전기 테이프 하나로 테슬라 가속시키기...모의 해킹 하다가 체포되기도
7개월 동안 온갖 공격에 시달리 공장, 알고 보니...빛으로도 명령 내리는 것 가능
[보안뉴스 문가용 기자] 2020년 코로나라는 거대한 사건을 뚫고 사람들의 관심을 끌었던 해킹 사건에는 어떤 것들이 있었을까? 모두가 노심초사 수고했던 한 해를 뒤로하게 된 것을 축하하며 이번 주 본지는 여러 가지 해킹 사건들 중 가장 흥미로웠던 것을 꼽아보았다.
테슬라, 테슬라, 테슬라
보안 업체 맥아피(McAfee)의 연구원들이 테슬라의 무인 자동차들 중 오래된 모델들을 속여 위험한 속도로 가속하게 하는 데 성공하는 사건이 있었다. 대단한 해킹 기술을 사용한 것도 아니었다. 그저 까만색 전기 테이프를 교통 표지판에 붙였을 뿐이었다. 35mph라는 속도 안내판을 85로 바꿨더니 테슬라의 자동차가 속도를 크게 높이더라는 게 이 사건의 요지다.
사실 이 실험으로 진짜 문제가 되었던 건 테슬라 차량에 탑재되어 있는 모빌아이(Mobileye) 제품, 아이큐3(EyeQ3)라는 장치였다. 다행히 전기 테이프로 속일 수 있었던 건 예전 버전이고, 새로운 버전들은 이런 정도의 공격에 당하지 않는 것으로 나타났다. 게다가 테슬라도 최신 모델에서는 모빌아이 제품들을 전혀 사용하지 않고 있다.
맥아피는 “이번 실험의 목적은 스마트카의 위험성을 알리는 것이 아니라, 무인 자동차가 세상에 돌아다니기 전까지 해결해야 할 과제가 엄청나게 많다는 것을 알리는 것”이라고 설명했다. “10~20년 정도의 시간이 지나면 누군가 스마트카들을 속이기 위해 이러한 장난을 실제로 할 가능성이 높다고 봅니다. 지금은 실험에 그쳤지만, 앞으로 이런 문제는 현실이 될 것이며, 따라서 누군가 생명을 잃기 시작할 것입니다.”
위험한 모의 해킹의 세계
보통 모의 해킹을 통한 침투 실험이나 물리적 모의 침투 실험은 양자 간의 합의 하에 이뤄지기 때문에 법적 책임에서 자유로워진다. 하지만 레드팀 전문가인 개리 드 머큐리오(Gary De Mercurio)와 저스틴 윈(Justin Wynn)에 의하면 이 사정이 조금 달라질 수 있다고 한다.
이들은 2019년 9월 11일, 아이오와 주의 법원에 대한 모의 해킹 및 물리 침투 실험을 마무리 짓다가 생의 향방이 바뀌는 경험을 했다. 댈러스 카운티 법원의 정문을 플라스틱 도마로 깨고 들어간 둘은 법원 내에서 여러 가지 취약점 점검을 실시하다가 경보를 울리게 됐다. 경보가 울리자 경비원들과 담당자, 당직 요원들이 몰려왔다. 하지만 아이오와 주의 허가를 받고 실시한 모의 실험이었다는 것을 듣고 모두 다 안심하는 분위기였다.
그러나 댈러스 카운티의 보안관이 등장하면서 분위기가 달라졌다. 이 보안관은 머큐리오와 윈의 손에 수갑을 채우고 감옥에 가뒀다. 둘을 각기 다른 방에 가두고는 밤을 보내게 했다. 그리고 중범죄 혐의를 씌워 고소했다 이 때문에 두 보안 전문가는 5개월이나 지지부진한 법정 싸움을 진행해야만 했다. 법원에 대한 관할권이 누구에게 있는가 하는 정치적 싸움이 이 사안에 겹치는 바람에 싸움이 길어졌던 것이다. 게다가 아이오와 주는 이 둘의 클라이언트였음에도 두 사람의 법적 권한을 부인했다.
이들이 완전히 석방된 건 1월의 일이었다. 다행히 둘에게 아무런 법적 책임이나 범죄적 의도가 없었다는 것을 판사가 인정한 것이다. 하지만 호된 경험을 했던 둘은 모의 해커들이 같은 일을 겪지 않도록 각종 행사에서 여러 가지 주의 사항을 강조하고 있다. “통화는 항상 녹음하세요. 그리고 계약 내용을 분명하고 확실하게 정해서 서명을 하셔야 합니다. 이러한 법적 절차에 대한 안일함이 큰 곤란으로 다가올 수 있습니다.”
