“국내 IP카메라 80%가 중국산”...잇따른 해킹 사고에 대응법은?

사이버 보안기업 ‘씨큐비스타’
개인·기업별 대응 방안 발표

지난달 정부는 IP(인터넷 프로토콜) 카메라 보안 대책의 일환으로 비밀번호 설정 등 보안 수칙을 지키지 않은 채 IP 카메라를 달아 유출 사고를 막지 못한 사업장에 매출액의 3% 이내 과징금을 부과하기로 했다. 다만, 정식 수입이 아니어서 국내 전파 인증(KC 인증) 대상이 아닌 IP 카메라를 개인이 직구할 경우의 제재 수단은 이번 대책에 포함되지 않았다. 현재 1인 1개에 한해 IP 카메라를 해외 직구할 수 있다. [연합뉴스]

최근 국내 IP카메라의 80%를 차지하는 중국산 IP카메라 보안 문제가 사회 이슈로 부각되고 있는 가운데, 일반 가정 뿐 아니라 기업, 정부기관에서 현재 사용 중인 중국산 와이파이 공유기 및 IP캠 등 IT기기를 노리는 해킹이 늘어나고 있어 각별한 주의가 필요하다.

11일 사이버 보안기업 ‘씨큐비스타’에 따르면 중국산 IT기기가 문제가 된 것은 이번이 처음이 아니다. 지난 9월 중국 음란물 사이트에 한국 산부인과 분만실, 수영장, 왁싱숍 등 일반인들의 신체 노출 영상 수백여건이 게재된 실태가 대중에 공개됐으며, 2020년 국방분야 고성능 감시장비 구축 사업으로 수도권 강변과 해안, 강원도 항만 등 전국에 설치한 260여대의 감시용 CCTV에서도 수백건의 오류가 발생해, ‘백도어’를 통해 이들 영상데이터가 중국으로 유출될 수 있다는 우려가 꾸준히 지적돼 왔다.

백도어는 컴퓨터, 모바일 등에서 정상적인 보안 조치를 우회해 시스템에 접속, 컨트롤 할 수 있는 해커들의 침입경로를 말한다. 만일 CCTV가 일반 인터넷과 분리된 ‘단독망’이며 해킹 가능성이 없다고 하더라도, 전문 해커라면 망이 분리된 상태에서도 연결점을 찾아 중요 정보를 유출할 가능성이 있기 때문에 작은 오류 발생을 시작으로 개인정보유출 및 금융사고, 안보의 취약성으로 이어질 수도 있다.

이와 관련해 씨큐비스타 관계자는 “중국산 CCTV·IP 카메라는 3~4만 원대로 매우 저렴해 국내 감시카메라 시장을 사실상 장악하고 있지만, 네트워크를 사용하는 거의 대부분의 중국산 제품에서 백도어가 발견됐다고 각국의 정부가 경고하고 있다”면서 “국내에서도 중국 제품에서 백도어가 발견됐지만 아직 정부 제재가 없어, 언제든 쉽게 해킹될 수 있는 CCTV와 IP캠에 국민 대다수가 무방비로 노출돼 있는 상황”이라고 지적했다.

그러면서 “중국산 IT기기 보안 문제를 근본적으로 해결하기 위해선 개인과 기업, 정부 차원에서 실질적인 대책과 역할을 다해야 한다”고 주문했다.

보안 이미지컷. <출처= 게티이미지뱅크>

구체적으로 씨큐비스타는 개인과 소규모 사용자의 경우 제품 선택 단계에서부터 신뢰할 수 있는 브랜드를 우선 고려해야 한다고 당부했다. 값싼 제품보다는 국제 보안 인증기기를 선택하고, 펌웨어와 소프트웨어를 항상 최신 상태로 유지해야 한다는 조언이다.

씨큐비스타 측은 “초기 비밀번호를 반드시 변경하고, 강력한 비밀번호를 사용하는게 중요하다”면서 “특히 최신 암호화 방식을 적용해 불필요한 원격 접속을 차단하는 등 기본적인 보안 설정도 철저히 해야한다”고 전했다. 또 기기 사용 시 개인 정보 입력을 최소화하고, 음성 녹음이나 위치 추적 등 불필요한 기능은 비활성화하는 것이 좋다고 이 회사는 강조했다.

기업과 조직의 경우에는 인증받은 IT기기만을 사용하고, 공급망을 철저히 검토해야 한다.

씨큐비스타는 “민감한 데이터를 다루는 시스템의 경우 인터넷과 물리적으로 분리된 네트워크를 사용해야 안전하며, 정기적인 보안 점검을 통해 기기의 백도어 여부를 확인하고, 해킹 시뮬레이션 테스트로 잠재적인 취약점을 미리 탐지해야 한다”고 설명했다. 이와 함께 네트워크 접근 통제를 강화하고, 불필요한 기능은 비활성화하며, 네트워크 보안 솔루션을 도입해 외부 공격에 대비해야 한다고 덧붙였다.

지난달 정부는 IP(인터넷 프로토콜) 카메라 보안 대책의 일환으로 비밀번호 설정 등 보안 수칙을 지키지 않은 채 IP 카메라를 달아 유출 사고를 막지 못한 사업장에 매출액의 3% 이내 과징금을 부과하기로 했다. 다만, 정식 수입이 아니어서 국내 전파 인증(KC 인증) 대상이 아닌 IP 카메라를 개인이 직구할 경우의 제재 수단은 이번 대책에 포함되지 않았다. 현재 1인 1개에 한해 IP 카메라를 해외 직구할 수 있다. [연합뉴스]

특히 정부와 공공기관은 수입 규제와 인증 시스템을 강화해 보안 검증을 통과하지 못한 제품의 수입 및 사용을 제한해야 한다고 씨큐비스타는 강조했다. 공공기관과 국가중요기반시설에는 검증된 장비만 사용하도록 법적 규제를 마련하고, 국산 보안 기술과 IT 제품 개발을 적극 지원해야 한다는 얘기다.

회사 관계자는 “무엇보다 국가 수준의 보안 인증 체계를 마련해 모든 네트워크 연결 기기에 대해 보안성을 확보하고, 국민이 IT기기의 보안을 스스로 관리할 수 있도록 교육 및 캠페인을 통해 경각심을 높여야 한다”면서 “이와 더불어 국제 협력을 통해 백도어 문제를 해결하고, 공통 표준을 수립해 신뢰성을 확보해야 한다”고 의견을 제시했다.

기술적 대책 마련도 필요하다.

기술적 대응을 위해서는 ‘인공지능(AI) 또는 고급분석 기법 기반의 NDR(네트워크 탐지 및 대응)’ 기술을 도입해 비정상적인 네트워크 트래픽을 실시간 탐지하고 대응할 수 있는 시스템을 구축해야 한다. 발전소·공항·군사시설 등 국가중요기반시설에는 독립적이고 폐쇄된 네트워크를 운영해 외부 해킹 가능성을 차단하고, 백도어를 탐지할 수 있는 전문 솔루션을 적용해 보안을 강화해야 한다고 이 회사는 주문했다.

전덕조 씨큐비스타 대표는 “정부와 기업의 적극적인 참여가 선행돼야 중국산 IT기기 해킹사고로부터 개인의 보안 위험을 효과적으로 줄일 수 있다”면서 “각각의 기관이 대응책을 단계적으로 실행하고 보안리스크를 최소화시켜 안전한 디지털 환경을 구축해 나가야 할 것”이라고 말했다.

[ⓒ 매일경제 & mk.co.kr, 무단 전재, 재배포 및 AI학습 이용 금지]