나쁜 마음과 클립 하나만 있으면 한 가정의 네트워크 완전 장악
잘 모르는 손님을 빈 집에 받을 때 굳이 라우터 같이 둘 필요 없어

[보안뉴스 문가용] 바야흐로 휴가철, 여러 숙박시설 관련 애플리케이션들이 설치되고 또 사용되고 있다. 그중 실제 여행가고 싶은 지역에서 거주 중인 ‘로컬인’들의 집에서 직접 살아보게 해주는 에어비엔비(Airbnb)는 그 독특한 콘셉트 때문에 주목도가 올라가고 있다. 해외에서는 이미 꽤나 많은 사용자들을 보유하고 있다고 알려져 있다. 그리고 그만큼 특이한 사건들도 꼬리표처럼 달고 다닌다.



에어비엔비와 유사한 콘셉트를 가진 애플리케이션(홈어웨이 등) 및 사용자들이 가지고 있는 위험을 연구해온 보안 전문가 제레미 갤로웨이(Jeremy Galloway)는 “에어비엔비도 APT 공격에 노출되어 있다”고 주장한다. 단 제레미가 말하는 APT는 흔히 알려져 있는 ‘지능형 지속 위협(Advanced Persistent Threat)’이 아니라 “평범한 클립의 위협(Average Paperclip Threat)”이다. “클립 하나만 라우터에 꼽으면 그 가정의 네트워크를 완전히 장악할 수 있거든요.”

제레미는 공격의 가능성이 매우 크다며 “뉴욕 거주자들 중만 3만 6천 명이 에어비엔비에 등록되어 있다”고 근거를 댔다. “카페들의 라우터가 위험하다고 하는데, 그래봤자 스타벅스 체인이 전 세계에 2만 3천개일 뿐입니다. 에어비엔비에 등록되어 있는 가정용 라우터의 수는 이와 비교도 할 수 없어요. 리스크의 차원이 다릅니다.”

게다가 최근 직장인들이 모바일 기기를 이용해 회사 서버에 접속하거나 기업의 데이터를 집에서까지 와서 활용하는 걸 생각한다면 가정용 라우터에 대한 공격 가능성은 단순히 개인적인 피해에만 그치지 않을 거라고 제레미는 강조한다. “무선 네트워크의 보안 문제와 해킹 기법을 20년 동안 연구해온 사람으로서, 전혀 모르는 타인을 카메라도 없고 철저히 비어있는 나의 집에 들인다는 개념 자체가 매우 위험하게만 들립니다.”

제레미는 집을 공유하는 에어비엔비나 홈어웨이 뿐 아니라 승용차를 나눠 타는 우버나 리프트와 같은 서비스 모두 악성 사용자에 의한 사이버 공격에 무방비로 노출되어 있다고 강조한다. “과도한 신뢰가 문제라고 봅니다. 설마 나쁜 사람이 오겠어? 설마 이상한 사람이 타겠어? 이런 생각들은 맹목적이기까지 한 신뢰에 바탕을 두고 있습니다.”

사이버 공격을 가능하게 해주는 취약점들 중 원격 공격이 연루되어 있는 취약점들은 대부분 ‘치명적으로 위험하다’고 분류된다. 사이버 공격자가 해킹을 하려는 기기에 물리적으로 다가가는 게 가장 위험한데, 원격 조정이 가능하게 되면 물리적인 접근을 한 것이나 다름없게 되기 때문이다. “결국 악성 해커가 아무런 어려움 없이 안전장치가 거의 없다시피한 라우터에 물리적으로 접근할 수 있게 되는 겁니다. 클립을 가지고 기기의 리셋 버튼을 누르기만 하면 공격 끝이에요. 이건 심지어 해킹도 아니죠.”

라우터를 이렇게 물리적으로 가까이 접근해 장악하면 그 어떤 해커보다 강력한 영향력을 발휘할 수 있게 된다. “네트워크를 통제할 수 있을 뿐만 아니라 그 후로도 네트워크에 계속해서 접속하는 사람까지도 공격이 가능하게 됩니다.” 이는 라우터 기기 자체의 문제이기도 하다. “리셋 버튼을 한 번만 누르면 모든 보안 장치가 사라지니, 공격 자체가 너무 쉽습니다. 라우터 공격은 그래서 ‘접근’의 문제이지 기기 자체에 대한 해킹은 그리 어렵지 않습니다.”

이처럼 에어비엔비 등을 통해 라우터에 접근했고, 리셋을 눌러 공격에 성공했다면 어떤 일이 벌어질까? “일단 중간자 공격을 시도해 트래픽을 스니핑할 수 있죠. DNS 하이재킹을 해서 클라이언트의 온라인 뱅킹 세션을 훔쳐올 수도 있고요. 이렇게까지 하면 로그인 정보나 개인정보 훔치는 건 식은 죽 먹기가 되죠. 심지어 소프트웨어 업데이트까지도 속여서 악성 멀웨어를 설치하게 할 수도 있어요.”

라우터 공격이 위협적인 또 다른 이유는 플랫폼을 가리지 않는다는 점 때문이다. 네트워크 기반 공격이기 때문에 윈도우이든 OS이든 아이폰이든 안드로이드 기기든 전부 위험에 노출된다. OS에 따라 면역이 되기도 하는 행운조차 없다는 것.

물론 악성 해킹을 하려는 사용자보다 선량한 사용자가 훨씬 많다는 걸 고려하면 에어비엔비 등의 서비스를 사용하는 것이 치명적으로 위험하다고는 할 수 없다고 제리미는 덧붙였다. “다만 아무리 낮은 확률이라도 절대수가 올라가면 무시할 수 없는 수준이 된다는 건 기억해야 합니다. 현재 에어비엔지 가입자 수는 2백만이 넘는 걸로 알고 있습니다.”

그렇다면 에어비엔비를 통해 손님을 받기로 한 사용자들은 어떤 조치를 취해야 할까? “라우터를 치우는 게 가장 간단한 방법입니다. 솔직히 주인 입장에서 집을 한동안 비우는데 친절하게 라우터까지 놔둘 필요가 없습니다. 집안 깊숙이 숨겨놓고 잠그든가, 아예 다른 이웃집에 맡기세요.”

다행히 아직까지 에어비엔비 사용자 중 이런 식으로 해킹을 한 사례는 없다. “그러나 언제 발생해도 놀랄 일은 아닙니다. 게다가 평범한 일반인이 라우터 공격의 흔적을 발견한다는 게 쉬운 것도 아니고요. 라우터 로그 확인하는 일반인 주위에서 본 적 있으세요?”

에어비엔비나 홈어웨이 등 유사 서비스를 제공하는 업체들은 아직 사이버 보안 문제에 대해서는 심각하게 생각하고 있지 않은 듯 하다. “아직은 물리적인 피해에 초점이 많이 맞춰져 있죠. 에어비엔비 및 홈어웨이 사용자 안내 문서에 ‘방을 비울 때 이러이러한 물건들은 치워두세요’라고 하며 목록을 제공하는 것만으로도 범죄 발생 확률을 많이 낮출 수 있을 것이라고 봅니다.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>