스마트홈 기기는 왜 해킹에 약한가

스마트홈 기기가 해킹에 약한 가장 큰 이유는 많은 기기가 처음 설정된 기본 비밀번호를 그대로 쓰고, 보안 업데이트를 거의 받지 못한 채 인터넷에 연결되어 있기 때문이다. 이런 기기 하나하나는 해커에게 큰 가치가 없어 보이지만, 수십만 대가 한꺼번에 장악되면 거대한 공격 도구가 된다. 2016년에는 이렇게 감염된 카메라와 공유기들이 대규모 공격을 일으켜 미국의 주요 웹사이트 접속을 마비시킨 일이 있었다.

컴퓨터보다 왜 더 허술한가

컴퓨터와 스마트폰은 운영체제가 정기적으로 보안 업데이트를 내려받고, 사용자도 비밀번호나 보안 경고에 익숙하다. 그런데 인터넷 카메라, 스마트 전구, 공유기 같은 기기는 다르다. 값을 낮추려고 계산 능력과 저장 공간을 최소한으로 넣는 경우가 많고, 보안 기능은 뒤로 밀리기 쉽다.

문제는 몇 가지가 겹친다. 제조사가 모든 기기에 같은 기본 비밀번호를 넣어 출고하고, 사용자는 이를 바꾸지 않는다. 기기 화면이 없어서 업데이트가 있는지 알기 어렵고, 업데이트를 아예 제공하지 않는 저가 제품도 있다. 한 번 설치하면 몇 년이고 그대로 켜 두는 경우가 많아, 오래된 보안 허점이 방치된다.

2016년에는 무슨 일이 있었나

2016년 가을, 미라이라는 악성 프로그램이 인터넷에 연결된 기기들을 대량으로 감염시켰다. 이 프로그램이 한 일은 의외로 단순했다. 인터넷에서 기기를 찾아낸 뒤, 흔히 쓰이는 기본 아이디와 비밀번호 수십 개를 차례로 넣어 보는 것이었다. 비밀번호를 바꾸지 않은 수많은 카메라와 공유기가 그대로 뚫렸다.

감염된 기기들은 거대한 좀비 군단, 곧 봇넷이 되었다. 공격자는 이 기기들에게 동시에 특정한 서버로 엄청난 양의 요청을 보내라고 명령했다. 그 결과 인터넷 주소를 연결해 주는 한 회사의 서버가 마비되었고, 이 회사를 쓰던 여러 유명 웹사이트에 수많은 사람이 몇 시간 동안 접속하지 못했다. 각 기기의 주인들은 자기 카메라가 공격에 가담하고 있다는 사실조차 몰랐다.

약점	어떤 문제를 낳나
기본 비밀번호 그대로 사용	누구나 쉽게 접속
보안 업데이트 부재	알려진 허점이 오래 방치
암호화하지 않은 통신	주고받는 정보가 노출
기기 수가 매우 많음	대량 감염 시 거대한 공격 도구

개인에게는 어떤 피해가 생기나

대규모 공격만 문제가 아니다. 집 안을 비추는 인터넷 카메라가 해킹되면 사생활이 그대로 노출된다. 실제로 보안이 허술한 가정용 카메라의 영상이 인터넷에 유출되는 사건이 국내외에서 여러 차례 있었다. 스마트 도어락이나 공유기가 뚫리면 집 안의 다른 기기와 컴퓨터까지 공격의 발판이 될 수 있다.

감염된 기기는 겉으로 티가 잘 나지 않는다는 점도 문제다. 공격에 동원되는 동안에도 카메라는 평소처럼 영상을 찍고 전구는 평소처럼 켜진다. 인터넷이 조금 느려지는 정도가 전부라 주인이 알아채기 어렵다.

스스로 지킬 수 있는 방법은 무엇인가

가장 효과가 큰 방법은 단순하다. 기기를 처음 설치할 때 기본 비밀번호를 반드시 바꾸는 것이다. 제조사가 업데이트를 제공하는 제품을 고르고, 업데이트 알림을 켜 두는 것도 중요하다. 쓰지 않는 원격 접속 기능은 끄고, 가능하면 스마트홈 기기를 컴퓨터와 다른 별도의 와이파이 네트워크에 연결해 두면 하나가 뚫려도 피해가 퍼지는 것을 줄일 수 있다.

남은 과제

개인의 주의만으로는 한계가 있어서, 제조 단계에서 보안을 의무화하려는 움직임이 커지고 있다. 기기마다 서로 다른 초기 비밀번호를 쓰게 하고, 일정 기간 보안 업데이트를 보장하도록 요구하는 규정이 여러 나라에서 도입되거나 논의되고 있다. 한국에도 사물인터넷 기기의 보안 수준을 확인하는 인증 제도가 있다. 다만 이미 집집마다 설치된 수많은 오래된 기기를 어떻게 안전하게 관리할지는 여전히 풀기 어려운 숙제다.