크리스마스가 지나고 몇 주가 지나면 반드시 등장하는 뉴스가 있습니다. '혁신적인' 스마트(연결형) 장난감이 사실 심각한 보안·프라이버시 위험 요소였다는 사실이 밝혀지는 것입니다. 아이들의 안전, 나아가 생명까지 위태로워질 수 있는 문제죠.
그런데도 아무도 책임을 자발적으로 떠안으려 하지 않는 것이 현실입니다.
우리 아이들이 집 무선 네트워크에 연결되는 온라인 장난감을 사용하고 있나요? 그렇다면 이제부터 소개할 내용은 상당히 걱정스러운 이야기일 것입니다.
독일, 대화형 인형 '카일라(Cayla)' 판매 금지
2017년 2월, 독일 당국은 '카일라'라는 이름의 인기 대화형 인형 판매를 금지하기로 결정했습니다. 당국은 부모들에게 해당 장난감을 폐기하라고 권고하기도 했지만, 이를 강제 집행하겠다는 결정까지 내리지는 않았습니다.
이번 금지 조치는 전 세계에서 판매 중인 이 장난감의 취약점을 입증하는 개념 증명(PoC) 시연에서 비롯된 것입니다.
카일라는 발상 자체는 분명 매력적입니다. 블루투스와 인터넷에 연결된 스마트폰을 통해 온라인에 접속한 뒤, 음성 인식과 구글 검색을 활용해 아이들의 질문에 답해주는 인형이니까요. 그러나 독일 통신 감독 기관에 따르면, 인형 주변 범위 안에서 이뤄지는 아이들과 다른 사람들 간의 대화가 녹음될 수 있고, 심지어 다른 곳으로 전송될 수도 있다고 합니다.
"장난감 제조업체는 이 제품을 활용해 아이나 부모에게 맞춤형 광고를 노출시킬 수 있습니다. 또한 제조사가 무선 연결을 제대로 보호하지 않으면, 근처에 있는 누구든 이 장난감을 이용해 대화를 엿들을 수 있습니다."
그렇다면 진짜 문제는 무엇일까요? 질문에 답해주는 장난감이 아이 학습에 도움이 되는 건 분명한 사실입니다. 문제는 '실행'에 있습니다. 다시 말해 보안이 전혀 적용되지 않은 블루투스 연결이 핵심 원인입니다. 결국 잠재적으로 아이의 삶에 큰 영향을 줄 수 있는 제품의 견고함을 확보하는 대신, 비용 절감과 지름길을 택한 것이죠.
혹시 가정에 카일라 인형이 있나요? 굳이 파손할 필요까지는 없다고 생각합니다. 다만 프라이버시 정보 저장 능력이 걱정된다면… 전원을 끄는 것을 권합니다. 음성과 대화를 녹음하는 모든 기기는 아이뿐 아니라 가족 전체의 개인정보를 위협할 수 있는 잠재적 위험 요소이기 때문입니다.
데이터베이스 해킹으로 유출된 아이들 목소리
작년 크리스마스에 자녀나 지인의 아이에게 클라우드펫(CloudPets)을 선물했던 기억이 있나요?
클라우드펫은 끔찍한 데이터 유출 사건의 중심에 선 장난감입니다. 아이들(그리고 친구와 가족)의 목소리가 녹음된 뒤, 보안이 전혀 갖춰지지 않은 데이터베이스에 저장되었고, 결국 온라인에 그대로 유출되고 말았습니다.
분명히 하자면, 해킹당한 녹음 파일은 무려 200만 건에 달합니다. 게다가 이 데이터는 이후 몸값을 요구하는 랜섬의 대상이 되기까지 했습니다. 모든 원인은 클라우드펫 제조사 스파이럴 토이즈(Spiral Toys)가 비용과 시간, 노력을 아끼기 위해 MongoDB 데이터베이스에 데이터를 저장한 데 있습니다. (녹음 자체가 적절했는지 여부는 일단 논외로 하겠습니다.)
(MongoDB의 문제점은 기본 설정으로는 안전하지 않다는 데 있습니다. 이 방식으로 저장된 데이터를 보호하려면 별도의 보안 조치가 반드시 필요합니다.)
상황은 더 악화됩니다. 보안 연구원 트로이 헌트(Troy Hunt)는 이 해킹 사건과 장난감 자체의 보안 취약점(3자리 미해시 비밀번호, 테스트·스테이징·실서비스 데이터와 웹사이트가 모두 같은 서버에 저장된 문제 등)을 알리기 위해 클라우드펫 측에 여러 차례 연락을 시도했습니다.
이 처참한 사건의 전말에는 데이터 반환을 조건으로 한 비트코인 요구, 연구원과 언론의 문의에 대한 회사의 완강한 침묵, 그리고 아이가 가장 아끼는 장난감이 온라인 보안 위협이라는 사실조차 모르는 채 방치된 수많은 부모들의 이야기가 담겨 있습니다. 글을 쓰는 시점 기준으로 클라우드펫과 스파이럴 토이즈는 부모들에게 어떤 문제 발생 사실도 알리지 않았습니다.
녹음 데이터가 유출된 것 자체가 문제인지 어떻게 판단하든, 이런 중대한 문제에 대해 누구와도 소통하려 하지 않는 회사의 제품은 사용하지 않는 것이 현명합니다.
이미 예견됐던 문제들
안타깝게도 이 모든 문제는 새로운 것이 아닙니다. 스마트 홈 산업의 연장선에 있는 연결 장난감 시장 역시, 보안과 프라이버시 같은 개념은 거의 고려하지 않은 채 제품이 성급하게 만들어져 왔습니다.
설계자들에게 관심 있는 개념은 오직 수익과 낮은 제조 비용뿐이었습니다.
2015년에는 비교적 간단한 소프트웨어만으로 무선 쿼드콥터 드론이 해킹될 수 있다는 사실이 밝혀진 바 있습니다.
1년 뒤에는 아동용 전자제품 대기업 VTech이 해킹당해 600만 개의 아동 계정 데이터를 잃었을 뿐만 아니라, 프라이버시와 보안 책임마저 소비자에게 떠넘기고 있었다는 사실이 드러났습니다.
이런 사건들이 있을 때마다 우리는 여러분의 데이터, 그리고 아이들의 데이터를 안전하게 지키는 방법을 소개해 왔습니다. 동시에 스마트 장난감 제조사들에게 더 높은 수준을 요구해야 한다고 강조해 왔습니다. 간단히 말해, 연결 장난감이 기본적인 보안·프라이버시 요건(암호화된 데이터 전송, 비밀번호 보호)을 충족하지 못하고, 제조사가 수집된 데이터를 안전하게 보관할 수 없다면 그 장난감은 잊고 다른 제품을 찾아야 합니다.
상황은 나아지고 있다
다행히도 상황은 변하고 있습니다. 주류 스마트 홈 시장에서 그러하듯, 제조사들이 보안과 프라이버시의 중요성을 인식하고 더 견고한 신제품을 출시하기 시작한 것입니다. 다만 저렴한 제품군은 주의해야 합니다. 구형 하드웨어와 펌웨어를 탑재한 제품들은 향후에도 문제가 지속될 가능성이 높습니다. 제조사들이 헐값에 구형·저보안 재고를 처분하려 하기 때문입니다.
걱정되는 연결 장난감을 사용하고 계신가요? 아니면 위험이 없다고 생각하시나요? 아래 댓글로 의견을 들려주세요.