피해자의 사물인터넷 장비 해킹하고 경찰에 허위 신고...이른바 스와팅 장난
해킹한 장비로 경찰들의 급습 장면 녹화하거나 라이브스트리밍으로 공개해

[보안뉴스 문가용 기자] 기술이 발전하는 속도가 아찔할 정도다. 그래서 우리는 우리가 개발한 기술들의 피해자가 되느라 정신이 없다. 그럼에도 기술에 대한 우리의 의존도는 더 높아졌으면 높아졌지 낮아지지는 않을 전망이다. 그렇기 때문에 기술에 대한 여러 가지 면모와 요소들을 사용자들에게 더 정확히 알려줄 필요가 늘어나고 있다.


[이미지 = utoimage]

최근 해커들이 희한한 장난을 하기 시작했다. 가정용 사물인터넷 장비들을 해킹해서 스와팅을 실시하기 시작한 것이다. 스와팅(swatting)이란, 경찰에 장난으로 신고해 특수부대가 엉뚱한 장소를 급습하게 하는 것을 말한다. 해커들은 자신들이 해킹한 장비들을 통해 스와팅 장면을 생생하게 라이브로 송출하기 시작했다. 심지어 신고를 위한 장비도 해킹으로 마련한 것이라 진범을 잡는 것도 어렵다고 한다.

공격자들은 먼저 피해자를 물색하고, 해당 피해자의 집에 있는 사물인터넷 장비들을 해킹한다. 그런 후 피해자인 것처럼 위장해서 경찰에 신고 전화(911)를 건다. 매우 위급한 상황이 벌어진 것처럼 연기해 특수 부대가 파견되도록 하고, 부대가 현장을 덮칠 때 이미 해킹해 두었던 집안 장비들로 이 장면을 녹화하는 게 이들의 수법이다.

스와팅은 동영상 스트리밍 서비스가 유행하면서 함께 유행하기 시작한 장난이다. 이런 행위가 증가하자 FBI는 사람의 목숨을 위협할 수 있는 장난이라면서 이에 대해 강력히 경고하기도 했다. 실제 총소리와 같은 음향효과가 나는 게임을 하던 스트리머가 장난 신고에 출동한 특수 부대의 오해로 현장에서 붙들려 끌려나가는 영상 클립이 얼마 전 인터넷에서 화제가 되기도 했었다. 3년 전에는 무고한 사람이 이러한 장난에 목숨을 잃기도 했다.

FBI는 최근 이런 행위들이 늘어나자 문제의 근원이 무엇인지 파헤치기 시작했다. 그러면서 피해자들에게서 다음과 같은 공통점이 있다는 것을 알아냈다.
1) 피해자들은 한 가지 비밀번호로 모든 장비와 서비스를 보호하고 있었다.
2) 장비들의 경우, 대부분 제조사에서 정한 디폴트 비밀번호였다.
3) 디폴트 비밀번호는 매우 약하고, 사용자들은 이를 바꾸지 않는다.

FBI는 “비밀번호와 같은 정보는 다크웹의 해커들 사이에서 활발하고 꾸준하게 거래되는 품목으로, 하나를 고정해서 계속 쓸 경우 언젠가 뚫릴 수밖에 없다”고 경고했다. 또한 “제조사들의 디폴트 비밀번호는 해커들이라면 누구나 외우고 있을 정도로 약해 없는 것과 마찬가지”라고도 설명했다. 즉 피해자들이 너무 공격을 쉽게 허용한다는 게 FBI의 조사 결과다.

사물인터넷 장비들을 침해해 두면 현장을 급습한 특수 부대의 활동을 꽤나 가까이서 지켜볼 수 있게 된다. 피해자 집안에 설치된 카메라나 스피커와 같은 장비를 통해 정보들을 입수하기 때문이다. 이러한 영상들은 라이브스트림 형태로 온라인에 공개되기도 했었다. FBI는 이러한 장난을 그저 웃어넘기지 않겠다고 한다.

그럼에도 이러한 행위가 계속 증가하자 FBI는 사물인터넷 장비 소유주와 사용바들에게 비밀번호를 어렵게 설정할 것을 권고했다. 또한 펌웨어 및 소프트웨어의 주기적인 업데이트도 함께 이뤄가기를 요청했다.

3줄 요약
1. 해커들, 라이브스트림으로 스와팅 하기 전에 사물인터넷 장비 해킹.
2. 해킹한 장비로 911에 신고하고, 특수 부대 팀 급습 장면 녹화/녹음.
3. 이렇게 얻어진 영상물을 온라인에 라이브로 스트리밍.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>