이렇게 생긴 무선공유기 조심해야... 교체 안 하면 큰일 벌어질 수도

미국 사이버보안 업체 벌른체크(VulnCheck)는 중국 통신장비 제조사 선전즈보퉁전자(Shenzhen Zhibotong Electronics)가 공개한 공유기 펌웨어 21종을 분석한 결과 모든 제품에서 외부 원격 제어를 가능하게 하는 기능을 확인했다고 최근 밝혔다. 문제의 기능은 2년 넘는 기간에 걸쳐 배포된 펌웨어 전부에 심겨 있었다. 해당 하드웨어는 Zbtlink, Wiflyer, ZBT, ZBTWiFi 등 여러 상표를 달고 아마존과 알리익스프레스, 알리바바, 쇼피파이 등에서 판매돼 왔다. 같은 기기가 여러 상표로 되팔리는 구조여서 실제 영향을 받는 제품은 확인된 것보다 많을 수 있다.

벌른체크 제로데이 연구팀은 이 백도어에 '엔드리스도어스(ENDLESSDOORS)'라는 이름을 붙였다. 제이컵 베인스 벌른체크 최고기술책임자(CTO)는 알리바바에서 사들인 Zbtlink AX3000(모델명 Z8102AX-2DSIM)을 분석하다 리눅스 커널 스레드인 것처럼 위장한 프로그램 두 개가 관리자(root) 권한으로 실행되고 있는 것을 발견했다. 정상적인 커널 스레드는 프로세스 목록에서 대괄호로 표시되지만, 이들은 대괄호 없이 일반 사용자 영역에서 돌아가는 실제 프로그램이었다. 베인스 CTO는 정상 프로세스 사이에 섞여 눈에 띄지 않도록 이름을 붙인 이식형 악성 프로그램이자 '집으로 전화를 거는' 트로이목마라고 설명했다.

이 기능의 핵심은 'rctl(remote control linux)'이라는 소형 원격 제어 도구다. 2015년 1월 깃허브(GitHub)에 올라온 뒤 한 번도 손대지 않은 공개 코드다. 공유기에 심긴 변형판은 전원이 켜지면 자동으로 작동해 특정 IP 주소와 중국 등록 도메인 등 몇 개의 고정된 서버에 약 35초마다 접속을 시도한다. 통신 과정에는 어떠한 인증이나 암호화, 서버 확인 절차도 없다. 공유기가 서버에 짧은 등록 메시지를 보내면, 서버가 되돌려 보내는 명령을 그대로 관리자 권한으로 실행하는 구조다. 특정 명령을 받으면 별도 통로를 열어 외부에서 실시간으로 조종할 수 있는 관리자 셸까지 내준다.

보안 전문가들이 특히 심각하게 보는 대목은 공유기가 스스로 바깥으로 접속을 시도한다는 점이다. 기기가 먼저 전화를 걸기 때문에 통상적인 방화벽이나 네트워크 주소 변환(NAT)을 그대로 통과한다. 여러 겹의 방화벽 뒤에 놓인 기기라도 공인 IP를 가진 기기만큼 쉽게 접근할 수 있다는 뜻이다. 도메인을 손에 쥔 쪽은 공유기를 발판 삼아 같은 인터넷에 연결된 노트북과 카메라, 저장장치, 로봇청소기 등으로 침투 범위를 넓힐 수 있다. 이 취약점은 위험도 9.3(10점 만점)의 고위험 등급으로 분류됐고 CVE-2026-66747 번호가 부여됐다.

베인스 CTO는 이런 공유기가 전 세계에 최소 10만 대 깔려 있는 것으로 추정했다. 다만 미국 내에 얼마나 있는지는 정확히 파악하기 어렵다고 했다. 또한 해당 수치는 실제 침해가 확인된 규모가 아니라 노출 가능성이 있는 규모라고 선을 그었다. 단순한 설정 오류가 아니라 기기 자체에 기능이 내장된 채 출고되는 방식이어서 개별 패치로 해결하기도 쉽지 않다. 현재까지 이 기능이 실제 사이버 공격에 악용됐거나 중국 정부 등 국가기관이 개입했다는 증거는 공개되지 않았다. 선전즈보퉁전자 측은 이 기능이 사후 유지보수용으로만 쓰이며 대체로 샘플 기기에만 남겨둔다고 해명했다. 다만 회사는 이 해명과 별개로 홈페이지에서 문제가 된 펌웨어 내려받기를 중단하고, 보안 취약점이 확인돼 예방 차원에서 해당 버전을 임시로 내렸다는 공지를 올렸다.

