구글 건물관리시스템, 해킹위협에 노출돼

구글 호주 지사의 건물관리시스템(BMS)이 약 1년 전 보안취약점에 노출됐던 것으로 나타났다. 그 뒤 패치를 통해 취약점은 제거됐으나 산업시설에 대한 보안이슈는 지속될 전망이다.

6일(현지시간) 외신은 미국 보안회사 사일랜스가 임베디드 시스템에 널리 사용되는 QNX 운영체제(OS)를 사용하는 산업제어시스템인 트리디움 나이아가라에서 이 같은 취약점을 발견해 구글에 통보했다고 보도했다.

구글 호주 지사는 트리디움을 통해 건물을 관리하고 있다. 트리디움 제조사측은 작년 8월에 취약점에 대한 패치를 배포한 바 있다. 사일랜스는 모든 보안조치가 취해진 뒤에야 해당 내용을 블로그를 통해 알렸다.

사일랜스는 자체적으로 제작한 커스텀 익스플로잇을 이용해 트리디움 시스템의 특정 기기설정을 다루는 민감한 파일을 추출했다. 'config.bog'라는 이 파일은 건물 내의 냉난방공조시스템, 배수시스템 등을 제어하는 기기들을 다룬다. 심각한 점은 해당 파일 내에 관리자 권한의 ID와 암호화된 비밀번호가 들어있다는 점이다. 비밀번호만 풀어내면 BMS를 해커 마음대로 조종할 수 있게 되는 셈이다.

이 회사 연구팀은 실제로 특별히 제작된 툴을 이용해 암호화된 비밀번호를 풀어내고, 이를 이용해 관리자로 로그인 한 뒤 해당 건물 3층의 배수시스템과 냉난방공조시스템(HVAC)을 조작할 수 있다는 점을 확인했다.

사일랜드는 이 같은 취약점을 구글 취약점 보상 프로그램(VRP)을 통해 알렸다. 구글은 즉시 해당 시스템을 오프라인으로 만들었다.

이 회사는 이미 트디리움을 사용하는 2만5천개의 기기에서 취약점을 발견했다고 밝혔다.