7개월 동안 온갖 공격 다 받은 공장
산업용 프로토타입 전문 기업인 미테크(MeTech)는 2019년 다양한 사이버 공격에 당했다. 랜섬웨어는 물론, 원격 접근 도구에 감염되기도 했었고, 누군가 미테크 네트워크에서 암호화폐를 채굴하기도 했다. 심지어 온라인 사기 공격도 당하고, 봇넷 유형의 멀웨어에 감염되기도 했었다. 이 모든 일들이 불과 7개월 동안 일어났다고 한다.
문제는 미테크의 ICS 네트워크가 인터넷에 고스란히 노출되어 있다는 것이었다. 쇼단(Shodan)과 같은 검색 엔진을 통해 쉽게 접근할 수 있었고, 한 보안 전문가가 이 점에 대해 수차례 경고했다. 제발 좀 ICS 네트워크를 인터넷에서 차단하라고 요청했다. 그런데 보안 업체 트렌드 마이크로(Trend Micro)가 그에게 연락을 했다. 진정하라는 내용이었다. 알고 보니 미테크는 가상의 기업으로, 트렌드 마이크로가 진행하고 있던 거대 허니팟 작전의 일환이었다.
트렌드 마이크로는 미테크라는 기업의 웹사이트까지 만들어 두었을 뿐만 아니라 가짜 직원들, 가짜 PLC, 가짜 공장 네트워크 등을 주도면밀하게 구성했다. 그리고 이 곳을 침투하는 여러 가지 시도들을 연구 및 분석했다. OT 환경에서의 위협들을 대단위로 알아낼 수 있었다고 트렌드 마이크로는 훗날 밝혔다. “로보틱스 시스템에 접근해 전력을 내리려는 시도, 컨베이어 벨트를 갑자기 멈추려는 시도, 공장 네트워크 전체를 폐쇄시키려는 시도 등 다양한 일들이 일어났습니다.”
그러면서 트렌드 마이크로는 “인터넷에 직접 연결된 공장 시스템은 반드시 공격을 받게 되어 있다”고 경고했다. 랜섬웨어 공격도 당연히 있었다. 미테크는 가짜 공장이었지만, 공격자들은 그걸 알 리가 없었고, 랜섬웨어를 유포한 후 협상을 시도했다. 트렌드 마이크로는 이에 응해 실제 공장주들인 것처럼 행세하고 협성을 진행하기도 했었다. 당시 공격자들이 사용한 랜섬웨어는 크라이시스(Crysis)였다. 당연히 돈을 내지 않았다.
빛으로 너에게 명령을 내리나니
미국 미시건대학과 일본 전자통신대학의 연구원들이 2019년부터 음성 기반 디지털 어시스턴트의 해킹을 계속해서 연구해왔다가, 올해 큰 성과를 거뒀다. 디지털 어시스턴트가 탑재된 장비의 마이크로폰 요소에 빛을 쪼이면(레이저 포인터 등으로) 원격 조작이 가능하다는 사실을 알아낸 것이다. 이 방법으로 연구원들은 구글 어시스턴트(Google Assistant), 아마존 알렉사(Amazon Alexa), 페이스북 포탈(Facebook Portal), 애플 시리(Apple Siri)를 전부 해킹하는 데 성공했다.
특히 아마존 에코 3에 레이저 포인터를 쪼아, 장비에 연결된 보안 카메라를 조작한 것을 블랙햇 유럽(Black Hat Europe)에서 시연한 것이 큰 관심을 끌었다. 이들은 이 해킹을 성공시키기 위해 2천 달러 정도의 예산을 투자했을 뿐이라고 밝히기도 했다. 그러면서 이 공격에 ‘광령(Light Commands)’라는 이름을 붙이기도 했다. 2천 달러는 초기 투자 비용까지 합한 것으로, 이 이론이 정립된 후라면 100달러 안팎에서 해킹 공격을 성공시킬 수 있다고 연구원들은 발표했다.
하지만 연구원들은 아직 “음성을 인식하는 부품을 빛으로 조작할 수 있게 된 이유”를 정확히는 파악하지 못하고 있다고 한다. 즉 “마이크로폰이 왜 빛에 반응하는가?”에 대한 물리학적 근거가 아직 없다는 것이다. “작동의 원리에 대해 더 알아야 할 것들이 있습니다. 소리의 파동과 빛의 파동 사이의 연관성과, 마이크로폰이라는 전자부품이 이런 것들에 어떻게 반응하도록 설계된 것인지 좀 더 파고들어야 합니다. 그래야 미래 하드웨어 설계에 도움이 되는 연구 결과가 나올 테니까요.”
