한국소비자원과 한국인터넷진흥원(KISA)이 12일 발표한 IP카메라(홈캠) 보안 시험평가에서 점검 대상 10개 제품 중 3개가 종합 등급 ‘미흡’을 받았다. 두 기관은 판매순위와 소비자 설문으로 고른 최근 2년 내 출시·300만 화소 이상 무선 제품 10개를 37개 항목으로 점검했다. 등급은 양호 3개, 보통 4개, 미흡 3개이고, 상대적 우수는 하나도 없었다.
미흡 3개는 사용자 인증 절차 미비 등으로 타인의 카메라에 접근하거나 조작할 수 있는 취약점이 확인된 제품이다. 기기 고유번호를 바꿔 같은 와이파이에 연결된 다른 사용자 카메라의 실시간 영상을 볼 수 있거나, 클라우드에 저장된 다른 사용자의 이미지를 조회할 수 있는 식이다. 클라우드 관리자 계정정보가 탈취되면 여러 사용자의 영상을 한꺼번에 조회할 수 있다는 취약점도 있었다. KISA는 취약점이 나온 10개 사업자 모두에 조치 방법을 안내했고, 이 3개 중 2개는 개선이 끝난 것으로 확인했다. 나머지 1개는 아직 조치 중이고, KISA가 이행 여부를 계속 점검한다.
이번 점검은 보안 전문 인력이 고도화된 공격 시나리오를 적용한 실험실 시험이다. 두 기관은 이 취약점이 “특정 수준 이상의 보안 기술과 도구를 보유한 공격자에 의해 악용될 가능성”이라고 설명했다. 실제 해킹 피해 사례나 건수는 이번 발표에 들어 있지 않다.
항목별로는 펌웨어 보안 설정과 모바일 앱 역설계 방지가 10개 제품 모두에서 취약했다. 불필요한 명령어·기능이 남아 있거나 보안 설정이 제대로 적용되지 않아 기기의 내부 보안 메커니즘이 외부에 노출될 우려가 있다는 평가다. SSL/TLS 같은 안전한 통신 프로토콜을 쓰지 않은 제품이 8개, 펌웨어 보안 업데이트 지원 기간을 확인할 수 없는 제품이 6개였다. 앱 비밀번호 정책 미적용과 취약점 신고·처리 절차 부재가 각 5개, 테스트 단자 미비활성화가 4개로 뒤를 이었다.
비밀번호 변경부터 중고 거래 전 초기화까지, 홈캠 보안 수칙 10가지
과학기술정보통신부·KISA·소비자원이 함께 내놓은 사용자 보안 수칙은 구매·설치, 사용 중, 중고 거래·폐기 세 단계로 나뉜다.
구매·설치할 때는 다음 네 가지다.
- 기본 비밀번호를 즉시 바꾼다.
- 구글 플레이·앱 스토어 같은 공식 앱만 설치한다.
- WPA3 또는 WPA2 등 안전한 무선 보안 방식의 공유기에 연결하고 공유기 관리자 비밀번호도 바꾼다.
- KISA IoT 보안인증 등 보안 인증 여부를 확인한다.
사용하는 동안에는 네 가지를 권한다.
- 카메라와 모바일 앱을 최신 버전으로 유지한다.
- 필요 없는 영상·데이터를 정기적으로 삭제한다.
- 2단계 인증을 설정하고 접속 알림을 확인한다.
- 사용하지 않는 원격 접속 기능은 꺼 둔다.
중고로 팔거나 버릴 때는 두 가지다.
- 거래 전 계정 연동 해제와 저장 영상·개인 설정 삭제를 포함한 공장 초기화를 하고, 초기화를 확인한 뒤 넘긴다.
- 폐기할 때는 기기 안의 저장 영상과 개인정보를 완전히 지우고, 저장매체가 있으면 초기화한 뒤 버린다.
소비자원은 홈캠을 살 때 보안 성능이 상대적으로 양호한 제품 중에서 설치 환경에 따른 핵심 품질과 가격을 종합적으로 고려해 고르는 것이 바람직하다고 밝혔다. 제품별 비교 정보는 소비자24(www.consumer.go.kr) 일반비교란에 제공할 예정이다.
연관 기사
