중국산 공유기 보안 심각 개인차원의 주의 강조… 출처 불분명한 QR코드 스캔도 피해야
XIoT 융합 보안 전문기업 지엔이 과학기술정보방송통신위원회(이하 과기정통부) 산하 기관 ICT 분야 국정감사에서 중국산 와이파이 공유기, 악성 QR코드(큐싱) 등을 활용한 해킹 시나리오를 통해 해킹공격의 과정 전반을 선보였다고 31일 밝혔다.
지엔 관계자는 중국산 와이파이 공유기를 해킹해 설정 정보 등을 변조한 뒤, 악성 웹페이지(피싱사이트)로 유인하는 과정을 공개했다. 악성 웹페이지는 실제 웹사이트와 똑같이 구성했으며, 해당 웹 사이트에는 사용자 아이디, 비밀번호, 결제정보 등 개인정보 탈취를 위한 시나리오를 구현했다.
큐싱 공격 과정도 공개했다. 악성 QR코드를 공용 전동 킥보드에 부착해, 해당 QR코드를 스캔하면 악성 애플리케이션(앱)이 스마트폰에 다운로드 된다. 해당 앱이 사용자의 개인정보, 결제정보 등을 요구하며 자산에 피해를 입히는 시나리오도 선보였다.
지난 10일, 서울 여의도 국회에서 정보통신산업진흥원 · 한국인터넷진흥원 · 한국방송통신전파진흥원 등 과기정통부 산하 기관 등이 ICT 산업 관련 국정감사를 실시한 바 있다. 국정 감사에서는 저가형 중국산 IT 기기 등의 보안 심각성에 대해 논의가 이루어졌다.
최근 중국산 무선 와이파이 공유기, 인터넷주소(IP) 카메라 등의 디바이스가 보안이 취약하다는 문제점이 제기됐다. 국회에서는 중국산 무선 공유기의 취약점은 IP 주소만 알면 비밀번호를 유추하는데 소요되는 시간은 불과 5초 이내라는 점을 짚으며, 해당 공유기를 사용 시 국내 포털사이트에 접속해도 악성 웹페이지로 연결되는 등 보안 시스템의 심각성을 우려하는 목소리가 나왔다.
해킹 공유기를 통해 와이파이를 연결하면, 해당 기기내에 있는 정보가 유출된다는 문제도 발생한다. 공격자는 해킹 프로그램을 활용해 기기내에 있는 정보를 열람할 수 있는데, 이 방식으로 공격에 노출된 기기가 금융사이트 등을 접속하면 개인의 재산을 해커에게 빼앗길 수 있다는 지적도 나왔다.
한편 지엔은 IoT 펌웨어 보안 자동점검 솔루션 기업으로, 앞서 IoT 디바이스 보안 자동점검 솔루션 ‘Z-IoT’ 베타서비스를 출시한 바 있다. 이 솔루션은 IoT 기기의 펌웨어를 자동으로 점검해 취약점을 정확하게 식별, 보안 강화를 위한 해결책도 제공한다.
또한 미국 라스베이거스에서 개최된 글로벌 해킹대회 ‘DEF CON 32’ IoT 섹션에 참여해 블랙박스 해킹 연구 결과를 발표하기도 했다.
지엔 관계자는 “앞으로는 제품을 구매할 때 가격이나 성능뿐만 아니라 보안성도 중요한 구매 기준으로 고려하는것을 권한다”며 “또 출처가 불 분명한 QR코드를 스캔하는 것도 주의할 필요가 있다”고 말했다.
출처 : Issue & Biz