스마트 전구가 어두워지던 날
천장에 달린 스마트 전구가 사이버 공격의 도구가 될 수 있다는 상상, 쉽게 할 수 없는 것이다. 하지만 호기심 가득한 보안 연구원들이 이를 실제로 실행했다. 연구 대상은 필립스(Philips)에서 만든 휴 스마트 벌브(Hue Smart Bulb) 제품이었다. 스마트 전구 제품들 사이에서 널리 사용되는 직비(Zigbee)라는 통신 프로토콜의 취약점을 익스플로잇 하는 것이 연구의 목적이었다.
연구원들은 제일 먼저 직비에서 발견된 힙 기반 버퍼 오버플로우 취약점인 CVE-2020-6007을 익스플로잇 했다. 휴 스마트 전구의 컨트롤 브리지를 통해서였다. 익스플로잇에 성공한 후 연구원들은 전구에 대한 제어 권한을 가져갈 수 있게 되었다. 연구원들은 펌웨어 업데이트 인프라를 통해 멀웨어를 전구에 심었다. 그런 후 전구의 색과 밝기를 마음대로 조정해 전구의 주인이 스마트 전구를 고치도록 유도함으로써 자기도 모르게 멀웨어를 발동시키도록 할 수 있었다. 멀웨어는 스파이웨어, 랜섬웨어, 백도어 등 공격자가 입맛대로 고를 수 있었다.
연구를 진행한 보안 업체 체크포인트(Check Point)의 에얄 이트킨(Eyal Itkin)은 “결국 사물인터넷 장비들이 얼마나 취약하고 또 얼마나 위험할 수 있는지가 증명됐다”고 설명한다. “다만 이 공격에 성공하려면 공격자가 전구 제어 장치에 물리적으로 가까이 있어야 합니다. 실제 상황에서는 악성 내부자를 통한 공격이 가능할 수 있겠습니다.”
화상 도어벨도 위험하긴 마찬가지
화상 초인종에 대한 해킹 연구도 올해 진행됐었다. 보안 업체 NCC그룹(NCC Group)은 영국 소비자 보호 단체인 위치?(Which?)와 함께 11개의 덜 유명한 스마트 도어벨 제품들에 대한 분석을 시작했다. 그리고 대다수에서 와이파이망 이름, 비밀번호, 위치 정보, 사진, 영상, 이메일 등의 정보가 수집되고 어디론가 전송되는 것을 발견했다. 여기서 ‘어디론가’는 대부분 스마트 도어벨 생산자였다.
“정말 놀라웠던 건 와이파이 비밀번호를 암호화도 하지 않고 원격의 서버로 그냥 전송한다는 것이었습니다. 이런 기능이 왜 도어벨에 있어야 하는지 아직은 그 이유를 전부 알 수가 없습니다. 생산업체 측에서의 정당한 이유가 있을 수도 있습니다. 하지만 그것이 무엇이든 도어벨 사용자의 프라이버시가 심각하게 침해되고 있었습니다. 프라이버시만이 아니라 강력범죄에도 얼마든지 노출시킬 수 있을 정도로 정보가 새나가고 있었습니다.”
빅쳐(Victure)와 시트로닉스(Ctronics)라는 브랜드의 제품들에서는 피해자의 네트워크 비밀번호를 추출할 수 있게 해 주는 취약점마저 발견됐다. 이 취약점을 통해 가정 네트워크의 라우터에까지 접근할 수 있었다고 연구원들은 밝혔다. 이 브랜드의 제품들은 아마존에서 잘 나가고 있었다. 심지어 아마존의 추천 상품이라는 딱지마저 붙어 있던 상태였다. 빅쳐의 또 다른 제품들은 비밀번호와 같은 정보를 평문 상태로 중국의 서버로 전송하고 있기도 했다.
분석된 도어벨 제품의 대부분 디폴트 비밀번호가 매우 취약한 것으로 나타났다. “도어벨 구매를 하기 전에 소비자들이 해야 할 일이 있습니다. 이런 취약점 정보에 대해 조사를 하는 것이죠. 그리고 어지간하면 값싼 브랜드가 아니라 유명해서 여러 가지 해킹 실험의 대상이 될 만한 제품을 구매하시는 게 낫습니다.”
