'다크웹'에 판치는 IP카메라 해킹 영상…정부 대책은 없나

"더 이상 깊이 감춰져 있는 다크웹이 아닙니다. 누구나 들어가서 해킹된 영상을 볼 수 있습니다."

IP카메라‧CCTV 등 사물인터넷(IoT) 기기에서 해킹된 불법 영상이 '다크웹(Dark web)'을 통해 유통되고 있다. 기존 대중에 알려진 사물인터넷 해킹 사이트와 달리 신고를 통한 차단도 어려운 데다 범인을 잡을 방법도 사실상 없는 상황이다.

다크웹은 특정 프로그램을 사용해야 접속할 수 있는 숨겨진 웹이다. 이용자의 IP주소 등 정보가 추적되지 않도록 숨겨져 있어 익명성이 보장된다. 일반적인 방법으로 접속자나 서버를 확인할 수 없어 주로 인터넷상 범죄에 악용된다.

SK인포섹은 30일 서울 을지로 페럼타워에서 보안 전문가그룹 이큐스트(EQST) 미디어 간담회를 열고 IoT 해킹 위협과 사생활 침해 문제에 대해 발표했다. EQST는 IoT 기기의 폭발적인 증가 추세와 함께 다크웹으로의 해킹 영상 유출을 집중 경고했다.

◆늘어나는 사물인터넷 기기 해킹…"5G 시대 되면 더 위험"

사물인터넷 성장기에 접어들면서 인터넷에 연결되는 장치 수는 2018년 기준 전 세계 170억 개를 돌파했다. 이 중 사물인터넷 기기는 70억 개로 꾸준한 성장세를 보일 것으로 예측된다.

더 많은 기기가 인터넷에 연결되면서 사물인터넷과 관련된 보안 위협도 증가하는 추세다. 지난해만 해도 베이비 모니터‧반려동물용 IP카메라가 해킹돼 영상이 유포됐고, 이달에는 디지털 도어락의 보안 취약점이 발견돼 논란이 일었다.

실제로 러시아의 웹사이트 인세캠(Insecam)에서는 보안이 뚫린 IP카메라의 영상을 실시간으로 볼 수 있을 정도다.

김태형 SK인포섹 EQST그룹 랩장은 "해커들에게 사물인터넷 해킹은 흥미를 유발하는 분야"라면서 "5G 시대에 모든 센서가 연결되면 스마트시티와 스마트팩토리도 해킹의 위협에 노출될 수 있다"고 말했다.

◆해킹된 영상, 다크웹에서 무제한적으로 확산

문제는 유출된 IP카메라의 영상이 다크웹에서 제한없이 확산된다는 점이다. 흔히 월드와이드웹(WWW)으로 알려진 인터넷은 3단계로 구분된다. 검색엔진으로 찾을 수 있는 네이버, 구글 등 포털은 겉으로 드러난 표면, 서피스웹(Surface web)이다.

반대로 검색엔진으로 찾을 수 없는 사이트를 딥웹(Deep Web)이라고 한다. 딥웹에는 개인의 이메일부터 의료기록, 회사 내부망 등이 속해있다. 그중에서도 다크웹(Dark Web)은 토르(TOR) 같은 특수한 웹 브라우저를 사용해야 접근할 수 있다.

일반적으로 검색가능한 인세켐이나 쇼단 같은 사물인터넷기기 해킹 사이트는 서피스웹에 속한다. 과학기술정보통신부도 해당 사이트를 모니터링하고 있다. 해킹을 통해 유출된 사물인터넷기기 영상 사례 건수는 지난해 1분기 3,568건에서 3분기 256건으로 급격하게 유출 건수가 감소했다.

하지만 다크 웹에 유출된 영상은 단속의 대상에서 벗어나 있다. 다크웹은 접속 자체는 불법이 아니지만 익명성을 기반으로 음란물은 물론 마약, 범죄 관련 정보가 제한 없이 유통돼 범죄의 온상으로 꼽힌다.

