[이데일리 이소현 강민구 윤정훈 기자] 최근 유럽에서 발생한 냉장설비 해킹 사건의 핵심은 인터넷을 통해 전달된 명령이 실제 설비의 작동에 영향을 미쳤다는 점이다. 사이버 공간에서 시작된 공격이 식품 폐기와 영업손실이라는 현실의 피해로 이어진 것이다. 사건의 배경에는 ‘초연결 사회의 역설’이 자리 잡고 있다. 냉장설비를 네트워크에 연결하면 여러 점포의 온도와 에너지 사용량을 한곳에서 감시하고, 장애가 발생했을 때 원격으로 대응할 수 있다. 그러나 이러한 관리통로가 인터넷에 노출된 상태에서 기본 비밀번호나 오래된 소프트웨어까지 사용한다면 상황은 달라진다. 관리 효율을 높이기 위해 마련한 통로가 오히려 공격자의 침입 경로로 악용될 수 있기 때문이다.

국내 보안 전문가들은 이번 사건을 유럽의 특정 지역에서 발생한 예외적인 사고로 볼 것이 아니라, 국내에서도 점검해야 할 공통적인 보안 위험을 드러낸 사례로 받아들여야 한다고 지적한다.

5G와 초연결 기술이 확산하면서 냉장고뿐 아니라 에어컨, 인공지능(AI) 스피커, 로봇청소기 등 다양한 사물인터넷(IoT) 기기가 일상에 깊숙이 들어왔기 때문이다. 생활가전부터 산업설비까지 인터넷에 연결되는 기기는 빠르게 늘고 있지만, 보안인증을 받은 제품은 제한적이고 장기간 사용되는 기기의 보안 업데이트와 사후관리에도 한계가 있어 대응책 마련이 요구된다.

◇공격 경로는 넓어졌는데 보안·사후관리는 제자리

IoT 기기의 가장 큰 장점은 편의성이다. 사용자는 외부에서도 기기의 작동 상태를 확인하고 전원을 켜거나 온도를 조절할 수 있다. 그러나 연결 기능이 다양해질수록 외부에서 접근할 수 있는 경로도 늘어난다. 특히 로봇청소기처럼 무선인터넷과 카메라, 마이크 등을 탑재한 제품은 보안에 허점이 생길 경우 단순한 기기 오작동을 넘어 사생활 침해로 이어질 수 있다.

실제 국내에서 유통되는 생활가전에서도 보안 취약점이 확인됐다. 한국인터넷진흥원(KISA)과 한국소비자원이 지난해 국내 유통 로봇청소기 6개 제품을 점검한 결과, 일부 제품에서 사용자 인증절차가 미흡해 촬영한 사진을 외부에서 열람하거나 카메라를 강제로 활성화할 수 있는 취약점을 확인했다. 펌웨어 보안설정 등에서도 개선이 필요한 사항이 발견됐다.

문제는 새롭게 출시되는 제품뿐만이 아니다. 오래전에 구축된 IoT 시스템은 최신 보안 요구사항을 충분히 반영하지 못했거나 제조사의 보안 업데이트 지원이 종료됐을 가능성이 있다. 기기가 정상적으로 작동한다는 이유만으로 계속 사용하다 보면, 알려진 취약점이 장기간 방치될 수 있다는 의미다.

국내에서도 IoT 보안인증을 비롯한 보안 강화 제도가 운영되고 있지만, 인증제도가 이미 설치된 모든 기기의 안전성을 보장하는 것은 아니다. 특히 인증이 의무가 아닌 제품이나 장기간 사용되는 설비에 대한 지속적인 보안 점검과 사후관리에는 한계가 있다는 지적이 나온다.

국회 입법조사처가 지난 7월 발간한 보고서에 따르면 IoT 보안인증은 자율인증 방식으로 운영되고 있으며, 최근 5년간 연평균 인증 건수는 약 90건에 머물렀다. 현행 정보통신망법에는 시장에 유통되는 IoT 제품에 대한 사전 실태점검 근거와 점검 절차, 결과 공개, 개선 명령 및 사후관리 체계 등이 충분히 규정돼 있지 않아 제도적 보완이 필요하다는 분석이다.