이번 사안은 중국산 네트워크 장비의 보안 위험을 둘러싼 서방의 경계와 맞물려 있다. 미국 연방통신위원회(FCC)는 지난 3월 23일 국가안보를 이유로 미국 밖에서 만든 신규 가정용 공유기의 수입과 판매를 전면 금지했다. 이미 설치된 기기에는 적용되지 않지만 새로 들여오는 제품은 모두 규제 대상에 오른다. 브렌던 카 FCC 위원장은 수입 공유기가 미국 핵심 기반시설을 즉각적이고 심각하게 교란할 수 있다는 백악관 검토 결과를 근거로 들었다. 앞서 켄 팩스턴 미국 텍사스주 법무장관은 지난 2월 미국 소비자 기기에 대한 중국의 접근을 허용했다며 공유기 제조사 TP-Link를 상대로 소송을 냈다. TP-Link는 중국 정부가 회사와 제품, 이용자 데이터를 소유하거나 통제하지 않는다며 맞섰다.

이런 위험이 이론에만 그치지 않는다는 사실은 카메라가 달린 중국산 가전에서 이미 확인됐다. 2024년부터 미국 여러 도시에서 해킹당한 중국산 로봇청소기가 이용자를 따라다니며 인종차별적 욕설을 내뱉는 일이 벌어졌다. 문제가 된 제품은 에코백스(Ecovacs)의 프리미엄 모델 디봇(Deebot) X2다. 한국 오픈마켓에서도 100만 원이 넘는 값에 팔릴 만큼 국내에 알려진 청소기다.

미국 미네소타에 사는 변호사 다니엘 스웬슨씨는 텔레비전을 보던 중 로봇청소기가 갑자기 오작동을 일으켰다고 했다. 처음엔 무전기처럼 끊기는 소리가 들렸고, 앱을 확인하니 낯선 사람이 청소기의 카메라와 원격 제어 기능에 접속해 있었다. 스웬슨씨는 일시적 오류로 여겨 비밀번호를 바꾸고 기기를 재부팅했다. 그런데 소파에 다시 앉자마자 청소기가 움직이며 열세 살 아들 앞에서 인종차별적 욕설을 크게 쏟아냈다. 'F'와 'N'으로 시작하는 비속어가 반복됐다. 스웬슨씨는 청소기를 곧바로 끄고 창고에 넣은 뒤 다시 켜지 않았다. 그는 욕실 근처에 있던 청소기가 옷을 입지 않은 가족을 촬영할 수도 있었다는 생각에 두려움을 느꼈다고 했다.

같은 모델에서 비슷한 일이 잇따랐다. 스웬슨씨가 피해를 본 2024년 5월 로스앤젤레스에서는 디봇 X2가 욕설을 하며 반려견을 쫓아다녔고, 텍사스주 엘파소에선 또 다른 청소기가 주인에게 욕설을 퍼붓다 전원을 뽑고 나서야 멈췄다.

이런 사태가 벌어지기 앞서 보안 연구진은 2023년 12월 한 해킹 콘퍼런스에서 에코백스 청소기와 제어 앱의 보안 결함을 공개했다. 가장 심각한 것은 해커가 100m 넘게 떨어진 거리에서도 블루투스 연결로 기기에 접근할 수 있었다는 점이다.

영상 스트림을 보호해야 할 PIN 코드는 앱에서만 확인될 뿐 서버나 청소기 본체에서는 검증되지 않은 까닭에 기술적 지식이 있는 사람이라면 얼마든지 우회할 수 있었다. 카메라가 켜질 때 울리는 경고음도 원격으로 끌 수 있었다.

국내에서도 카메라가 달린 중국산 로봇청소기의 취약점이 확인됐다. 한국소비자원과 한국인터넷진흥원(KISA)은 지난해 9월 시중에 유통 중인 로봇청소기 6개 제품을 점검한 결과 일부에서 사생활 침해로 이어질 수 있는 허점을 찾아냈다고 밝혔다. 중국산인 에코백스, 나르왈, 드리미 제품은 모바일 앱 인증 절차가 부실해 제3자가 불법적으로 접근할 수 있었다. 에코백스 '디봇 X8 프로 옴니'와 나르왈 제품은 청소기가 찍은 집 내부 사진과 영상을 별도 인증 없이 클라우드 서버에서 조회하거나 빼낼 수 있었다. 드리미 'X50 Ultra'는 일부 권한만 넘겨받아도 카메라를 강제로 켜 촬영 화면을 실시간으로 볼 수 있었다. 국내 점유율 1위인 로보락 제품에서는 비밀번호 보안 강도가 낮은 미비점이 확인됐다. 반면 삼성전자와 LG전자 제품은 앱 접근권한과 비밀번호 정책, 업데이트 체계에서 양호한 평가를 받았다.