프린터부터 세그웨이까지…IoT 해킹 '비상'

출력물이 제멋대로 나오고…'전동휠' 타고가다 갑자기 속도 '뚝'

KAIST연구팀, 블루투스 취약점 분석
PC보다 보안 취약…해커들 새로운 먹잇감
불필요한 연결 줄이고 비밀번호 자주 바꿔야

일러스트=조영남 기자 jopen@hankyung.com

한 사람이 대학 건물 복도에서 1인용 이동수단인 세그웨이 ‘나인봇 미니 프로’를 타고 있었다. 별도의 조작을 하지 않았지만 갑자기 세그웨이 속도가 느려져 운행자의 몸이 앞으로 쏠리면서 자칫 부상을 입을 뻔한 상황이 벌어졌다. 세그웨이 비밀번호 인증 과정을 해킹해 원격으로 최고 속도를 시속 20㎞에서 5㎞로 낮췄기 때문이다.

소프트웨어 보안 국제공동연구센터(CSSA) 주최로 지난 7일 서울 안암동 고려대 하나스퀘어에서 열린 ‘제1회 IoT큐브 콘퍼런스’에서 KAIST연구팀(박민준 연구원 등)은 블루투스 취약점을 이용해 스마트폰으로 세그웨이를 원격 제어하는 시연 동영상을 공개했다. 블루투스 취약점을 이용하면 사이버 공격자의 스마트폰으로 세그웨이, 전기 스케이트보드 등 전동 이동수단을 운행자 의도와 다르게 운행할 수 있다는 게 입증됐다.

최근 국내에서도 프린터를 통한 해킹 피해가 실제로 발생하는 등 사물인터넷(IoT) 기기의 보안 취약점을 이용한 사이버 공격 사례가 늘고 있다.

국내 보안업체 이스트시큐리티에 따르면 인쇄 명령을 내리지 않았는데 ‘프린터를 통해 해킹됐다’는 영문 메시지가 자동으로 출력됐다는 피해 건수가 다수 접수됐다. 인터넷에 연결된 프린터에 무선으로 인쇄 명령을 내리거나 특정 이메일 주소로 인쇄 정보를 전송하는 기능을 활용한 것이다.

전문가들은 인터넷에 연결된 IoT 기기가 늘면서 이들 기기의 보안 취약점을 노리는 해커도 급증하고 있다고 설명했다. 이희조 CSSA 센터장은 “장난감, 가전제품 등 인터넷에 연결되는 기기가 늘어나면서 사이버 공격 위협도 증가하고 있다”며 “컴퓨터에 비해 이들 기기의 보안 설계와 관리를 소홀히 하기 때문에 해커들의 새로운 타깃이 되고 있다”고 말했다. 시장조사기관 가트너는 세계적으로 IoT 연결 기기 수가 지난해 64억개에서 2020년에는 세 배 이상인 208억개에 달할 것으로 전망했다.

IoT 기기 공격에 활용할 수 있는 악성코드나 네트워크 정보를 쉽게 구할 수 있다는 점도 공격이 빠르게 확산되는 요인 중 하나로 꼽힌다.

이번 프린터 해킹은 IoT 기기를 검색할 수 있는 사이트인 ‘쇼단(shodan.io)’의 정보를 활용해 세계 온라인 프린터와 포스(POS) 단말기 등에 악의적인 출력 명령을 내린 공격집단에 의해 일어난 것으로 추정됐다. 대규모 분산서비스거부(디도스·DDoS) 공격용 봇넷을 만들 수 있는 미라이 악성코드가 공개되면서 이를 활용한 디도스 공격도 증가했다. 미라이 코드를 심은 IoT 기기를 통해 인터넷호스팅서비스 업체 딘(Dyn)이 공격을 받으면서 지난해 10월 미국에서 아마존, 넷플릭스를 비롯한 1200개 이상의 웹사이트 서비스 접속이 2~3시간 동안 마비되기도 했다.

글로벌 보안업체 시만텍은 올해 IoT 기기를 노린 사이버 공격이 늘 것이란 전망을 내놓으면서 △인터넷에 연결된 기기의 보안 기능 확인 △자동으로 부여되는 비밀번호 등 보안 설정 변경 △불필요한 원격 접근 기능 비활성화 등의 보안 수칙을 지켜야 한다고 조언했다.

추가영 기자 gychu@hankyung.com