램을 분석한 결과, 노출된 개인 영상 IP를 특정할 수 없었다”며 “IP를 특정할 수 있어야 당사자들에게 노출된 영상에 대해 알릴 수 있는데, 단서 확보가 어렵다”고 밝혔다.

이어 해당 관계자는 “노출된 영상 상당수는 중국산 IP 카메라로 추정된다”며 “국내산 제품의 경우 출하된 제품마다 비밀번호가 다르게 출시되는 반면, 개인이 구입한 중국산 IP 카메라는 국내 제품이 아니라 이를 통제할 수 없다”고 설명했다.

공격자의 추적 및 계정 차단 역시 마찬가지다. 익명성을 보장하는 텔레그램 특성상 공격자의 추적이 쉽지 않다는 것. 텔레그램은 이미 오래 전부터 추적이 어렵다는 특성을 악용해 마약, 도박, 개인정보 유출 등의 각종 범죄수단 통로로 악용돼 왔다.

다만 기존에 보유하고 있는 IP와 확보된 노출 영상 IP를 비교, 대조해 일치할 경우 개인을 특정할 수 있어 이 경우에만 당사자에게 알릴 수 있다는 게 KISA 측의 설명이었다. 그러나 추가 취재한 결과 동일한 IP가 존재하지 않았다는 답변을 받았다.

그렇다면 보안이 취약한 IP 카메라의 문제점에 대해 과기정통부는 어떻게 대응하고 있을까? 사이버침해대응과 허진우 과장은 “민간 기업에서 발생하는 해킹 사고나 사이버보안 위협의 경우 KISA와 함께 대응하며 지원하고 있지만, 노출된 개인 사생활 영상의 경우 IP 카메라 자체의 보안 취약점으로 인한 문제라 대응이 쉽지 않다”고 말했다.

3. 중국산 IP 카메라, 법·제도적 통제장치 없어...통상 마찰과 비용 부담 등의 문제
또한, 과기정통부 정보보호산업과 정은수 과장은 IP 카메라 보안이슈에 대해 “국내 제품의 경우 특히 월패드는 납품받는 건설사와 MOU를 맺어 보안성을 검증하고, 대기업 제조사 등을 대상으로는 안전성이 확보된 KC 인증을 받도록 유도·홍보·관리하고 있다”면서도 “하지만 공공기관을 제외하고는 인증 의무화가 아니기 때문에 민간 기업에게 인증을 강요할 수 없고, 개인이 구입한 IP 카메라까지 모두 통제할 수 없다”고 밝혔다.

즉, 중국산 IP 카메라 등 개인이 구입한 IP 카메라에 대한 법·제도적인 보안성 관리 조치가 없다는 얘기다.

4. IP 카메라 사용자 스스로 주의해야...대국민 홍보 필요성 제기
현재로써는 뾰족한 수가 없어 사용자 스스로 보안이 취약한 IP 카메라 사용을 자제하고, 민감한 장소에 설치하지 않도록 주의를 기울여야 한다.

고려대학교 김승주 교수는 “먼저 해킹 여부부터 확인돼야 한다”며, “보통 IP 카메라의 비밀번호를 바꾸지 않고 공장에서 출시된 그대로 쓰는 경우가 많은데, 이로 인해 영상이 유출된 걸 이걸 해킹이라고 부르기는 어렵다”고 지적했다. 정부에서 IP 카메라의 비밀번호를 바꾸라는 공지를 수없이 해오고 있고, IP 카메라·CCTV 비밀번호 설정변경 기능을 2019년 2월부터 의무화하고 있다는 게 김 교수의 설명이다. 즉 사용자가 보안인식을 갖고 보안조치에 좀더 신경써야 한다는 얘기다.

만약 해킹이라고 볼 수 있는 경우에도 공공기관과 기업 등은 정부가 관리 감독할 수 있는 반면, 이번 사건처럼 일반 사용자에게 보안조치를 강제화할 수 있는 수단은 존재하지 않는다는 설명이다. 또한 외국산 제품은 보안성 심사를 의무화할 경우 국가 간 무역 과정에서 서로 간의 입장 차이로 통상 마찰이 생길 수도 있다는 우려했다.

이어 김 교수는 “일부 전문가들의 경우 IP 카메라 보안사고 방지를 위해 ‘영상 송출 과정을 암호화한다거나 로그 기록 생성·보관을 의무화하는 등 등 보다 강력한 조치가 필요하다’고 얘기하는 경우가 많은데, 이러한 보안 기능을 제품에 탑재하고, 보안성 심사를 받는데 드는 비용을 어떻게 해야 할지에 대한 논의가 선행돼야 한다”며 “비밀번호 변경 의무화 때도 업체들이 정부에 비용 상승분을 부담해 달라고 한 적도 있지만, 이를 국민 세금으로 할 수는 없는 노릇”이라고 설명했다. 이에 외국처럼 이런 기능이 없는 제품은 언론을 통해 공론화시키고, 시민들이 자연스럽게 선택하지 않도록 해야 한다는 얘기다.

