[단독] 인터넷전화, 쉽게 해킹 가능한 취약점 노출

인터넷 전화 도용이나 대규모 인터넷 전화 대란 가능성 있어

국내 인터넷전화(VoIP)의 심각한 보안 취약점이 계속 방치돼 있어, 누군가에게 쉽게 인터넷전화가 도용되거나 심지어는 인터넷전화 불능 대란에도 노출돼 있는 것으로 확인됐다.

특히 국내 주요 인터넷전화의 경우, 이메일 하나만 보내 사용자가 단지 읽기만 해도 인터넷 전화의 관리자 계정을 탈취할 수 있는 것으로 파악됐다. 이를 이용하면, 관리자 계정 비밀번호를 변경하지 않은 특정 통신사의 인터넷 전화를 모두 패스워드를 바꿔 마비시킬 수 있을 뿐 아니라, 사용자 몰래 인터넷 전화를 도용하는 것도 쉽게 가능한 것으로 나타났다.

▲외부에서 접근 가능한 포트가 열려있어 IP만 안다면 쉽게 관리자 계정으로 접근할 수 있었다. ⓒ보안뉴스

이는 국내 주요 통신사의 인터넷전화의 특정포트가 외부에서 접속할 수 있도록 열려있어, 기본으로 설정된 ID와 패스워드 만 알면 관리자 계정에 쉽게 접근할 수 있었기 때문. 그러나 국내 인터넷 전화들의 기본 ID와 패스워드는 간단한 인터넷 검색으로도 쉽게 알아낼 수 있는 상황.

게다가 관리자 계정에는 인터넷 전화를 이용하는데 필요한 SIP 계정과 패스워드를 쉽게 추출할 수 있게 돼 있어, 인터넷 전화를 이용하는 IP주소만 알고 있다면 그 인터넷 전화를 쉽게 도용할 수 있다.

▲관리자 계정에서 추출한 데이터파일. 여기서 SIP 계정과 패스워드를 추출해 인터넷전화를 도용할 수 있다 ⓒ보안뉴스

보안업계의 전문가들은 특정 사용자의 IP를 알아내는 것은 간단한 메일 한통으로도 충분하다고 이야기한다. 메일에 그림파일이 첨부돼 있으면 사용자가 메일확인시 그림을 보는 동시에 그림이 저장돼 있는 서버에 IP주소가 남게 되기 때문. 따라서 전문가들은, 현재 상황으로는 누군가의 인터넷전화를 도용하거나 쓸 수 없도록 하는 것은 매우 쉽다고 이야기한다.

현재 이런 취약점으로 이용될 수 있는 인터넷 전화는 국내에만 해도 엄청난 수가 될 것으로 파악되고 있다. 보안뉴스에서 포트 스캔을 의뢰해 확인한 계정 접근이 가능한 인터넷전화 IP만해도 수백 건이 넘기 때문.

해당 통신사 측은 이런 취약점이 문제가 되긴 하지만 아직까지 발생한 사건이 없어 크게 걱정할 필요 없다는 입장이다. 그러나 전문가들은 이 취약점을 이용해 인터넷전화를 해킹하는 방법은 이미 인터넷 상에서도 쉽게 찾을 수 있어 범죄로 악용될 수 있다고 우려를 나타나고 있다.

보안 전문가들은 이런 보안 취약점은 인터넷전화 업체들이 보안 관리에 소홀히 하고 사용자 보안에 대한 관심이 부족해서 나타나는 문제라고 설명한다.

한 전문가는 “일단 외부에서 접속할 수 있도록 포트가 열려있는 것만 해도 보안관리가 제대로 되고 있지 않다는 것을 보여주지만, 더 큰 문제는 통신사들이 인터넷전화를 가입자만 늘리려고 하지 이런 보안 문제에 대해 제대로 설명하지 않고 있다는 것”이라며 “사용자들이 인터넷전화를 이용할 경우 계정 비밀번호를 필수적으로 바로 바꾸도록 해야 하지만 사용자 스스로 바꾸라고 권유할 뿐 적절한 조치를 취하지 않는다”라고 지적했다.

대다수의 일반 사용자들은 스스로 설정할 수 있을 만큼 IT에 대한 지식이 풍부하지 않기 때문에 대다수 사용자들은 기본 설정된 비밀번호를 계속 이용하고 있다. 따라서 통신사들이 적극적으로 사용자 비밀번호를 바꾸도록 해야하는 상황. 그러나 인터넷전화 가입자에만 열을 올리고 있는 통신사들은 오히려 이런 문제를 쉬쉬하고 있는 것으로 전해졌다.

업계의 한 관계자는 “일단 사용자들은 뭔가 복잡하게 설정해야한다고 하면 차라리 인터넷전화를 이용하지 않는 게 좋다는 생각을 가지고 있어 적극적으로 패스워드 교체를 권유할 수 없는 상황”이라고 말한다.

보안업계의 전문가는 “이런 문제 이미 여러 차례 이슈가 된 적 있지만 계속 방치되면 피해자가 속출하고 심하면 지난 7.7 DDoS 대란 때보다 더욱 심각한 인터넷전화 대란이 나타날 수 있다”면서 “업계와 정부는 서둘러 관련 문제 해결을 위한 방안을 마련해야 할 것”이라고 주장했다.

[오병민 기자(boan4@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)