[국제부 문가용 기자(globoan@boannews.com)]
7개월 동안 온갖 공격에 시달리 공장, 알고 보니...빛으로도 명령 내리는 것 가능
[보안뉴스 문가용 기자] 2020년 코로나라는 거대한 사건을 뚫고 사람들의 관심을 끌었던 해킹 사건에는 어떤 것들이 있었을까? 모두가 노심초사 수고했던 한 해를 뒤로하게 된 것을 축하하며 이번 주 본지는 여러 가지 해킹 사건들 중 가장 흥미로웠던 것을 꼽아보았다.
[이미지 = utoimage]
테슬라, 테슬라, 테슬라
보안 업체 맥아피(McAfee)의 연구원들이 테슬라의 무인 자동차들 중 오래된 모델들을 속여 위험한 속도로 가속하게 하는 데 성공하는 사건이 있었다. 대단한 해킹 기술을 사용한 것도 아니었다. 그저 까만색 전기 테이프를 교통 표지판에 붙였을 뿐이었다. 35mph라는 속도 안내판을 85로 바꿨더니 테슬라의 자동차가 속도를 크게 높이더라는 게 이 사건의 요지다.
사실 이 실험으로 진짜 문제가 되었던 건 테슬라 차량에 탑재되어 있는 모빌아이(Mobileye) 제품, 아이큐3(EyeQ3)라는 장치였다. 다행히 전기 테이프로 속일 수 있었던 건 예전 버전이고, 새로운 버전들은 이런 정도의 공격에 당하지 않는 것으로 나타났다. 게다가 테슬라도 최신 모델에서는 모빌아이 제품들을 전혀 사용하지 않고 있다.
맥아피는 “이번 실험의 목적은 스마트카의 위험성을 알리는 것이 아니라, 무인 자동차가 세상에 돌아다니기 전까지 해결해야 할 과제가 엄청나게 많다는 것을 알리는 것”이라고 설명했다. “10~20년 정도의 시간이 지나면 누군가 스마트카들을 속이기 위해 이러한 장난을 실제로 할 가능성이 높다고 봅니다. 지금은 실험에 그쳤지만, 앞으로 이런 문제는 현실이 될 것이며, 따라서 누군가 생명을 잃기 시작할 것입니다.”
위험한 모의 해킹의 세계
보통 모의 해킹을 통한 침투 실험이나 물리적 모의 침투 실험은 양자 간의 합의 하에 이뤄지기 때문에 법적 책임에서 자유로워진다. 하지만 레드팀 전문가인 개리 드 머큐리오(Gary De Mercurio)와 저스틴 윈(Justin Wynn)에 의하면 이 사정이 조금 달라질 수 있다고 한다.
이들은 2019년 9월 11일, 아이오와 주의 법원에 대한 모의 해킹 및 물리 침투 실험을 마무리 짓다가 생의 향방이 바뀌는 경험을 했다. 댈러스 카운티 법원의 정문을 플라스틱 도마로 깨고 들어간 둘은 법원 내에서 여러 가지 취약점 점검을 실시하다가 경보를 울리게 됐다. 경보가 울리자 경비원들과 담당자, 당직 요원들이 몰려왔다. 하지만 아이오와 주의 허가를 받고 실시한 모의 실험이었다는 것을 듣고 모두 다 안심하는 분위기였다.
그러나 댈러스 카운티의 보안관이 등장하면서 분위기가 달라졌다. 이 보안관은 머큐리오와 윈의 손에 수갑을 채우고 감옥에 가뒀다. 둘을 각기 다른 방에 가두고는 밤을 보내게 했다. 그리고 중범죄 혐의를 씌워 고소했다 이 때문에 두 보안 전문가는 5개월이나 지지부진한 법정 싸움을 진행해야만 했다. 법원에 대한 관할권이 누구에게 있는가 하는 정치적 싸움이 이 사안에 겹치는 바람에 싸움이 길어졌던 것이다. 게다가 아이오와 주는 이 둘의 클라이언트였음에도 두 사람의 법적 권한을 부인했다.
이들이 완전히 석방된 건 1월의 일이었다. 다행히 둘에게 아무런 법적 책임이나 범죄적 의도가 없었다는 것을 판사가 인정한 것이다. 하지만 호된 경험을 했던 둘은 모의 해커들이 같은 일을 겪지 않도록 각종 행사에서 여러 가지 주의 사항을 강조하고 있다. “통화는 항상 녹음하세요. 그리고 계약 내용을 분명하고 확실하게 정해서 서명을 하셔야 합니다. 이러한 법적 절차에 대한 안일함이 큰 곤란으로 다가올 수 있습니다.”
