사물인터넷 안전하게 쓰는 방법은?..공유기의 역설

[이데일리 이유미 기자] 집에서 쓰는 인공지능 스피커나 IoT 전기 미터기 같은 사물인터넷(IoT) 제품을 안전하게 쓰는 방법은 뭘까.

보안 전문가들은 각종 IoT기기들은 인터넷을 직접 연결하기 보다는 공유기를 통해 연결하는 게 보다 안전하다는 입장이다.

해커는 직접 접근이 가능한 기기를 공격 타깃으로 더 선호한다. 공유기로 연결된 기기의 경우 해커가 외부에서 봤을 때 해당 기기가 어떤 기기인지 파악하기 어렵다.

하지만 아이러니 하게도 사물인터넷(IoT) 보안 위협 중 공유기를 통한 보안위협이 가장 많은 것으로 나타났다.

26일 한국인터넷진흥원(KISA)에 따르면 지난해 10월부터 올해 2월까지 버그바운티 신고 추이를 보면, IoT 취약점 중 공유기가 342건으로 57%를 차지했다. 다음으로는 IP카메라가 100건으로 17%, NAS가 57건으로 9%를 차지했다.

버그바운티는 소프트웨어(SW)의 신규 취약점을 찾아 신고하면 포상금을 지급하는 제도로 KISA에서 운영하고 있다.

또 지난해 이후 부터는 IoT 취약점 신고가 애플리케이션이나 CMS, 액티브X보다 월등히 많았다. 지난해 IoT 취약점 신고는 362건, 애플리케이션은 125건, CMS는 89건이었다. 올해 1분기에도 IoT가 99건으로 가장 많았으며 다음이 애플리케이션(39건)이었다.

(자료=한국인터넷진흥원)

그렇다면 집에서 IoT 기기를 쓸 때 안전하게 공유기를 사용하는 방법은 없을까.

전문가들은 비밀번호만 바꿔도 어느정도 안심이라고 조언했다.

IoT에서 최근 가장 많이 발견되는 악성코드 감염 위협은 취약점 해킹이 아닌 제조사에서 기본을 설정해놓은 비밀번호를 수집해 공격하는 방식이기 때문이다.

제조사에서는 기기를 만들고 판매할 때 기본 비밀번호를 설정하고, 나중에 사용자가 기기를 사용할 때 비밀번호를 변경해야하는 방식이다.

하지만 많은 사용자가 기본으로 설정된 비밀번호를 변경하지 않고 사용하는 경우가 많다. 기본 비밀번호는 구글이나 웹사이트를 통해 제조사 매뉴얼 검색 등으로 비교적 쉽게 찾아낼 수 있다.

손기종 KISA 연구원은 “미라아 악성코드 공격자도 제조사 기본 비밀번호를 수집해 모아서 공격했다”면서 “수집된 비밀번호를 IoT 기기에 대입해서 로그인에 성공하면 악성코드에 감염시키고 디도스 공격 등을 하는 방식”이라고 설명했다.

이어 “어떤 취약점으로 해킹하는 것이 아니라 기본 비밀번호만으로 해킹하는 것은 굉장히 쉬운 해킹 방식”이라며 “비밀번호만 바꿔도 해킹을 어느정도 막을 수 있다”고 강조했다.