IoT 보안 위협 현실화…사이버테러 대란 경고

[이부연기자] 사물인터넷(Internet of Thing·IoT) 해킹의 위협성이 점차 커지고 있다.

CCTV 혹은 웹캠을 해킹해 영상을 해킹하는데 그쳤던 IoT 공격자들이 최근에는 무선공유기(AP, 액세스포인트)를 감염시켜 기간통신사 서비스를 중단시키는데까지 진화했다. 향후 기간 통신망까지 공격해 사이버 테러를 부를 수도 있어 특단의 조치가 필요하다.

7일 관계부처 및 업계에 따르면 지난달 29일 발생한 SK브로드밴드 디도스 공격이 가정이나 사무실 등에 설치된 AP가 감염돼 발생한 것으로 확인됐다. 약 1천500개 가량의 AP가 악성코드에 감염됐으며, 1시간여 동안 이 통신 사업자의 인터넷 서비스를 제공받는 전국의 이용자들이 서비스를 이용할 수 없었다.

보안학계 전문가는 "지금까지 공격자들은 PC, 애플리케이션 등을 노렸지만, 이번에는 인프라를 노린 신종 보안 공격"이라면서 "수많은 AP들이 있을텐테 보안이 대부분 취약하기 때문에 취약한 공유기나 나아가 다른 서버들 및 PC까지 감염시킬 수 있어 위험하다"고 말했다.

AP는 집안 내 TV, 스마트폰, PC 등 대부분 기기들이 연결돼 있는 허브다. AP가 뚫리면 모든 정보가 유출되는 것은 시간 문제고, 인터넷에 연결된 청소로봇, 냉장고 등도 해킹할 수 있다. 지난해 미국에서는 인터넷에 연결된 스마트TV와 냉장고가 수십만 건의 스팸메일을 전송한 사건이 일어났다.

글로벌 보안 기업 시만텍은 내년에 크게 문제가 될 보안 위협으로 자동화된 스마트 홈을 꼽았다. 인터넷 검색을 이용해 인터넷에 연결가능한 기기들을 손쉽게 검색할 수 있게 되면서 CCTV 카메라나 경보기, 전등 및 실내온도조절기의 원격제어시스템사이버 범죄자들의 새로운 타깃이 된다는 것이다. 가정용 라우터, 스마트 TV 등과 같은 연결된 기기를 타깃으로 개인 정보를 탈취하기 위한 단발성 공격도 늘 것으로 예상했다.

◆ 美, 中, EU 등 IoT 보안 표준화 정책 추진

IoT 보안은 최근 몇년새 급격히 연결된 기기들이 늘어나면서 중요성이 커지고 있다. 시장조사기업 가트너는 오는 2020년까지 연결된 기기수가 많게는 500억개까지 늘어날 것으로 추정하고 있다. 한국 산업연구원은 2020년 IoT 보안 관련 피해 규모가 17조원을 넘어설 것으로 보고 있다.

해외에서는 IoT 관련 보안, 표준화 정책 제정을 추진하고 있다. 미국은 IoT 사생활 침해 규제안을 준비중이다. 유럽연합의 경우에도 IoT 신뢰도를 높이기 위한 가이드라인 제정을 앞두고 있으며, 중국은 IoT 발전 10개 전문 행동계획을 통해 보안 핵심기술 개발, 테스트 평가 플랫폼 구축 등을 추진 중이다.

미래창조과학부도 IoT 보안원칙과 서비스별 지침을 마련하고 내년부터 본격 시행하겠다고 밝혔다. IoT 사이버위협 종합대응체계를 구축과 민간 중심의 보안 인증 활성화 기반을 조성, IoT 보안 원천기술을 확보하는 '시큐어돔(SecurDome) 프로젝트' 등이 그것이다.

미래창조과학부 홍진배 정보보호정책과장은 "미국 FDA에서는 IT 의료 기기에 보안기능이 확보되지 않으면 판매 허가를 내주지 않을 정도로 보안에 대한 의식이 철저하다"며 "각 부처와 협력해 IoT 보안 산업 및 환경을 조성해나갈 것이며, 기업들도 보안을 비용으로만 생각하지 말고 투자해 나가야 할 것"이라고 말했다.

국내 기업들도 IoT 보안 기술 개발에 빨리 뛰어들어야 한다는 지적도 나온다. 국외에서는 시만텍, 트렌드마이크로 등이 관련 제품을 내놓고 시장 선점에 나섰으며, 국내에서도 시큐아이, SGA 등이 기술 개발에 매달리고 있다.

한국인터넷진흥원 노병규 정보보호본부장은 "IoT 보안 제품은 해외 기업들도 개발 초기 단계이며 지금 국내 업체들도 뛰어들면 같은 위치에서 경쟁을 시작할 수 있다"며 "위험성이 커지는 만큼 관련 시장도 커질 것이기 때문에 성장 한계에 부딪친 업체에게 새로운 성장 동력이 될 수 있는 것이 IoT 보안"이라고 했다.

조원영 시만텍코리아 대표는 "IoT, 클라우드 등 새로운 IT 기술이 발전하면서 수많은 기기들이 인터넷을 통해 연결되고 경계없이 데이터가 이동하면서 사이버 공격의 피해는 상상 그 이상"이라면서 "날로 고도화되는 사이버 공격에 대응하기 위해 기업과 정부, 개인사용자들의 보안 인식을 제고하고, 정부, 산업, 기업 간 강력한 공조체제를 구축하는 것이 시급하다"고 했다.