7개월 동안 온갖 공격 다 받은 공장
산업용 프로토타입 전문 기업인 미테크(MeTech)는 2019년 다양한 사이버 공격에 당했다. 랜섬웨어는 물론, 원격 접근 도구에 감염되기도 했었고, 누군가 미테크 네트워크에서 암호화폐를 채굴하기도 했다. 심지어 온라인 사기 공격도 당하고, 봇넷 유형의 멀웨어에 감염되기도 했었다. 이 모든 일들이 불과 7개월 동안 일어났다고 한다.
문제는 미테크의 ICS 네트워크가 인터넷에 고스란히 노출되어 있다는 것이었다. 쇼단(Shodan)과 같은 검색 엔진을 통해 쉽게 접근할 수 있었고, 한 보안 전문가가 이 점에 대해 수차례 경고했다. 제발 좀 ICS 네트워크를 인터넷에서 차단하라고 요청했다. 그런데 보안 업체 트렌드 마이크로(Trend Micro)가 그에게 연락을 했다. 진정하라는 내용이었다. 알고 보니 미테크는 가상의 기업으로, 트렌드 마이크로가 진행하고 있던 거대 허니팟 작전의 일환이었다.
트렌드 마이크로는 미테크라는 기업의 웹사이트까지 만들어 두었을 뿐만 아니라 가짜 직원들, 가짜 PLC, 가짜 공장 네트워크 등을 주도면밀하게 구성했다. 그리고 이 곳을 침투하는 여러 가지 시도들을 연구 및 분석했다. OT 환경에서의 위협들을 대단위로 알아낼 수 있었다고 트렌드 마이크로는 훗날 밝혔다. “로보틱스 시스템에 접근해 전력을 내리려는 시도, 컨베이어 벨트를 갑자기 멈추려는 시도, 공장 네트워크 전체를 폐쇄시키려는 시도 등 다양한 일들이 일어났습니다.”
그러면서 트렌드 마이크로는 “인터넷에 직접 연결된 공장 시스템은 반드시 공격을 받게 되어 있다”고 경고했다. 랜섬웨어 공격도 당연히 있었다. 미테크는 가짜 공장이었지만, 공격자들은 그걸 알 리가 없었고, 랜섬웨어를 유포한 후 협상을 시도했다. 트렌드 마이크로는 이에 응해 실제 공장주들인 것처럼 행세하고 협성을 진행하기도 했었다. 당시 공격자들이 사용한 랜섬웨어는 크라이시스(Crysis)였다. 당연히 돈을 내지 않았다.
빛으로 너에게 명령을 내리나니
미국 미시건대학과 일본 전자통신대학의 연구원들이 2019년부터 음성 기반 디지털 어시스턴트의 해킹을 계속해서 연구해왔다가, 올해 큰 성과를 거뒀다. 디지털 어시스턴트가 탑재된 장비의 마이크로폰 요소에 빛을 쪼이면(레이저 포인터 등으로) 원격 조작이 가능하다는 사실을 알아낸 것이다. 이 방법으로 연구원들은 구글 어시스턴트(Google Assistant), 아마존 알렉사(Amazon Alexa), 페이스북 포탈(Facebook Portal), 애플 시리(Apple Siri)를 전부 해킹하는 데 성공했다.
특히 아마존 에코 3에 레이저 포인터를 쪼아, 장비에 연결된 보안 카메라를 조작한 것을 블랙햇 유럽(Black Hat Europe)에서 시연한 것이 큰 관심을 끌었다. 이들은 이 해킹을 성공시키기 위해 2천 달러 정도의 예산을 투자했을 뿐이라고 밝히기도 했다. 그러면서 이 공격에 ‘광령(Light Commands)’라는 이름을 붙이기도 했다. 2천 달러는 초기 투자 비용까지 합한 것으로, 이 이론이 정립된 후라면 100달러 안팎에서 해킹 공격을 성공시킬 수 있다고 연구원들은 발표했다.
하지만 연구원들은 아직 “음성을 인식하는 부품을 빛으로 조작할 수 있게 된 이유”를 정확히는 파악하지 못하고 있다고 한다. 즉 “마이크로폰이 왜 빛에 반응하는가?”에 대한 물리학적 근거가 아직 없다는 것이다. “작동의 원리에 대해 더 알아야 할 것들이 있습니다. 소리의 파동과 빛의 파동 사이의 연관성과, 마이크로폰이라는 전자부품이 이런 것들에 어떻게 반응하도록 설계된 것인지 좀 더 파고들어야 합니다. 그래야 미래 하드웨어 설계에 도움이 되는 연구 결과가 나올 테니까요.”
