‘좀 불안하긴 하지만 별일 없겠지’라는 생각,
가장 안전해야 하는 공간을 가장 불편한 공간으로 만듭니다.

우린 월패드를 너무 만만하게 봤어요

이 글을 읽기 전에 일단 집에 있는 월패드의 카메라를 가려 놓으세요. 최근 국내 아파트에 설치된 월패드가 해킹돼 집 내부 영상이 다크웹에서 팔리고 있거든요. 해킹된 아파트는 총 700여 곳, 우리 아파트가 해킹되었을지도 모릅니다. 더 문제인 것은, 지금은 해킹되지 않았어도 내일 당장이라도 해커들의 타깃이 될 수 있단 거예요. 아직 뾰족한 대안이 나오지 않았거든요.

l 편리함으로 무장한 스마트홈의 치명적인 단점

최근 지어진 아파트는 입구에서부터 경비원들이 24시간 철저히 출입자를 관리합니다. 1층 출입문도 번호나 카드키가 있어야 열리고, 방문자가 있을 땐 각 가정에서 문을 열어줘야 들어올 수 있어요. 이때 사용하는 것이 바로 월패드죠. 월패드는 단지 문만 열어주는 게 아니라 도어락, 조명, 난방, 카메라 등 가정 내 사물인터넷(IoT) 기능을 연동해 집 안에서 일어나는 모든 일을 제어할 수 있게 도와줍니다. 또 스마트폰으로도 월패드를 원격으로 제어할 수 있도록 서비스하고 있어요. 문제는 여기서 시작됩니다.

과거 아파트의 네트워크는 폐쇄망으로 구성되어 있어서 접근이 거의 불가능했어요. 외부의 공격자가 폐쇄망에 침입하기 위해서는 물리적으로 아파트 단지에 접근해 특정 세대나 관리사무소의 네트워크에 공략해야 했죠. 그런데 현재의 스마트홈 시스템들은 개방형으로 바뀌었어요. 5G 기반의 초연결 시대를 구축하기 위해 외부에서도 홈네트워크에 접속해 다양한 일들을 할 수 있도록 설계한 거예요. 누구나 아파트 네트워크에 접근이 가능하기 때문에 해킹의 위험이 그만큼 커진 겁니다.

그럼에도 불구하고 우리는 적절한 대처를 하지 못했습니다. 심지어 어떻게 비밀번호를 설정해야 하는지조차 모른 채 그냥 사용해왔어요. 그런데 이런 사실을 아파트 관리자나 시공사, 건축사가 몰랐을까요? 또 우리는 이런 사실을 전혀 모르고 사용했을까요? 아닐 거예요. 의심은 있었습니다. ‘위험하겠지만 별일은 없겠지’, 안일하게 대처했던 것이죠.

l 여러 차례 경고가 있었어요

월패드 보안 문제는 아주 오래전부터 수많은 보안 전문가들이 지적해왔습니다. 본격적으로 스마트홈 보안의 취약성이 제기된 건 2015년입니다. 고려대에서 개최된 '시큐인사이드2015' 컨퍼런스에 참석한 보안회사 그레이해시 소속 정구홍 수석연구원은 직접 자신이 거주하는 아파트 내 월패드를 뜯어내 분해한 뒤 이곳에서 여러 가지 취약점을 찾아냈다고 발표했어요. 월패드를 직접 조작하지 않고서도 네트워크로 연결된 노트북에서 원격으로 자신의 집 내 전등을 제어하고, 현관 도어락, 화상 카메라 등을 제어할 수 있는 방법을 공개한 것이죠.

