|
IP카메라는 인터넷에 연결해 스마트폰 등으로 집 안을 실시간 확인하거나 영상을 녹화할 수 있는 사물인터넷(IoT) 기기다. 최근 영유아와 반려동물의 안전을 확인하려는 가정에서 사용이 늘고 있지만, 보안이 취약하면 사생활을 감시하는 수단으로 악용될 수 있다는 우려가 나온다.
소비자원과 KISA는 기기 하드웨어와 네트워크, 펌웨어, 모바일 애플리케이션(앱), 제조사의 보안 관리체계 등 37개 항목을 점검했다. 그 결과, 시험 대상 10개 제품 모두 보안 개선이 필요한 것으로 나타났다.
특히 로보뷰(GI-ROBOA7), 브이스타캠(VSTARCAM-800X), 파인뷰(K11) 등 3개 제품에서는 사용자 인증 절차가 미흡해 타인의 카메라에 무단으로 접근하거나 저장된 영상을 빼낼 수 있는 취약점이 확인됐다.
구체적으로, 로보뷰 제품은 기기 고유번호를 변경하면 공격자와 동일한 와이파이(Wi-Fi)에 연결된 다른 이용자의 카메라에서 실시간 영상을 열람할 수 있는 것으로 확인됐다. 기기 고유번호를 변경하는 과정에서 소유자 정보를 충분히 검증하지 않은 것이 문제였다.
브이스타캠 제품은 기기 고유번호를 변경하면 클라우드에 저장된 다른 이용자의 이미지를 조회하거나 탈취할 수 있었다.
파인뷰 제품에서는 더 광범위한 취약점이 발견됐다. 클라우드 관리자 계정정보를 탈취하면 여러 이용자의 사진과 영상을 한꺼번에 조회하거나 빼낼 수 있었다. 다른 이용자의 계정정보를 탈취해 실시간 영상을 열람하고 카메라를 원격으로 조작하는 것도 가능했다.
다만 이번 취약점은 보안 전문가들이 고도화된 공격 시나리오를 적용해 확인한 것으로, 실제 해킹이나 영상 유출 피해가 발생했다는 의미는 아니다.
KISA는 해당 업체들에 개선을 요청했으며, 로보뷰와 파인뷰는 보안 조치를 완료했다. 브이스타캠은 현재 개선 작업을 진행 중이다.
다른 제품들도 보안에 허점을 드러냈다. 다후아, 로보뷰, 브이스타캠, 아이피타임, 이글루, 타포, 파인뷰, 하이크비전 등 8개 제품은 안전한 통신 프로토콜을 사용하지 않아 데이터 송수신 과정에서 정보가 유출될 위험이 있는 것으로 조사됐다.
브이스타캠, 이글루, 파인뷰, 헤이홈 등 4개 제품은 외부에 노출된 테스트 단자가 활성화돼 있어 기기 내부 시스템에 접근하거나 정보를 유출할 위험이 있었다.
10개 제품 모두 내부 운영 소프트웨어인 펌웨어의 보안 설정이 미흡했고, 모바일 앱에서도 역설계 방지 기술이 취약한 것으로 나타났다. 다후아, 브이스타캠, 샤오미, 아이피타임, 타포 등 5개 제품은 안전한 비밀번호 설정 기준을 적용하지 않았다.
제조사의 사후 관리체계도 미흡했다. 로보뷰, 브이스타캠, 아이피타임, 이글루, 파인뷰, 헤이홈 등 6개 제품은 보안 업데이트 지원 기간을 확인할 수 없었다. 이 경우 이용자가 보안 취약점을 수정하지 못한 채 제품을 장기간 사용할 우려가 있다.
소비자원은 이 가운데 소비자 보유율이 높은 5개 제품을 대상으로 영상 품질도 비교했다.
영상 선명도는 샤오미(C500 PRO), 아이피타임(C500G), 이글루(S8)가 상대적으로 우수했다. 실제 색상을 정확하게 표현하는 능력은 헤이홈(스마트 홈카메라 Pro+)이 가장 좋은 평가를 받았다.
촬영 범위인 시야각은 이글루가 119도로 가장 넓었고, 헤이홈은 88도로 가장 좁았다. 화면 전체의 밝기가 고르게 유지되는 정도는 타포(TC74)가 가장 우수했다.
한편, 과학기술정보통신부는 이번 IP카메라 보안 실태점검 결과를 바탕으로 주요 제조사·유통사와 연내 간담회를 열어 소통을 강화하고, 이번 점검 대상이었던 제품에 대한 보안성 개선을 요구할 예정이다.
|
