"방온도 높인 뒤 돈내놔"…IoT랜섬웨어 등장

해킹 대회서 시연…“IoT 가전 보안 취약 알리려”

인터넷에 연결해 다양한 조작을 가능하게 하는 사물인터넷(IoT)이 가전제품에도 널리 활용되고 있다. 국내에서도 제조사나 통신사들이 제휴를 맺고 사물인터넷 가전을 앞다퉈 선보이고 있다.

가정의 냉난방 장치를 관리하는 스마트 온도 ‘네스트 온도조절기’(Nest Thermostat)도 유명한 IoT 가전 중 하나다.

그런데 네스트 온도조절기를 조작해 실내 온도를 극한으로 고정시킨 뒤 돈을 요구한 스마트장치용 신종 랜섬웨어가 등장했다. 이 랜섬웨어는 수백 달러의 몸값을 지불할 때까지 일체의 작업을 할 수 없게 만드는 것이 특징이다.

여기까지만 듣고 보면 무시무시한 랜섬웨어가 아닐 수 없다. 그러나 다행스럽게도 이 랜섬웨어는 실제가 아닌, IoT 가전 보안의 중요성을 일깨우기 위한 목적에서 시연된 기술이다.

실제로 IoT 기기를 겨냥한 바이러스 등은 아직 발견되지 않았다. 하지만 2명의 보안 연구자들은 IoT 보안에 대한 경각심을 높이기 위해 네스트 온도조절기를 무력화시키는 감염 랜섬웨어를 개발했다. 보안 전문가들은 “많은 IoT 기기들이 안전하지 않은 인터넷 연결을 하고 있다”는 지적을 하고 있다

■ SD카드 삽입해 감염기기 권한 빼앗아

IoT 가전 랜섬웨어 제작자는 앤드로 티어니와 켄 먼로 씨로 영국의 테스트 파트너스라는 보안 회사 직원이다. 두 사람이 만든 랜섬웨어는 네스트 온도조절기를 해킹해 실내 온도를 극한으로 설정한 상태에서 몸값을 요구하는 방식이다.

두 사람은 네스트 온도조절기 액정 디스플레이에 리눅스를 실행하고 금전을 요구하는 화면을 띄워보였다. 이 랜섬웨어는 지난 4일부터 7일까지 열린 해킹 컨퍼런스 ‘데프콘’에서 개념 설명과 함께 실제 해킹 실험 장면이 시연됐다.

실험에서 이 랜섬웨어는 본체에 SD 카드를 삽입해 감염된 기기의 모든 권한을 빼앗았다. 연구원은 네스트 온도조절기가 삽입된 SD카드에 포함된 파일을 거의 확인하지 않고 실행하는 것을 알고 악성 코드를 만들었다.

악의적인 해커가 SD카드에 악성코드를 심고, 이를 모르는 사용자가 해당 SD카드를 네스트 온도조절기에 꽂게 될 경우 해킹이 가능하다는 뜻이다.

랜섬웨어 제작자는 IoT 기기를 사용함에 있어 안전대책이 제대로 갖춰지지 않은 것을 알리기 위한 목적으로 이번 실험을 진행했다.

두 사람은 “사용자는 자신의 IoT 가전이 어떻게 움직이고, 무엇을 하고 있는지 잘 알지 못한다. 또 이해하지 못하는 것을 사용하기 때문에 그 대처법도 갖고 있지 않다”고 경고했다.

아이폰에는 iOS10을 통해 IoT 기기를 조작할 수 있는 공식 기능이 탑재되는 것으로 알려졌다. 이처럼 집안의 가전이 점점 인터넷에 연결돼 가는 추세다.

외신은 “이전에도 삼성 스마트 냉장고에서 구글 계정의 로그인 정보가 유출될 가능성이 있는 취약점이 지적됐던 만큼 IoT 기기의 보안 강화가 요구된다”고 조언했다.