2018년 1월에는 윤후덕 더불어민주당 의원이 공동주택 건축 시 가구 간 사이버 경계벽을 구축하도록 하는 내용의 주택법 개정안을 국회에 제출했습니다. 그해 4월에는 해킹방지 스마트홈 구축을 위한 보안전문가 국회 토론회가 열리기도 했고요. 이후 국토부가 국회의 지적에 동의하고, TF를 구성해 홈네트워크 해킹예방규칙 제정 방침을 발표했습니다. 2019년 4월 국토부와 산업부, 과기정통부가 '지능형 홈네트워크 설비 설치 및 기술기준' 에 세대간 망분리 조항 신설을 합의했지만, 이후 후속 작업은 계속 지연되어 왔습니다.

이번 일이 터지기 2개월 전인 지난 8월, 부산일보에서는 직접 월패드를 해킹하는 영상을 공개하기도 했어요.이 영상을 보면 홈네트워크에 접근하는 일이 별로 어렵지 않다는 걸 알 수 있습니다. 단 20분만에 출입문을 열어버렸거든요.

출처/ Youtube @부산일보

l 단지 카메라를 가리고 암호를 설정하는 것 외엔 대책이 없나요?

네 없습니다. 지금은 그래요. 해킹된 영상이 다크웹에 퍼지고 난 후, 과기정통부는 11월 24일 저녁에서야 ‘월패드 등 홈네트워크 기기 이용시 유의사항 및 홈·가전 IoT 보안 가이드’ 보도자료를 배포하며 기기 암호 설정 및 정보보호 인증 획득한 월패드를 이용하라고 안내했습니다. 그런데 이건 근본적인 해결책이 되지 못하다는 것 알잖아요. 적어도 안전장치 하나쯤은 마련해줘야 하지 않나 하는 아쉬움이 남습니다.

이에 관련 업계는 보다 현실적인 보안기술을 찾으려고 노력 중인데요, 그중 하나가 바로 ‘물리적 복제방지(PUF, Physical Unclonable Function)’ 기술입니다. PUF는 동일한 제조 공정에서 생산되는 반도체의 미세구조 차이를 이용해 물리적으로 복제가 불가능한 보안키를 생성하는 기술입니다. PUF 칩을 단지내 아파트 관리사무소의 서버단 또는 각 세대 내 월패드 단말에 심으면 사용자 인증은 물론, 펌웨어 보호 등의 측면에서 물리적으로 보안기능을 향상시킬 수 있다고 합니다. 다만 신규 아파트 단지에 적용하는 건 쉽겠지만 기존 아파트 단지에 PUF를 적용하기엔 어려움이 있어 보입니다. 누군가 비용을 부담해야 하는데, 이 부분에 협의가 되려면 좀 시간이 걸릴 것 같아요.

과기정통부와 국토교통부, 산업통상자원부, 3개 부처가 합동으로 마련했던 세대간 망분리 규정의 시행에도 속도가 날 것으로 보입니다. 내년 하반기부터 적용되도록 한다는 계획인데요, 이 또한 신규 분양아파트엔 의무 적용이 가능하지만 기존 아파트 단지에는 어떻게 적용될지 아직 미정인 상태입니다.

l 돈이 되는 아파트 단지망 해킹

그런데 이쯤에서 한 가지 궁금한 게 생깁니다. 해커들은 왜 갑자기 한국의 아파트 단지를 타깃으로 정했을까요? 해커의 공격패턴을 살펴보면, 일단 시스템을 장악한 후 바이러스를 퍼뜨려 시스템 자체를 마비시킵니다. 그리고 시스템 복구를 미끼로 돈을 요구하죠. 통신·금융·유통·게임 회사 등은 물론이고 네트워크로 연결된 모든 회사가 타깃이 될 수 있어요.

과거의 아파트는 해킹하더라도 얻을 수 있는 것이 거의 없었습니다. 개인 정보도 없었고, 아파트 단지를 통째로 제어할 힘을 가질 수 있는 것도 아니었죠. 하지만 개방형으로 바뀌어버린 현재의 아파트 네트워크망은 해커에게 아주 매력적인 먹잇감이라고 할 수 있어요. 이번엔 카메라로 녹화한 영상을 파는 정도로 마무리되었지만, 난방시스템에 침입해 실내온도를 높이거나 낮춘 뒤, 정상화를 조건으로 거액의 돈을 요구할 수도 있었습니다. 기업이 겪는 일과 비슷하죠. 그런데 기업에 비해 보안에 대한 인식은 그렇게 크지 않다는 게 문제인 것입니다.

l 우리 아파트에는 보안담당자가 있을까?