스틸리언 신동휘 CTO 역시 통상 마찰 가능성을 언급하며 “국내에 들어오는 기기에 대해 인증제를 도입할 수도 있겠지만 통상 마찰의 우려가 있어 쉽지 않고, 전수 조사하기엔 비용 부담이 크다”며 “현실적으로 사용자의 보안인식 개선과 보안수칙 준수가 매우 중요하다”고 강조했다.

또한, 서울여자대학교 김명주 교수는 “IP 카메라의 보안대책을 개인에게 맡기고 있는 게 현실”이라며 “초기 관리자 암호를 변경하지 않거나, 취약한 펌웨어를 업그레이드하지 않은 경우는 대개 쇼단 등을 통해 외부에 공개되는 만큼 사용시간 외에는 카메라 렌즈를 물리적으로 가리는 등 사용에 있어 각별한 주의를 기울여야 한다”고 당부했다.

성신여자대학교 박원형 교수도 “CCTV 해킹 예방 10계명 등에 대한 홍보로 국민의 인식 개선에 적극 나서야 한다”며 “IPTV, CCTV의 초기 패스워드를 변경하며, 사용하지 않는 CCTV는 반드시 끄고, 영상물이 유포되지 않도록 대국민 홍보가 적극적으로 이뤄져야 한다”고 강조했다.

하지만 국민 대다수가 인지할 만큼 대국민 홍보가 진행되지 않은 상황에서 사용자에게 보안이 취약한 IP 카메라에 대한 보안인식 개선만을 요구하기엔 무리가 있다. 대국민 홍보를 위한 정부와 관련 공공기관의 좀더 적극적인 대응이 요구되고 있는 까닭이다.

5. 인증 의무화, 최저가 입찰제 지양, 수사 협조 요청 등 적극적인 대응 필요성도 제기
정책·제도적 측면에서는 국방 분야 및 주요기반시설, 그리고 민감한 사생활 영상 정보 유출시 파장이 큰 IP 카메라 등의 제품에 대해서는 선별적으로 관리를 강화해야 한다는 의견도 나오고 있다.

리니어리티 한승연 대표는 “국내에서는 키보드 하나를 판매해도 전파인증을 받아야 판매할 수 있다”며 “IP 카메라처럼 사생활 영상이 텔레그램으로 유출되면 치명적일 수 있는 제품군은 전파인증처럼 인증 의무화를 적용해 피해를 줄여야 한다”고 강조했다.

이어 한 대표는 사용자의 인식 개선과 관련해 “교과서에 실리거나, 매일 9시 뉴스에 나오는 수준 만큼의 대대적인 대국민 홍보 캠페인이 아닌 이상 인식 개선이 쉽지 않다”며 “민감한개인 사생활 영상은 한 번 유출되면 추후 피해자의 일상생활에도 큰 타격을 줄 만큼 치명적이기 때문에 대국민 홍보와 함께 중국과의 수사 협조를 통한 적극적인 대응이 필요하다”고 언급했다.

고려대 정보보호대학원 임종인 석좌교수는 “국방, 국가주요시설 분야 등 국가안보와 관련된 곳에 설치되는 IP 카메라는 최저가 입찰을 하지 말아야 한다”며 “중국산 IP 카메라의 경우 검사를 강화한다 해도 업데이트 과정에서 백도어를 심으면 구체적인 증거를 찾기가 쉽지 않은 만큼 보안성이 담보되지 않은 IP 카메라 사용을 자제하고, 로그 기록 등 구체적인 증거 확보로 대응해야 한다”고 당부했다.

이어 텔레그램과 관련해 임 석좌교수는 “국제적인 중범죄는 각국 정부의 요청에 따라 텔레그램을 추적할 수 있다”며 “하지만 중범죄가 아닌 이상 현실적으로 협조가 쉽지 않은 만큼 범죄에 노출되지 않도록 주의해야 한다”고 말했다.

이렇듯 IP 카메라 해킹 문제가 계속 불거짐에 따라 과기정통부도 대책 마련에 들어갔다. 정보보호기획과 김경우 과장은 “IP 카메라를 포함한 IoT 기기에 대한 사각지대 해소와 보안대책 마련을 준비 중에 있다”며 “현재 초안이 나와 있는 상태라 전문가 의견 수렴 등을 통해 다양한 위험요소를 고려한 보안대책을 마련하겠다”고 말했다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>