[PEDIEN] 집 안을 지켜보려고 단 홈카메라(IP카메라)가 오히려 사생활을 드러내는 통로가 될 수 있다는 점검 결과가 나왔다.
한국소비자원과 한국인터넷진흥원(KISA)은 12일 온라인 판매 순위와 소비자 설문조사 결과 등을 바탕으로 고른 IP카메라 10개 제품의 보안을 점검한 결과를 발표했다.
점검은 기기(하드웨어·네트워크·펌웨어), 모바일 앱, 정책·관리 등 3개 분야 37개 항목에 걸쳐 보안 전문인력이 실제 공격 시나리오를 바탕으로 진행했다.
점검 대상은 다후아 DH-H3B, 로보뷰 GI-ROBOA7, 브이스타캠 VSTARCAM-800X, 샤오미 MJSXJ16CM(C500 PRO), 아이피타임 C500G, 이글루 TSC-443P(S8), 타포 TC74, 파인뷰 K11, 하이크비전 CN-D1153G, 헤이홈 GKW-MC0511(스마트 홈카메라Pro+)이다.
가장 심각한 문제는 사용자 인증이었다.
로보뷰·브이스타캠·파인뷰 3개 제품은 사용자 인증 절차가 미흡해 종합평가에서 가장 낮은 '미흡' 등급을 받았다.
로보뷰는 같은 와이파이에 연결된 상태에서 기기 고유번호를 바꾸면 다른 카메라의 실시간 영상을 볼 수 있었고, 브이스타캠은 클라우드에 저장된 다른 사용자의 이미지를 내려받을 수 있었다.
파인뷰는 클라우드 관리자 계정이 탈취되면 여러 사용자의 영상과 이미지가 빠져나가고 카메라를 조작할 수 있는 구조였다.
공통 취약점도 적지 않았다. 10개 제품 모두 펌웨어 보안 설정 보완이 필요했고, 8개 제품은 안전하지 않은 통신 방식을 써 정보가 노출될 가능성이 있었다.
보안 업데이트 지원 기간을 밝히지 않은 제품은 6개, 앱 비밀번호 설정 정책이 미흡한 제품은 5개, 내부 시스템에 접근할 수 있는 테스트 단자가 활성화된 제품은 4개였다.
제조사들은 개선에 나섰다.
로보뷰와 파인뷰는 개선을 마쳤고, 브이스타캠은 보완 작업을 진행하고 있다.
KISA는 10개 제조사에 점검 결과와 개선 방안을 공유했으며 이행 여부를 계속 점검할 계획이다.
이번에 확인된 취약점은 전문가가 시험 과정에서 재현한 것으로, 해당 제품에서 실제 영상이 유출된 피해 사례가 보고되지는 않았다.
홈캠 보안 문제는 이미 현실의 범죄로 이어진 바 있다.
경찰청은 지난해 11월 가정 등에 설치된 IP카메라 12만여 대를 해킹해 영상을 빼낸 일당을 검거했다고 발표했다.
해킹당한 카메라들은 단순하거나 이미 알려진 비밀번호를 쓰고 있었다.
정부는 이후 병원·수영장·산후조리원 등 생활밀접시설에 보안인증 제품 사용을 의무화하는 법 제정을 추진하고 있다.
전문가들이 꼽는 기본 수칙은 세 가지다.
처음 받은 비밀번호를 바로 바꾸고, 카메라와 앱을 최신 버전으로 유지하며, 중고로 팔거나 버릴 때는 반드시 공장 초기화를 하는 것이다.
우리 집 홈캠, 해킹당하기 쉬운 상태일까? — 3분 무료 점검
피디언이 내 홈캠 기종의 공개 취약점 조회, 바깥 노출 검사, 설정 점검, 의심 신호 확인을 한 번에 할 수 있는 무료 점검 페이지를 열었다.
이번 점검 대상 10개 제품의 결과도 기종별로 확인할 수 있다.