해킹·도청·제어까지 해왔다? 스파이 도구로 악용된 CCTV

2곳의 외산 CCTV와 IP 카메라 제품에서 백도어 발견

핵심기술 유출 등의 스파이 행위에서부터 사생활 침해까지
국산 제품 등 CCTV 전체에 대한 불신은 곤란하다는 우려도

[보안뉴스 민세아] 국내에도 대거 보급되는 등 최근 아시아에서 가장 높은 시장점유율을 보유하고 있는 일부 외산 CCTV와 IP 카메라에서 백도어가 발견됐다. 이로 인해 해당 CCTV가 설치돼 있는 기관이나 기업에서의 기밀정보 및 핵심기술 탈취 등의 스파이 활동은 물론 사생활 침해 가능성까지 매우 높은 것으로 드러났다.

이번 CCTV 및 IP 카메라의 보안위협에 대해 공동 연구한 NSHC 연구소 Red Alert팀과 KAIST 시스템보안 연구실은 관련 문제가 심각하다는 판단 아래 보안위협 수준을 ‘긴급경보 2단계’로 높이고 정보를 공유한다고 밝혔다.

최근 들어 중요기반시설은 물론 가정과 회사 등에 CCTV 또는 IP 카메라의 설치가 폭발적으로 증가하면서 국민 대다수가 거의 모든 장소에서 CCTV나 IP 카메라에 노출되고 있는 상황이다. 더욱이 HD급의 고화질과 음성녹음 등 다양한 기능을 제공하는 외산 CCTV 및 IP-Camera가 인터넷 쇼핑몰을 통해 3~4만 원대에 저렴하게 판매되고 있다.

이렇듯 가정용, 소호용에서부터 발전소·공항·군사시설 등 국가중요기반시설에 이르기까지 보급이 크게 확산되고 있는 특정회사 2곳의 CCTV 및 IP 카메라 제품군에서 백도어(Hidden Backdoor)를 발견했다는 게 관련 연구를 진행했던 NSHC와 KAIST 시스템보안 연구실 측의 설명이다. 특히, 해당 백도어는 제조사에서 제공하는 매뉴얼 상에 언급되어 있지 않으며, 오직 중국에 위치한 제조사의 클라우드 서버에서만 접근이 가능한 것으로 분석됐다.

결국 다양하고 고도화된 은닉기법을 통해 기업의 핵심기술 유출과 적대 국가 및 기업들에 대한 스파이 행위, 즉 간첩활동을 수행하려 했다는 추측이 가능하다.

이번에 백도어가 발견된 제품은 외산업체 2곳의 CCTV와 IP 카메라 시리즈로, 백도어를 통해 해당 CCTV가 촬영하는 영상을 원격에서 볼 수 있고, 제어까지 가능한 것으로 드러났다. 이 뿐만 아니다. 해당 CCTV와 클라우드 시스템의 VPN 통신을 통해 CCTV가 설치된 기관 사설망의 접근통제 시스템과 보안 솔루션을 우회할 경우에는 해당 기관의 내부망 접근은 물론 내부망에 있는 시스템을 대상으로 한 2차 공격까지 가능하다는 것이다.

특히, 한 회사의 CCTV와 IP 카메라의 경우 암호화를 통해서 은닉되어 있는 ‘5KYL16H7 (SKYLIGHT)’라는 코드네임이 발견됐는데, 해당 코드네임을 통해서 제조사는 Root 권한으로 시스템에 임의의 명령을 수행할 수 있는 것으로 알려졌다.

해당 제품군에서 발견된 백도어는 결국 제조사가 해당 기기들을 관리하기 위해 숨겨놓은 백도어로, 제조사가 악의적인 목적으로 해당 백도어를 사용한다면 해당 CCTV의 관리자 권한 획득뿐만 아니라 동일 네트워크에 연결된 다른 기기들에게까지도 위협을 가할 수 있다는 얘기다.

또 다른 회사 제품에서도 역시 매뉴얼 상에 존재하지 않는 백도어가 발견됐는데, A사와 마찬가지로 제3자가 아닌 오직 제조사만이 중국 내 위치하고 있는 클라우드 서버를 통해 해당 백도어를 실행시킬 수 있는 것으로 분석됐다.

이렇듯 국내에 설치된 일부 외산 제품의 CCTV와 IP 카메라에서 원격 제어가 가능한 백도어가 발견됨에 따라 공공기관·기업에서의 CCTV 관리 및 점검에 경고등이 켜졌다. 이와 관련 NSHC의 글로벌 사업부는 이번 위협의 긴급 대응을 위한 TF팀을 구성해 △관련 보안 취약점 대응을 위한 IPS, IDS, F/W 정책 설정 지원 △자동화된 점검 도구를 이용하여 해당 위협에 대한 보안점검 지원 △기타 CCTV, IP-Camera에 대한 보안점검 지원 △데모 시연 및 관련 이슈에 대한 정보보안 교육 등을 지원한다고 밝혔다.

이에 국내 공공기관이나 기업 등에서는 외산 CCTV가 설치됐을 경우 해당 회사의 클라우드 서비스에 대한 IP 관리 및 접근통제를 강화하고, 검증되지 않은 제조사의 CCTV는 장비를 회수하거나 당분간 사용을 금지하는 것이 바람직하다. 또한, 사내에 보안이 검증된 기기 외에는 설치를 자제하고, 와이파이 및 블루투스 등을 통한 단말기 사용을 차단하는 정책이 필요하다는 지적이다.

그러나 국산 CCTV 제품의 경우 아무런 문제가 없는 만큼 범죄예방 등 다양한 측면에서 효용성이 높은 CCTV 전체에 대한 불신으로 이어져서는 안 된다는 우려도 나오고 있다.

미국과 중국을 비롯해 각국 간에 핵심기술 및 기밀정보 탈취를 위한 사이버 스파이전이 가열되고 있다. 최근 몇 년간 각종 스마트폰 앱을 비롯해 라우터 등 통신장비와 노트북에 설치된 각종 프로그램에 이르기까지 사용자 모르게 정보를 유출하는 행위가 빈번하게 벌어지고 있기 때문이다. 사물인터넷 시대를 본격 준비하는 이때, 이번 CCTV 백도어 사건으로 인해 각종 기기를 악용한 스파이활동 논란과 보안위협 문제가 다시 한번 논란의 불씨를 지필 것으로 보인다.

[민세아 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)