IoT 해킹: 스마트 플러그로 집안을 해킹하다

맥아피의 연구팀이 벨킨의 'Wemo Insight Smart Plugs'에서 원격으로 해킹할 수 있는 취약점을 발견했다. 이 스마트 플러그는 와이파이로 연결되는 IoT 기기이다. 해당 취약점은 CVE-2018-6692로 등록됐으며 5.21일에 벨킨에 통보됐다.

이 취약점은 원격으로 스마트 플러그의 보안 장치를 우회하여, 플러그를 완전히 장악할 수 있는 것이다. 간단하게는 플러그를 켜고 끄거나 과부하를 유발할 수 있다. 그러나 이것은 약과다. 이 스마트 플러그는 많은 Linux 명령어를 내장하고 있고, 와이파이를 통해 홈 네트워크에 연결되어 있기 때문에, 전체 네트워크를 해킹하는 발판(middleman)이 될 수 있다.

연구팀은 스마트 플러그의 명령어를 통해 악성 스크립트를 다운로드해 실행해서, 같은 네트워크에 있는 스마트 TV를 조작해 보였다. 물론 스마트 TV 역시 자체적인 취약점이 있었기에 가능한 일이었다. 스마트 TV를 켜고 끄거나, 앱을 설치하거나 삭제하는 것이 가능했고, 임의의 온라인 콘텐츠를 재생하는 것도 가능했다.

이것은 보안회사의 연구였지만, 실제로 IoT 기기를 해킹한 후 이를 통해 전체 네트워크를 해킹한 사건이 있었다. 미국의 한 카지노가 어항에 있는 온도계를 통해 해킹당한 것이다.

스마트 홈이니 인공지능 비서니 하면서 집안의 기기들이 IoT 기기로 빠르게 대체돼 가고 있다. 편리한 반면에, 단 하나의 취약한 기기로 인해 온 집안이 위험에 빠질 수도 있게 됐다. 조만간 펜치로 창문을 뜯고 들어오는 도둑은 사라지고, 스마트 도어록을 해킹해 당당히 문 열고 들어오는 도둑을 보게 될 것이다.

IoT 기기에 대한 보안 수칙은 다음과 같다.

기기를 구입하는 단계부터 보안을 염두에 둔다. 신뢰할 수 있는 회사, 제품을 선택하도록 한다. 인터넷 검색도 도움이 된다.

기본 암호는 반드시 바꾸고, 설치하자마자 업데이트를 확인한다. 요즘은 정부 지침에 따라 기본 설정된 암호도 조금은 복잡해 보인다. 그러나 회사마다 패턴이 있기 때문에 해커가 비교적 쉽게 알아낼 수 있다. 따라서 강력한 암호로 변경해야 한다. 또한 재고 기간이 있기 때문에 방금 산 제품이라도 소프트웨어는 최신이 아닐 수도 있으므로, 업데이트를 확인해야 한다.

사용 중에도 소프트웨어 업데이트에 신경 써서, 최신 버전으로 유지해야 한다.

라우터(공유기) 보안에 특히 노력해야 한다. 라우터가 취약하면 연결된 기기 전체가 위험해진다. 맥아피 같은 일부 보안회사에서 전용 보안 소프트웨어가 내장된 가정용 라우터를 출시했다. 아직은 시장 초기라 지켜볼 필요가 있지만, 활성화된다면 고려해 볼만 하다.


관련 자료

1. IoT 온도계로 카지노를 해킹하다
2. 와이파이(Wi-Fi) 보안 설정

참고 자료

1. McAfee ATR Team Discovers New IoT Vulnerability in Wemo Insight Smart Plugs
2. ‘Insight’ into Home Automation Reveals Vulnerability in Simple IoT Product