[서울=뉴시스]윤정민 기자 = 중에 팔리고 있는 인터넷 연결 카메라(IP카메라·홈캠) 10개 제품을 점검한 결과 3개에서 집안 사생활이 고스란히 노출될 수 있는 심각한 보안 결함이 발견됐다.

실제 시험 과정에서 다른 이용자의 카메라에 찍힌 사진과 영상을 몰래 훔쳐보거나, 남의 카메라를 원격으로 마음대로 조종할 수 있었다. 다만 해당 제품과 관련해 실제 영상이 외부로 유출된 소비자 피해는 아직 확인되지 않았다.

한국인터넷진흥원(KISA)과 한국소비자원은 12일 IP카메라 보안 점검 결과를 공개했다.

두 기관은 온라인 쇼핑몰 판매 순위와 소비자 설문 결과 등을 바탕으로 제품을 골랐다. 기기와 모바일 앱, 제조사의 보안 관리 정책 등 37개 항목을 살폈다.

◆같은 와이파이에선 실시간 영상…서버에선 여러 사람 촬영물까지

사생활 노출 우려가 확인된 제품은 ▲로보뷰 'GI-ROBOA7(로보뷰 A7)' ▲브이스타캠 'VSTARCAM-800X' ▲파인뷰 'K11'이다.

시험에서 보안 전문가는 같은 와이파이(무선인터넷)에 연결된 다른 사람의 로보뷰 카메라를 원격으로 켜 실시간 집안 영상을 그대로 볼 수 있었다. 브이스타캠 제품에서는 회사 서버에 저장된 다른 이용자의 사진을 몰래 열어보고 내려받을 수 있었다.

파인뷰 제품의 경우 서버에 저장된 여러 이용자의 사진과 영상을 한꺼번에 다운로드할 수 있었다. 다른 이용자의 카메라로 실시간 영상을 보거나 기기를 원격으로 조작하는 것까지 가능했다.

이종혁 과기정통부 정보보호산업과장은 이날 오전 서울 송파구 한국소비자원 서울강원지원에서 열린 브리핑에서 "KISA의 사물인터넷(IoT) 보안 인증 기준 등을 참고했으며 숙련된 정보보안 전문가들이 점검을 진행했다"고 말했다.

◆이미 산 홈캠도 개선 조치…개선 중인 1종은 판매처 안내 없어

KISA는 3개 제품 제조사에 개선을 권고했다. 로보뷰와 파인뷰는 조치를 마쳤고 브이스타캠은 개선 작업을 진행 중이다.

최윤선 KISA 디지털AI제품인증팀장은 로보뷰와 파인뷰가 이미 판매된 제품에도 개선 조치를 했다고 설명했다. 정부는 두 제조사가 모바일 앱 업데이트를 배포한 것으로 파악했다.

하지만 브리핑 당시 온라인몰이나 오프라인 매장 등 판매처에는 브이스타캠 제품의 보안 취약점을 고치는 중이라는 안내가 없었다. 최 팀장은 이번 발표를 계기로 유통업체에 해당 사실을 소비자에게 꼭 알리도록 요청하겠다고 밝혔다.

구매를 앞둔 소비자는 주의할 필요가 있다. 보안 결함을 고치는 중인 제품이 별도 안내 없이 판매될 수 있어서다.

이 과장은 현재 과기정통부에 해당 제품의 판매 중단을 명령할 법적 권한이 없다고 설명했다. 취약점이 발견됐다는 이유만으로 제조사나 판매자를 즉시 제재할 규정도 없는 실정이다. 과기정통부는 사물인터넷 제품의 보안 점검과 감시를 강화하기 위해 제도 개선을 서두르고 있다.

점검 대상 10개 제품의 제조사는 모두 소비자원에 품질개선 계획을 냈다. KISA는 계획 이행 여부를 계속 확인할 예정이다.

기기와 앱 전반에서도 개선이 필요한 부분이 드러났다. 8개 제품은 일부 통신에서 안전한 암호화 통신 규격을 쓰지 않았다. 10개 제품 모두 기기 작동을 제어하는 소프트웨어인 펌웨어의 보안 설정이 미흡했다. 앱에서 안전한 비밀번호 설정 기준을 적용하지 않은 제품은 5개였다.

판매 이후 보안 관리에도 제품마다 차이가 있었다. 5개 제품은 보안 취약점 신고·처리 절차가 없었다. 6개 제품은 제조사의 보안 업데이트 지원 기간을 확인할 수 없었다.

이 과장은 이용자에게 IP카메라 설정에서 초기 비밀번호를 바꾸고 제조사나 판매사가 안내하는 업데이트를 적용해 달라고 당부했다.

한편 이번 점검은 정부가 지난해 12월 발표한 'IP카메라 보안 관리체계 고도화 방안'의 후속 조치다. 정부는 IP카메라 영상 유출 피해가 잇따르자 병원과 수영장 등에 보안 인증 제품 사용을 의무화하는 방안을 대책에 담았다.

이용필 KISA 디지털위협예방본부장은 "안전한 디지털제품 사용을 위해 제조·유통사에서는 개발부터 폐기까지 전주기에 보안을 적용해 안전하고 책임 있는 유통 체계를 구축하고, 소비자는 생활 속 보안 습관을 실천해 주시길 바란다"고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com