여러분은 IoT(Internet of Things, 사물인터넷) 기기를 사용하고 계신가요? 스피커 음성 인식 기능을 통해 날씨를 알아보고 모바일 어플을 통해 전기를 조절하는 등 우리는 티비, 유튜브 등 여러 매체를 통해 IoT 기기에 대한 광고를 쉽게 접할 수 있습니다. 사실 IoT 보안은 우리가 생각하는 것보다 더 큰 영향력을 가지고 있습니다. IoT가 빠르게 발전하면서 웹과 연결된 장치가 급증하고 있는 것 뿐만 아니라 이를 활용하는 산업의 수가 증가하고 사회 기능을 형성하고 있습니다. 예를 들어 IoT 장치는 수도, 천연 가스 및 전기와 같은 중요한 자원을 모니터링하고 제어하기도 합니다. 그렇기 때문에 IoT는 사실 우리가 상상하는 것보다 더 많은 방법으로 우리에게 영향을 줍니다.


멀웨어와 IoT 보안
 
해커들은 IoT 취약성을 활용하여 컴퓨터 시스템에 악영향을 줄 수 있고 봇넷과 네트워크 트래픽 하이재킹의 형태로 IoT 장치를 소유하지 않은 사람에게 영향을 미칠 수 있습니다. 이는 노트북이나 PC에서 발견되는 멀웨어와 IoT 장치에서 발견되는 멀웨어 사이에 큰 차이가 없기 때문에 가능합니다. 멀웨어는 시스템을 감염시키기 위해 실행 코드, 스크립트 등의 형태로 사용할 수 있는 악성 소프트웨어로 정의됩니다. 사실 IoT 장치는 개인용 PC보다 훨씬 더 취약할 수 있습니다.

IoT 장치들은 일반적으로 운영 체제와 처리 능력이 제한적이기 때문에 최신 보안 방법을 고려하지 않고 만들어지고 또 시장에 출시될 수 있습니다. 결과적으로 멀웨어와 다른 종류의 악용은 IoT 장치의 주요 문제입니다. 경우에 따라 디폴트 암호(기본적인 암호)를 변경하지 못하여 공격에 매우 취약할 수 있습니다.

 
DDoS, 봇넷 등
 
요즘에는 해커가 취약한 IoT 장비를 타겟팅하여 봇넷을 구성하여 DDoS 공격을 수행하는 경향이 있습니다. 더 충격적인 것은 IoT 장치 소유자는 자신의 장치가 봇넷이 되었다는 것을 모를 수 있다는 것입니다.

하지만 이 시나리오는 새로운 것이 아닙니다. 글로벌 DNS 제공 업체인 Dyn 을 침몰시킨 DDoS 공격 기억하시나요? Dyn은 blog.pentasecurity.com처럼 인간의 언어로 된 인터넷 주소를 받아 관련 IP 주소를 전달하는 서비스를 제공합니다. Dyn은 작년 가을, Dyn의 서비스를 불능 상태로 만들어서 Dyn의 고객사로 가는 트래픽을 막아버렸습니다. 조사 결과, 해당 DDoS 공격에는 카메라나 DVR 같은 사물 인터넷 디바이스가 5만~10만 대 포함됐는데, 모두 미라이 봇넷에 감염된 것들로 밝혀졌습니다.
 
이것은 IoT 해킹이 일반 사용자에게 간접적인 영향을 줄 수 있는 많은 사례 중 하나일 뿐입니다. 사실 IoT 해킹의 영향은 봇넷 및 DDoS 공격에만 국한되지 않습니다. 악성 프로그램에 감염된 장치는 로컬 네트워크를 해킹하여 네트워크 트래픽을 모니터링하고 사용자의 허가없이 정보를 제 3자에게 보낼 수 있습니다. 또한 IoT 장치가 트래픽을 익명화해 IP 카메라 또는 TV에 침투할 수 있는 프록시로 사용될 가능성도 있습니다.
 
많은 산업 분야에서 IoT 장치를 사용하고 있습니다. 이 말은 단순히 IoT 시장의 확대만을 의미하는 것은 아닙니다. 개인 정보 보호 관련해서 물리적 안전 문제가 발생할 가능성을 의미하기도 합니다. 예를 들어 의료 산업은 환자를 관리하고 치료하기 위해 종종 IoT 장치에 의존합니다. 물과 전기 같은 중요한 공공 인프라는 그 중요성으로 인해 공격 받기 쉽습니다. 간단히 말해 IoT 장치를 소유하고 있든 없든, 사용자는 우리가 간접적으로 어느 정도 영향을 받습니다.
 

IoT의 미래
 
IoT 보안은 계속해서 고민해야 하는 문제입니다. 커넥티드 카가 이미 자동차 산업을 변화시키면서 전 세계적으로 생산되는 자동차의 75% 에는 인터넷에 연결된 하드웨어 및 소프트웨어가 장착될 것으로 예상됩니다. 이미 우리는 자동차에서 음악을 스트리밍하고, 온라인 네비게이션을 통해 기타 서비스를 검색하고, 교통 및 기상 조건을 알려주는 음성을 들을 수 있습니다.

IoT 보안은 IoT 장치 소유 여부와 상관 없이 모든 사람이 고려해야 할 주제입니다. IoT 시장이 급속도로 성장함에 따라 웹과 연결된 장치의 보안 측면에 중점을 두고 있지만, IoT 장치는 본래의 취약성과 비 소유자의 보안에도 간접적인 영향을 미치기 때문에 계속해서 주의를 기울여야 합니다.