사물 인터넷(IoT) 기기는 도난이나 침입 같은 현실 속 위협으로부터 우리를 지켜주는 데는 효과적이지만, 정작 프라이버시 침해로부터는 그다지 훌륭하게 보호해 주지 못합니다. 스마트 스피커, IP 카메라, 스마트 도어벨 등 편리함을 약속하는 이 기기들은 동시에 개인 정보를 노출시킬 수 있는 보안 구멍이 되기도 합니다.
이 글에서는 IoT 기기가 어떤 방식으로 사용자의 프라이버시를 위협하는지 살펴보고, 각 문제에 대한 실질적인 해결 방법을 소개합니다.
1. IoT 홈 허브 기기는 모든 것을 기록합니다
구글 홈(Google Home)이나 아마존 에코(Amazon Echo) 같은 스마트 홈 허브는 주변 소리를 끊임없이 듣고 있습니다. 사용자가 '호출어(핫워드)'를 말하는 순간을 놓치지 않고 음성 녹음을 시작하기 위해서입니다.
문제는 상시 청취 자체가 하나의 프라이버시 위험 요소라는 점입니다. 호출어를 인식하지 못한 상태에서도 녹음된 정보가 서버로 전송되는 것이 아니냐는 의심과 추측이 끊이지 않았습니다.
설령 이런 의혹이 사실이 아니더라도, 기기가 호출어를 잘못 인식해 사적인 대화가 녹음되고 그 로그가 운영사에 전달된다는 것은 확인된 사실입니다. BBC 보도에 따르면, 애플과 구글은 외부 계약직 직원들이 우발적으로 녹음된 지극히 사적인 순간들을 엿듣고 있었다는 사실이 밝혀진 뒤, 직원들의 녹음 파일 재생을 중단했습니다.
상시 청취 문제 해결 방법
대부분의 스마트 허브에는 음성 모니터링을 끄는 설정 옵션이 있지만, 화면 뒤편에서 무슨 일이 일어나고 있는지 아무도 확신할 수 없습니다. 모든 대화에 낯선 사람이 옆에 앉아 듣고 있으면서 '아무에게도 말하지 않겠다'고 약속만 하는 상황을 상상해 보세요. 과연 그 사람을 믿을 수 있을까요?
따라서 가장 확실한 해결책은 문제 자체를 발생시키지 않는 것입니다. 24시간 상시 청취 기능이 있는 스마트 기기는 가급적 구매하지 마세요. 음성 명령 활성화를 내세워 마케팅되는 기기는 상시 모니터링이 필수적이므로 쉽게 식별할 수 있습니다.
2. 외부에서 해킹당할 수 있습니다
IoT 기기의 가장 큰 매력은 인터넷을 통해 어디서든 명령을 받을 수 있다는 점입니다. 덕분에 사용자는 세계 어느 곳에서나 집안의 스마트 기기를 제어하고 모니터링할 수 있습니다.
그러나 이 편리한 기능은 양날의 검입니다. 원격 제어 경로가 열려 있다는 것은 해커에게도 같은 통로가 열려 있다는 의미이며, 해킹은 IoT 프라이버시 문제 중 가장 두려운 영역으로 꼽힙니다. 초대받지 않은 사람이 전 세계 어디서든 당신의 집에 접근할 수 있기 때문입니다.
공상 과학 영화 같은 이야기처럼 들리지만 안타깝게도 현실입니다. 트렌드마이크로(Trend Micro)에 따르면, 자사 소프트웨어는 IoT 카메라를 겨냥한 무려 500만 건의 해킹 시도를 차단했으며, 그중 75%가 무차별 대입(brute force) 공격이었습니다.
원격 해킹 문제 해결 방법
이 문제를 막으려면 해커를 튕겨낼 수 있는 튼튼한 원격 접속 체계를 구축해야 합니다. 해커들이 주로 무차별 대입 방식으로 진입을 시도하므로, 수많은 시도를 버틸 만큼 강력한 방어가 필요합니다.
먼저 계정을 추측하기 어려운 강력한 비밀번호로 보호하고, 가능하다면 2단계 인증(2FA)을 반드시 활성화하세요. 이 두 가지만으로도 해커가 쉽게 집안에 침입하는 것을 막을 수 있습니다.
3. 기기가 데이터를 암호화하지 않습니다
프라이버시를 중요하게 생각하는 사람이라면 이 부분은 심각한 경고 신호입니다. 클라우드 보안 기업 Zscaler의 조사에 따르면, IoT 기기에서 발생해 자사 클라우드를 통과한 5,600만 건의 트랜잭션 중 무려 90%가 평문(plain text)으로 전송되었습니다. 즉, 아무런 암호화 조치 없이 데이터가 오갔다는 뜻이며, 누구나 패킷을 분석해 내용을 추출해낼 수 있습니다.
