IoT 기기 취약점, 스마트홈 공격 노출: 자격증명 탈취 위협

우유 떨어지면 문자 보내는 스마트 냉장고부터 휴대폰으로 사용량 차트 그리는 온도조절기까지, IoT 기기는 현대 가정 필수품 됐다. 바라쿠다 네트웍스(Barracuda Networks) CTO 플레밍 시(Fleming Shi)에 따르면 개인컴퓨터, 전화, 태블릿, 라우터 외 네트워크에 연결되는 모든 소비자 기기가 IoT 기기 자격.

연결성 확장이 편의성 높였지만 새 보안 리스크도 도입. 바라쿠다 랩스(Barracuda Labs) 최근 연구가 새로운 위협 시연: IoT 자격증명 탈취(IoT credential compromise), 공격자가 웹·모바일 앱 취약점 악용해 자격증명 훔친 뒤 원격 기기 제어.

IoT 자격증명 탈취

공격자가 기기 자격증명 입수하면 영상 피드 열람, 알람 설정 변경, 클라우드 저장 영상 삭제, 동일 네트워크 다른 기기로 피벗(pivot)할 악성 펌웨어 푸시 가능.

샘플 보안 카메라 취약점 프로파일

연결형 보안 카메라 웹·모바일 앱 생태계 분석서 다음 약점 발견:

• 모바일 앱이 유효하지 않은 서버 인증서 허용.
• 웹 앱 크로스사이트 스크립팅(XSS) 취약점.
• 클라우드 서버 파일 순회(file-traversal) 결함.
• 사용자가 기기 업데이트 URL 지정 가능.
• 펌웨어 업데이트 미서명.
• 기기가 서버 인증서 검증 무시.

이 결함들로 팀이 물리적 근접 없이 완전한 자격증명 추출·기기 탈취 체인 시연.

모바일 앱 경유 자격증명 탈취

악성 와이파이 핫스팟으로 모바일 앱과 벤더 서버 간 HTTPS 트래픽 가로채기. 앱의 서버 인증서 미검증으로 공격자 프록시가 사용자 비밀번호의 언솔티드 MD5 해시 획득.

웹 앱 경유 자격증명 탈취

다수 IoT 벤더가 이메일로 기기 공유 허용. 공격자가 기기 이름에 XSS 임베드해 피해자와 공유, 피해자 로그인 시 액세스 토큰 탈취. 탈취 토큰으로 피해자 계정과 연동 모든 기기 완전 제어 가능.

이 발견들은 IoT 기기가 벤더 클라우드 인프라만으로 완전히 탈취될 수 있음을 보여—쇼단(Shodan) 같은 전통적 스캔 도구 불필요. 클라우드 기반 인증 의존 모든 기기에 위협 확장.

IoT 제조사 시사점

기기 제조사는 모바일 앱, 웹 인터페이스, 백엔드 서비스 등 모든 소프트웨어 표면 보안 필수. 핵심 조치:

• 웹 애플리케이션 방화벽(WAF) 배치로 레이어 7 공격 방어.
• 네트워크 레이어 방어와 피싱 대책 강화.
• 서명된 펌웨어 업데이트 구현과 서버 인증서 검증 강제.
• 가시성·보호·신속 복구 위한 클라우드 보안 모범 사례 채택.

소비자 보호 팁

IoT 기기 구매 시 가격·편의성만큼 보안 우선:

• 벤더 보안 이력 조사.
• 동일 회사 타 제품 알려진 취약점 확인.
• 벤더 이슈 대응 속도 평가.

IoT 기기 증가에도 공개 보안 평가 여전히 희소. 향후 모든 IoT 제품이 자동차 안전 등급처럼 표준화된 안전 등급 받으면 소비자 정보 기반 결정 가능해질 것.

작성자: 플레밍 시, CTO, 바라쿠다 네트웍스