정보보호산업진흥포털에 따르면 올해 11월 7일 기준 IoT 보안인증을 받은 제품은 31건으로 집계됐다. 인증을 받은 제품 자체가 제한적인 데다 국내 시장에는 다양한 해외 제조사의 제품도 유통되고 있어, 인증제도의 실효성과 적용 범위를 확대할 필요성이 제기된다.

여기에 IP카메라와 로봇청소기 등 영상·음성 수집 기능을 갖춘 IoT 기기가 다양해지고, AI 기술의 발전으로 사이버 공격 수법까지 고도화하면서 보안 위협은 더욱 복잡해지고 있다.

문희찬 한양대 교수는 “IoT 기기가 다양해지는 가운데 로봇청소기는 무선인터넷과 카메라, 마이크 등을 포함하고 있어 큰 보안 위협이 될 수 있다”며 “새로운 기기가 빠르게 발전하는 상황에서 기업의 보안인증이 의무가 아니고, 인증제도 역시 변화하는 기술 흐름에 즉각 대응하기 어렵다는 한계가 있다”고 설명했다.

◇병원·스마트양식장 등 잠재적 공격 가능성

IoT 보안 위협은 가정용 기기에만 국한되지 않는다. 냉장·공조·출입통제 등 각종 설비가 네트워크로 연결된 병원과 상업시설, 농업·수산업 현장에서도 유사한 위험이 발생할 수 있다.

국내 보안 전문가들이 특히 우려하는 것은 보안지원이 종료됐거나 관리가 미흡한 설비를 장기간 사용하는 환경이다. 장비가 정상적으로 작동한다는 이유로 인터넷 연결을 유지하면, 보안 취약점이 발견돼도 이를 제때 해결하지 못하는 사각지대가 생길 수 있다.

따라서 국내 시설에서도 외부에서 접근할 수 있는 장비와 관리 시스템을 파악하고, 누가 어떤 권한으로 접속하는지 점검할 필요가 있다. 인터넷에 직접 노출된 원격관리 화면은 없는지, 기본 비밀번호를 그대로 사용하고 있지는 않은지, 소프트웨어와 펌웨어의 보안 업데이트가 정상적으로 이뤄지고 있는지도 확인해야 한다.

특히 업무용 서버에 적용하는 보안 관리가 냉장·공조·출입통제 등 현장 설비까지 이어지고 있는지가 중요하다. 중앙관리 시스템이나 원격 유지보수 계정 하나가 여러 장비와 연결돼 있다면, 해당 관리통로의 보안이 무너졌을 때 피해가 여러 설비로 확산될 가능성도 있기 때문이다.

더 큰 문제는 인터넷에 연결된 설비가 늘어날수록 사이버 공격의 영향이 의료와 식량 생산, 주거 등 일상 전반으로 확대될 수 있다는 점이다.

병원의 의약품·혈액 보관설비나 스마트 양식장의 수온·산소 공급 장치, 비닐하우스의 난방·환기 시스템 등이 대표적이다. 이러한 설비가 외부 공격으로 비정상 작동하면 단순한 시스템 장애를 넘어 보관물 손상과 생산 차질, 안전 문제로 이어질 수 있다.

하영빈 에버스핀 대표는 “의약품·혈액 보관설비의 온도가 조작되거나 주요 설비가 멈추면 보관물 손상을 넘어 진료 차질과 환자 안전 문제로 이어질 수 있다”며 “스마트 양식장의 수온·산소 공급이나 비닐하우스의 난방·환기 시스템이 조작되면 어류가 집단 폐사하거나 농작물이 손상될 수 있다”고 설명했다.

이어 “온라인으로 제어할 수 있는 전기차와 주거용 냉난방 설비 등 인터넷에 연결된 모든 기기가 잠재적인 공격 대상이 될 수 있다”고 덧붙였다.