장형욱 SK인포섹 EQST그룹 전문위원은 "다크웹에는 IP카메라 해킹 동영상 등 비밀리에 촬영된 사생활 침해 영상이 모여있다"며 "누구나 내려받을 수 있는 소프트웨어를 통해 접근이 열려 있는 상황"이라고 다크웹의 위험성을 경고했다.

이날 간담회에서는 현장에서 직접 다크웹에 접속하는 시연도 이뤄졌다. 간단한 작업을 통해 개인이나 유명인의 사생활 영상과 사진을 볼 수 있었다. 하지만 다크웹은 해외 IP를 여러 단계로 경유하며 철저하게 익명성이 보장되는 공간이라 수사를 위해서는 국제적인 공조가 필요하다.

현실적으로 사물인터넷기기 속 영상을 유포당한 피해자가 생겨도 범인을 찾는데 오랜 시간이 걸리거나 검거하기 어려운 실정이다. 국내에서 다크웹의 불법사이트를 차단하려 시도한 적은 있지만 사이트를 차단하더라도 다른 주소로 옮겨갈 뿐 끊임없이 문제점이 노출되고 있다.

지난 2016년에는 국정감사에서도 다크웹과 다크웹에서 유통되는 불법 정보들에 대한 질타가 이어졌지만 아직까지 근본적인 대책 마련은 이뤄지지 못한 상황이다.

인터넷을 사용하는 국가 중 다크웹을 차단한 국가는 현재 중국이 유일하다. 하지만 이는 중국 정부가 검열을 목적으로 강하게 인터넷 자체를 규제했기 때문에 가능했던 것으로 분석된다. 이외에도 러시아, 이란 등 여러 국가에서 토르 브라우저를 통한 다크웹 접속을 차단하려 시도하고 있지만 여의치 않는 실정이다.

◆개인 사용자는 초기 비밀번호 변경으로 예방…스마트시티 관련 대응책은 아직

개개인의 가정용 IP카메라의 경우 초기 비밀번호를 바꾸는 것 만으로도 대부분의 사물인터넷기기 해킹을 예방할 수 있다. 이재우 SK인포섹 EQST그룹 그룹장은 “해커들이 자동화된 공격 기법을 사용하기 때문에 초기 비밀번호만 바꿔도 70~80%의 사물인터넷기기 해킹을 예방할 수 있다”고 말했다.

이 그룹장은 "일반 사용자들은 관리자 프로그램에 접속해 비밀번호를 바꾸는 것도 어려워 하는 것이 문제"라며 "향후 FIDO 등 인증기법이 통합되고 관련 정부 R&D 과제가 진행되면 어느정도 해결될 수 있을 것"이라고 말했다.

하지만 개인이 아닌 정부 주도의 스마트시티‧스마트팩토리는 아직 사물인터넷 보안에 큰 투자를 하고 있지 않아 위협에 노출돼 있다는 평가다.

정보보안 업체 이글루시큐리티의 '2019년 보안 위협·기술 전망 보고서'에 따르면 스마트시티의 사물인터넷 기술 도입과 IT 인프라 환경 변화에 발맞춰 해커들의 새로운 공격 형태가 이어질 것으로 보인다.

해커들이 적대적인 기계학습을 토대로 인공지능(AI) 기술을 활용해 방어 기법을 우회하거나 수많은 사용자와 기기·시스템이 유기적으로 연결된 스마트시티의 취약점을 노려 침투하는 등의 움직임이 예상된다.

지금도 다크웹에서 개인정보와 사물인터넷 기기의 정보가 유통되는 상황, 업계에서는 스마트시티와 사물인터넷에 대해 정부가 보안 투자를 강화해야 한다는 목소리가 높다.

한 업계 관계자는 "정부에서 하는 스마트 기반 사업은 보안성을 많이 검토하고 있지 않다"며 우려를 나타냈다. 그는 "보안 사항을 강제하는 법률적인 조치 등이 아직은 미비한 게 현실"이라고 말했다.