그래서 우리 아파트엔 보안담당자가 있을까요? 아니 출입자를 통제하는 보안경비업체 말고, ICT(정보통신기술, Information & Communications Technology) 전문가 말입니다

관련 업계에 따르면 대다수 아파트의 경우 구내통신설비 중 초고속인터넷 관련 설비의 유지관리는 통신사업자에게 맡기고 있어요. 홈네트워크, 방송공동수신설비, CCTV 등 구내통신설비들은 전문업체와 유지보수 계약을 체결해 관리하거나 관리사무소 직원이 자체 관리하는 경우가 대부분입니다. 한마디로 갖춰놓은 통신설비를 지켜보는 사람은 있지만, 소리 없는 방문자인 해커의 공격을 막아낼 수 있는 보안·네트워크 분야의 ICT 전문가는 없단 뜻이죠. 왜 그런지는 이해합니다. ICT 전문가는 (비싼) 고급인력이에요. 그 비용을 입주민들이 나눠서 부담해야 한다면 그 또한 교통정리가 필요할 테고, 만약 고용한다 해도 엄청난 공격을 방어해야할 만큼 일이 많진 않을 거라 생각하겠지요. 적어도 지금까진 그랬으니까요. 하지만 앞으론 상황이 달라지지 않겠어요? 이 허술한 보안 시스템을 겨냥한 화살이 점점 더 많이 날아들 겁니다. ICT 전문가를 고용해야 하는 건 당연한 결과인 것이죠.

우린 월패드를 만만하게 봤어요. 그저 단말기에 불과하다고요. 집과 연결된 모든 것을 통제할 수 있는 능력을 가졌다는 걸 알면서도 말이죠. 우리가 24시간 손에 쥐고 생활하는 스마트폰과 다를 게 있나요? 스마트폰은 1년에도 몇 번씩 보안을 위해 업데이트를 합니다. 누군가 내 사생활을 엿보지 못하게 비밀번호도 설정해 놓습니다. 그런데 우리 아파트의 홈네트워크는 어떤가요? 지켜주는 무언가가 있나요? 5G로 통신하는 초연결의 시대, 연결로 인해 생기는 이점보다 연결이 가진 문제점에 더 집중해야 하는 시대이기도 합니다. 가장 안전해야 하는 주거공간이 가장 위험한 공간이 되지 않게 하려면 책임감 있는 보안 의식과 관련 규정, 그리고 제조사의 노력이 뒷받침되어야 할 것입니다.

※ 참고자료
보안뉴스 <아파트 월패드 해킹 공포 확산! 우리집 월패드 보안, 어떻게 체크하나> https://bit.ly/3d3S6Bv
부산일보 <[단독 르포] 해커 클릭 한 번에 아파트 현관문이 열렸다(영상)> https://bit.ly/300B5Wg
ZDNET <최신 스마트홈, 보안 전문가가 직접 해킹해 봤더니...> https://bit.ly/3plB0VG
파이낸셜뉴스 <한집만 뚫려도 아파트 전체 해킹… 보안 규칙 3년넘게 표류> https://bit.ly/330X7Jz
정보통신신문 <[이슈] “보안전문가 대규모 아파트 단지에 상주시켜야”> https://bit.ly/3xwXJBH
CCTV뉴스 <무방비로 위협에 노출되어 있는 홈네트워크 보안> https://bit.ly/3d3SfF3
보안뉴스 <아파트 월패드 해킹 후폭풍, 보안기술 대안 찾아라> https://bit.ly/3Gvx8bN