일본, 전국 규모 IoT 보안 감사 착수… 취약점 공백 해소 나서

일본 정부가 2월 중순부터 전국적으로 사용 중인 2억 대 이상의 IoT 기기를 대상으로 체계적인 보안 감사를 시작합니다.

지난주 발표된 이 이니셔티브는 전문가들이 오래전부터 알지만 소비자들이 크게 간과해 온 사실을 조명하는 것이 목적입니다: 소비자용 IoT 제품 상당수가 사이버 공격에 취약한 상태로 남아 있다는 점입니다.

IoT 불안정성은 여러 요인에서 기인합니다: 소비자 무관심(대다수 사용자가 구매·설치 후 기본 비밀번호를 변경하지 않음), 기기 간 통신에 대한 본질적 감독 부재, 서비스 제공자들의 자동 펌웨어 업데이트 드문 배포.

보안 전문가들은 이 계획을 필요한 조치로 환영하지만, 다수 일본 언론은 국가의 과도한 개입이라 비판합니다.

비판론자들은 프라이버시 침해라며 시민이 왜 정부가 개인 기기를 검사하도록 허용해야 하는지 의문을 제기합니다. 수집된 데이터를 국가가 보호할 능력에 불신하며 우발적·고의적 유출을 우려합니다. 또한 이러한 감시가 시민 자유를 침식하고 일본을 감시 국가로 몰아갈 수 있다는 광범위한 우려도 존재합니다.

국립정보통신기술연구소(NICT)는 기본 비밀번호 탐색 등 전술로 무작위 선정된 IoT 기기를 테스트해 취약 제품의 포괄적 인벤토리를 구축할 계획이라고 밝혔습니다.

NICT는 결과를 인터넷 서비스 제공업체(ISP)에 전달하고, ISP가 소비자에게 통보해 보안 조치를 권고하게 됩니다. 정확한 범위는 미정이지만 초기에는 라우터와 웹캠에 집중할 것으로 보이며, 기관은 이 이니셔티브가 최대 5년까지 연장될 수 있다고 밝혔습니다.

지지자들은 도쿄 올림픽을 계기로 보안 강화가 필요하다고 주장합니다.

대규모 국제 행사는 전문가와 당국의 사이버보안 경보 급증을 통상 유발합니다. 미라이(Mirai) 봇넷 악성코드가 IP 카메라와 홈 라우터 같은 소비자 기기를 장악해 대규모 DDoS 공격을 가한 최근 사례가 선제 조치의 시급성을 뒷받침합니다.

IHS 마킷(IHS Markit)의 IoT 및 신흥 기술 전문 사이버보안 분석가 타너 존슨(Tanner Johnson)은 일본의 해킹 프로그램을 단순한 선제적 보호 장치로 평가합니다.

"올림픽 같은 이벤트는 수백만 방문자를 유치해 전반적 보안 우려를 높인다"고 존슨은 지적했습니다. "해커들은 네트워크의 가장 약한 고리를 노려 가장 취약한 기기를 악용하는 경향이 있다."

일부 회의론자들은 이 프로그램이 올림픽용 훈련인지, 더 광범위한 정부 목표를 위한 것인지 의문을 제기합니다. 애니커넥트(AnyConnect) 국가 매니저 가쿠 오구라(Gaku Ogura)는 주 목적이 올림픽 보안이라면 왜 최대 5년까지 연장될 수 있는지 물었습니다.

오구라는 많은 일본 소비자가 연결 기기 기본 비밀번호를 변경하지 않는 점을 지적했습니다. 또한 이 프로그램이 일본 네트워크 인프라 내 화웨이 기술 통합을 평가하는 기회일 수 있다고 강조했습니다.