스마트 전구가 어두워지던 날
천장에 달린 스마트 전구가 사이버 공격의 도구가 될 수 있다는 상상, 쉽게 할 수 없는 것이다. 하지만 호기심 가득한 보안 연구원들이 이를 실제로 실행했다. 연구 대상은 필립스(Philips)에서 만든 휴 스마트 벌브(Hue Smart Bulb) 제품이었다. 스마트 전구 제품들 사이에서 널리 사용되는 직비(Zigbee)라는 통신 프로토콜의 취약점을 익스플로잇 하는 것이 연구의 목적이었다.
연구원들은 제일 먼저 직비에서 발견된 힙 기반 버퍼 오버플로우 취약점인 CVE-2020-6007을 익스플로잇 했다. 휴 스마트 전구의 컨트롤 브리지를 통해서였다. 익스플로잇에 성공한 후 연구원들은 전구에 대한 제어 권한을 가져갈 수 있게 되었다. 연구원들은 펌웨어 업데이트 인프라를 통해 멀웨어를 전구에 심었다. 그런 후 전구의 색과 밝기를 마음대로 조정해 전구의 주인이 스마트 전구를 고치도록 유도함으로써 자기도 모르게 멀웨어를 발동시키도록 할 수 있었다. 멀웨어는 스파이웨어, 랜섬웨어, 백도어 등 공격자가 입맛대로 고를 수 있었다.
연구를 진행한 보안 업체 체크포인트(Check Point)의 에얄 이트킨(Eyal Itkin)은 “결국 사물인터넷 장비들이 얼마나 취약하고 또 얼마나 위험할 수 있는지가 증명됐다”고 설명한다. “다만 이 공격에 성공하려면 공격자가 전구 제어 장치에 물리적으로 가까이 있어야 합니다. 실제 상황에서는 악성 내부자를 통한 공격이 가능할 수 있겠습니다.”
화상 도어벨도 위험하긴 마찬가지
화상 초인종에 대한 해킹 연구도 올해 진행됐었다. 보안 업체 NCC그룹(NCC Group)은 영국 소비자 보호 단체인 위치?(Which?)와 함께 11개의 덜 유명한 스마트 도어벨 제품들에 대한 분석을 시작했다. 그리고 대다수에서 와이파이망 이름, 비밀번호, 위치 정보, 사진, 영상, 이메일 등의 정보가 수집되고 어디론가 전송되는 것을 발견했다. 여기서 ‘어디론가’는 대부분 스마트 도어벨 생산자였다.
“정말 놀라웠던 건 와이파이 비밀번호를 암호화도 하지 않고 원격의 서버로 그냥 전송한다는 것이었습니다. 이런 기능이 왜 도어벨에 있어야 하는지 아직은 그 이유를 전부 알 수가 없습니다. 생산업체 측에서의 정당한 이유가 있을 수도 있습니다. 하지만 그것이 무엇이든 도어벨 사용자의 프라이버시가 심각하게 침해되고 있었습니다. 프라이버시만이 아니라 강력범죄에도 얼마든지 노출시킬 수 있을 정도로 정보가 새나가고 있었습니다.”
빅쳐(Victure)와 시트로닉스(Ctronics)라는 브랜드의 제품들에서는 피해자의 네트워크 비밀번호를 추출할 수 있게 해 주는 취약점마저 발견됐다. 이 취약점을 통해 가정 네트워크의 라우터에까지 접근할 수 있었다고 연구원들은 밝혔다. 이 브랜드의 제품들은 아마존에서 잘 나가고 있었다. 심지어 아마존의 추천 상품이라는 딱지마저 붙어 있던 상태였다. 빅쳐의 또 다른 제품들은 비밀번호와 같은 정보를 평문 상태로 중국의 서버로 전송하고 있기도 했다.
분석된 도어벨 제품의 대부분 디폴트 비밀번호가 매우 취약한 것으로 나타났다. “도어벨 구매를 하기 전에 소비자들이 해야 할 일이 있습니다. 이런 취약점 정보에 대해 조사를 하는 것이죠. 그리고 어지간하면 값싼 브랜드가 아니라 유명해서 여러 가지 해킹 실험의 대상이 될 만한 제품을 구매하시는 게 낫습니다.”
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
