IoT 기기를 이용한 대규모 디도스 공격이 발생하면서 IoT 보안 문제가 뜨거운 감자로 부상하고 있는 가운데, 보안에 취약한 IoT 기기 중 하나로 지목되는 가정용 인터넷 공유기의 15%가 ID/PW 관리조차 되고 있지 않으며, 텔넷 서비스에 접속할 수 있어 공격에 이용당하기 쉬운 것으로 나타났다.
유럽의 엔드포인트 보안 전문 업체 이셋(ESET)의 국내 법인 이셋코리아 (대표 김남욱)는 가정 및 중소기업에서 널리 사용되는 인터넷 공유기에 대한 보안 문제점을 분석한 보고서를 25일 발표하며 사용자들의 주의를 촉구했다.
이 조사는 1만2000 명 이상의 사용자를 대상으로 실시한 인터넷 공유기 보안성 테스트로, 공유기의 약 15%가 취약한 패스워드를 설정하고 있으며, 관리자 ID를 ‘admin’으로 사용하고 있는 것으로 나타났다. 테스트는 제품 출고시 설정된 관리자 ID 와 패스워드 뿐만 아니라, 일반적으로 자주 사용되는 ID 와 패스워드의 조합을 사용하여 수행되었으며, 7대 중 한 대가 관리자 계정으로 로그인이 가능했다.
7%의 공유기에서 중간 이상의 심각한 보안 취약점이 발견됐으며, 소프트웨어 취약점의 절반 이상은 접근 권한에 관련된 취약점이었다. 아울러 40%를 차지하는 커맨트 인젝션 취약점이 그 뒤를 잇고 있는데, 이 취약점은 입력 값 검증이 불충분한 취약한 애플리케이션을 통해 호스트 운영체제의 임의의 명령을 실행하기 위한 목적으로 사용된다.
발견된 소프트웨어 취약점의 약 10%는 너무 크로스 사이트 스크립팅(XSS) 취약점이며, 위조된 클라이언트 측 스크립트를 실행할 수 있도록 하기 위한 라우터 설정 수정이 가능하도록 만들 수 있다.
포트 스캔 결과 다수의 공유기에서 네트워크 서비스가 내부 네트워크에서 뿐만 아니라, 외부 네트워크에서도 접근이 가능한 것으로 나타났다. 테스트 공유기의 20% 이상에서 텔넷 서비스 등 보안에 취약한 서비스에 접근할 수 있었는데, 이러한 서비스는 외부 네트워크는 물론 내부 네트워크로도 개방을 권장하지 않는 서비스 포트이다.
이번 테스트 결과는 공유기가 흔히 발견되는 취약점을 이용하여 비교적 쉽게 공격할 수 있음을 명확히 보여주고 있으며, 이는 가정 내 인터넷 보안 뿐만 아니라, 다수의 중소기업 보안에 대한 아킬레스건이 될 수 있음을 알려주고 있다.
김남욱 이셋코리아 대표는 “가정에서 사용 중인 인터넷 공유기에 대한 보안 문제가 심각하며, 이는 전체 인터넷 보안의 사각지대로 될 가능성이 매우 높다”며 “가정 내에 사용하고 있는 IoT 기기의 보안 문제를 고려해야 한다”고 조언했다.
이셋은 가정 내에서도 인터넷 접근이 가능한 스마트폰이나 각종 IoT 기기 사용이 증가하고 있으며, 이들 기기에 담긴 정보 또한 점점 중요해지고 있기 때문에 인터넷 연결의 관문인 공유기 보안에 더욱 관심을 보여야 한다고 강조했다.
사용하고 있는 공유기의 펌웨어를 최신으로 업데이트하는 것이 필요하며, 관리자 계정은 보안성이 높은 패스워드로 관리해야 한다. 아울러 보안에 취약한 서비스나 사용하지 않는 서비스 포트는 모두 차단하는 것이 좋다.
가정에서 이러한 설정이 어렵다면 현재 사용 중인 안티바이러스 벤더의 도움을 요청하는 것도 좋은 방법이다. 특히 규모가 크지 않은 중소기업에서 공유기를 사용하는 경우 공유기의 보안 설정을 잘 이용해 기업 네트워크를 보호하는 것이 중요하다.
