쿠팡이나 알리익스프레스를 둘러보다 보면 3~4만 원짜리 안드로이드 TV 스틱이나 셋톱박스가 정말 많이 보이는데요. '넷플릭스, 유튜브 다 되고 4K 지원'이라는 문구에 혹해서 장바구니에 담기 쉽죠. 그런데 보안 전문 저널리스트 브라이언 크렙스(Brian Krebs)가 이런 저가 스트리밍 기기를 사기 전에 꼭 알아야 할 이야기를 정리했어요. 결론부터 말하면, 출처가 불분명한 저가 기기 중 상당수가 공장에서 출하될 때부터 악성코드를 품은 채로 우리 집 거실에 도착한다는 거예요.
박스를 뜯는 순간 봇넷에 가입됩니다
이 기기들의 문제는 사용자가 뭘 잘못 눌러서 감염되는 게 아니라는 점이에요. 펌웨어, 그러니까 기기 운영체제 깊숙한 곳에 악성코드가 미리 심어진 채로 팔리는 거거든요. 대표적인 게 '배드박스(BadBox)'라고 불리는 악성코드 계열인데, 전원을 켜고 인터넷에 연결하는 순간 기기가 조용히 범죄 조직의 서버에 접속해서 명령을 기다리는 '봇넷'의 일원이 돼요. 봇넷이 뭐냐면, 해커가 원격으로 한꺼번에 조종할 수 있는 감염 기기들의 군단이라고 생각하면 됩니다.
이렇게 납치된 기기는 여러 용도로 팔려나가요. 가장 흔한 게 '주거용 프록시(residential proxy)'인데요. 범죄자들이 사기나 계정 탈취를 시도할 때 자기 IP를 숨기고 평범한 가정집 IP인 것처럼 위장해야 하거든요. 그때 우리 집 거실에 있는 TV 스틱의 인터넷 회선이 그 통로로 쓰이는 거예요. 내가 모르는 사이에 우리 집 IP 주소로 해킹 시도나 광고 클릭 사기가 벌어질 수 있다는 뜻이죠. 더 무서운 건 이 악성코드가 시스템 파티션에 들어 있어서 공장 초기화를 해도 지워지지 않는 경우가 많다는 거예요. 사용자가 할 수 있는 대응이 사실상 없는 셈이죠.
어떤 기기가 위험하고, 어떻게 구별하나요
핵심 구별법은 '구글 인증'이에요. 구글은 Play Protect 인증이라는 프로그램을 운영하는데, 인증을 통과한 기기만 정식 'Google TV'나 'Android TV' 브랜드와 구글 공식 앱을 쓸 수 있어요. 문제의 저가 기기들은 인증 없이 오픈소스 안드로이드(AOSP)를 마음대로 개조해서 쓰면서 겉모습만 정품처럼 꾸며놓은 경우가 대부분이거든요. 제품 설명에 'Android 12 탑재' 같은 말만 있고 인증 언급이 없다면, 그리고 들어본 적 없는 브랜드라면 일단 의심하는 게 좋아요. 구글이 공개하는 인증 기기 목록에서 모델명을 검색해보는 것도 확실한 방법이고요.
실제로 이 문제는 규모가 어마어마해서, 배드박스 계열 봇넷은 전 세계 수백만 대 규모로 추정되고 미국 FBI가 공식 경고문을 냈을 정도예요. 구글도 관련 조직을 상대로 소송을 제기했고요. 스트리밍 스틱뿐 아니라 저가 태블릿, 차량용 안드로이드 패널, 디지털 액자 같은 기기에서도 같은 계열 악성코드가 발견됐다는 점도 기억해둘 만해요.
개발자라면 한 번 더 생각해볼 지점
한국 개발자 입장에서 이건 남 일이 아니에요. 해외직구로 저가 IoT 기기를 사는 게 워낙 흔하고, 부모님 댁에 '유튜브 보시라고' 저가 셋톱박스를 놔드린 분들도 많잖아요. 실무적으로 챙길 수 있는 건 세 가지예요. 첫째, 스트리밍 기기는 애플 TV, 크롬캐스트, 로쿠처럼 인증받은 제품을 쓰는 것. 둘째, 이미 집에 있는 IoT 기기들은 공유기의 게스트 네트워크나 별도 VLAN으로 분리해서, 개발 장비가 물려 있는 메인 네트워크와 격리하는 것. 셋째, 공유기 관리 화면에서 낯선 기기나 이상한 트래픽이 없는지 가끔 들여다보는 습관이에요. IoT 제품을 만드는 개발자라면, 공급망 어디서든 펌웨어가 오염될 수 있다는 걸 전제로 부팅 시 서명 검증 같은 방어책을 설계해야 한다는 교훈이기도 하고요.
결국 요점은 이거예요. 하드웨어가 이상하게 싸다면, 진짜 상품은 기기가 아니라 그걸 사서 연결한 '나의 네트워크'일 수 있다는 것. 여러분 집에는 출처가 애매한 IoT 기기가 몇 대나 있나요? 홈 네트워크 분리, 다들 하고 계신가요?
🔗 출처: Hacker News