최근 가전제품을 포함한 다양한 전자제품에 네트워크가 결합된 IoT 디바이스 붐이 일고 있는 가운데 국가 차원에서 보안 의무화에 나서야 한다는 주장이 나와 주목된다. IoT 디바이스 관련 기술이 보급된 후 시장이 커질수록 이를 이용한 범죄사례도 함께 증가하고 있다는 것이다.
XIoT 융합 보안 전문기업 지엔은 지난달 열린 'DEF CON' 컨퍼런스 IoT 섹션에 참가해 국가 차원의 IoT 보안을 논의해야 한다고 강조했다고 23일 밝혔다. 지엔은 자사 특허기술을 통해 IoT 기기에 탑재된 소프트웨어, 펌웨어 등을 자동 점검해 취약점을 식별, 해결책을 제공하는 솔루션인 'Z-IoT'를 개발한 기업이다.
'DEF CON'은 세계 최대 규모 해킹 및 정보 보안 컨퍼런스다. 화이트 해커들 사이에서 해커 올림픽으로 통한다. 지엔은 DEF CON에 참가해 Dashcam의 커스텀 프로토콜 분석과 취약점 탐색 방법이라는 주제를 바탕으로 IoT 디바이스의 펌웨어 취약점 점검 필요성을 강조했다.
지엔 연구팀은 DEF CON 컨퍼런스에서 '웹·모바일 환경에 공개된 펌웨어 파일의 보안 취약점', '해커의 관리자 권한 탈취 위험' 등의 연구 결과를 발표했다. 지엔 측은 당시 해당 취약점들이 IoT 디바이스의 전반적인 보안을 심각하게 위협할 수 있다는 점을 강조했다. 특히, IoT 디바이스에서 발견된 펌웨어 취약점은 즉각적인 조치를 취하기 어려워 개발 단계에서 펌웨어 취약점 점검이 필수적이라는 것이 회사 측의 설명이다.
실제로 지난 2022년 12월, 한 보안 전문가가 약 40만 가구에 달린 월패드 카메라를 공격한 사례가 있다. 그가 2021년 8월부터 11월까지 해킹한 아파트 단지가 총 638곳에 달한다. 집안 내부를 촬영한 뒤 해외 웹사이트에 사진과 영상을 판매하려다 적발됐다.
한국인터넷진흥원(KISA)에서 발표한 '2023년 하반기 사이버 보안 사고 현황' 자료에 따르면 IP카메라용 DVR 제품의 악성코드 및 디도스 공격 시도가 1800여건으로 집계됐다. 이 통계는 2023년 9월부터 12월 중순까지 약 4개월 간의 국내 데이터이며, 전세계 IoT 디바이스 공격 사례는 2022년 기준 1억1230만 건으로 집계됐다.
이처럼 웹 상에 개인의 사생활이 떠도는 등 IoT 디바이스 해킹 관련 사례가 증가하고 있지만 국내에서는 IoT 디바이스 보안에 대한 관심도가 낮다.
이에 따라 지엔 측은 해외에서는 정부의 보안 규제가 강화되는 추세이며, 국내에서도 IoT 보안의 취약점으로 인해 인명사고가 발생하는 것을 방지하기 위해 최소한의 규제를 의무화해야 한다는 점을 짚는 등 국내 보안 규제의 지원 및 정책 도입의 필요성을 언급했다.
이와 관련 미국, 영국, EU 등 주요 국가에서는 2018년부터 지금까지 IoT 디바이스 보안을 의무화하는 등 규제를 통해 IoT 보안을 강화하고 있다. 특히 미국과 EU는 공통 IoT 사이버 보안 라벨링을 구현하기 위해서는 정부의 노력도 필요하다고 강조한 바 있으며, 영국은 지난 4월, 제품 보안 및 통신 인프라(PSTI)법 개정안을 통해 IoT 디바이스의 보안을 강화할 것을 의무화한 바 있다.
조영민 지엔 대표는 "전세계 주요 국가에서는 IoT 디바이스 보안을 의무화하는 등 제조사에 책임을 부여하고 있다"며 "현재 IoT 디바이스의 보급 속도를 고려하면 정책, 법안 개정 등 국가차원에서 IoT 디바이스의 보안을 의무화하는 것이 필요하다"고 말했다.
한편, 지엔은 AI 기반 보안 인증 자동화 플랫폼 'Z-GRC'를 개발해 오는 10월 선보일 예정이다. 기업·장치별 차별화된 IoT 보안 인증 점검, 다각적 분석 및 고난도 보안 기술 이해도 확보, 국내·외 규제 충족 여부 등 사전 리스크 자동 점검을 통한 안전한 IoT 생태계 구현을 목표로 프로젝트를 진행 중이다.
출처 : TECH M