암호화 미비 문제 해결 방법
데이터를 제대로 암호화하는 IoT 기기만 선택하세요. 제품이 자신의 암호화 방식을 포장이나 광고에 명시하지 않는다면, 안전하게 구매를 피하는 것이 좋습니다.
어쩔 수 없이 해당 기기를 사용해야 한다면, 최소한 전송하는 데이터를 신중하게 관리하세요. 남에게 보여주고 싶지 않은 정보는 절대 그 기기로 다루지 않는 것이 원칙입니다.
또 다른 방법은 네트워크 전체에 VPN 암호화를 적용하는 것입니다. 일부 공유기는 OpenVPN 같은 가상 사설망(VPN) 설정을 지원합니다. 공유기에 VPN을 설치하면 모든 트래픽이 암호화되어 제3자 서버를 경유하게 되므로, 도청자가 사용자와 종단점 사이에 오가는 데이터를 들여다볼 수 없습니다.
4. IoT 기기는 제대로 업데이트되지 않습니다
해킹 시도에 끊임없이 노출되는 기기일수록 보안 패치를 받을 수 있는 체계를 갖춰야 합니다. 특정 기기에서 취약점이 발견되면 그 소식은 인터넷을 통해 빠르게 퍼지고, 해당 기기를 사용하는 모든 사람이 위험에 처하게 됩니다.
보안 패치는 시간이 지나며 드러나는 결함에 맞서는 가장 효과적인 무기입니다. 하지만 IoT 업계에는 심각한 패치 문제가 있습니다. 출시 후 지원이 형편없이 빈약하거나, 아예 패치 수단 자체가 없는 기기도 적지 않습니다.
패치 인프라를 갖춘 기기라 하더라도, 빠르게 변화하는 IoT 시장에서 제조사가 도산하면 기기는 업데이트 없이 방치됩니다.
업데이트 문제 해결 방법
아쉽게도 사용자가 직접 IoT 기기에 패치를 적용할 방법은 없습니다. 대신 능동적으로 대처할 방법은 있습니다. 평판이 좋은 회사의 제품을 고르거나, 오픈소스 IoT 기기를 찾아보는 것입니다.
경험이 부족한 스타트업에 기대는 것은 업데이트가 늦어질 수 있고, 회사 자체가 문을 닫을 위험도 있습니다. 반면 규모가 큰 기업은 더 많은 경험과 빠른 패치 대응력을 갖추고 있고, 도산할 가능성도 훨씬 낮습니다.
5. 기기가 공장 초기화 비밀번호를 사용합니다
기본 비밀번호(default password)는 해커가 가장 즐겨 쓰는 침입 통로입니다. 일부 제조사는 기기마다 고유한 비밀번호를 부여해 이 문제를 막지만, 다른 제조사는 생산하는 모든 기기에 동일한 비밀번호를 설정합니다.
사용자가 비밀번호를 변경하지 않는다면, 해커는 공장 초기값 로그인 정보를 파악해 찾을 수 있는 모든 기기에 시도하면 됩니다. 그중 몇몇은 여전히 출고 시 그대로의 자격 증명을 유지하고 있을 것이고, 해커는 기기에 대한 완전한 접근권을 얻게 됩니다.
문제가 심각한 나머지, 웹라이브시큐리티(WeLiveSecurity)는 캘리포니아주가 기본 비밀번호가 설정된 상태로 출고되는 기기를 금지하는 법안까지 통과시켰다고 보도했습니다.
기본 비밀번호 문제 해결 방법
구매한 기기에 기본 비밀번호가 설정되어 있다면 즉시 변경하세요. 초기 비밀번호를 그대로 두는 것은 해당 기기의 자격 증명을 아는 잠재적 해커에게 문을 활짝 열어두는 것과 같습니다.
IoT 보안을 한층 강화하는 방법
현 시점의 IoT 생태계는 보안 구멍 투성이라 프라이버시를 맡기기 어렵습니다. 하지만 몇 가지 기본적인 예방 조치만 잘 취하면, 개인 정보를 해커에게 넘겨주지 않고도 IoT 기기의 편리함을 충분히 누릴 수 있습니다.
특히 효과적인 방법 중 하나는 공유기 또는 파이홀(Pi-Hole)과 함께 VPN을 사용하는 것입니다. VPN은 IoT 트래픽의 발신 위치를 숨겨줍니다. 다만 이를 위해서는 라즈베리 파이 기반의 Pi-Hole을 설치하거나, 공유기에 직접 VPN을 구성해야 한다는 점을 기억하세요.