무선공유기, 해커에겐 ‘정보공유기’… IP만 알면 개인정보 ‘술술’

■ 인기제품 해킹 시연해보니

국내 가정과 공공 장소에서 많이 사용하는 인터넷 무선공유기에 비밀번호를 설정해 놓더라도 인터넷주소(IP)만 알면 이 공유기를 사용하는 노트북이나 스마트폰 이용자들의 개인정보를 손쉽게 해킹할 수 있는 것으로 나타났다. 이는 동아일보와 코스콤이 10, 11일 공동 주최하는 해킹방어대회 및 정보보안 국제회의 ‘Secuinside 2012’에 앞서 3일 실시한 시연(試演)에서 확인됐다.

최근 와이파이 접속권역 안에서 스마트폰으로 금융거래를 하거나 소셜네트워크서비스(SNS)를 사용하는 사례가 많아 서둘러 해킹 대책을 마련하지 않으면 관련 피해가 급증할 수 있다는 지적이 나온다.

시연에서 해커스쿨 소속 해커인 홍정우 씨(26)가 국내 유명 A업체의 3만 원대 공유기 제품을 구입한 뒤 노트북에 미리 만들어 놓은 공격코드에 이 공유기의 IP를 입력했다. 그러자 몇 초 만에 공유기의 ‘최고관리자 권한’이 홍 씨에게로 넘어왔다.

이어 홍 씨는 공유기를 거치는 데이터를 수집할 수 있는 일명 ‘스니핑(sniffing)’ 프로그램을 공유기에 설치했다. 기자의 스마트폰으로 이 공유기를 통해 인터넷을 이용하자 스마트폰으로 입력한 검색어, 아이디, 비밀번호 등이 홍 씨의 노트북으로 쏟아져 들어왔다. 홍 씨는 “시연을 위해 A업체의 특정 제품과 펌웨어를 대상으로 공격코드를 짰지만 A업체의 최신 펌웨어 역시 해킹에 취약한 문제점이 발견됐다”며 “국내외 다른 제조업체의 공유기 제품 역시 외부망을 통한 해킹이 가능할 것”이라고 말했다.

이번 해킹은 아직까지 국내외에서 알려지지 않은 방식이다. 일반적으로는 비밀번호를 설정해 놓지 않은 공유기를 이용하거나 해커의 노트북을 불법 공유기로 만들어 해킹을 시도한다. 해커가 특정 공유기의 최대 100여 m 안에 있으면서 이 공유기에 접속하는 스마트폰 등의 정보를 빼낸다.

하지만 이번에는 해커가 공유기의 IP를 확보하면 외부 인터넷망을 통해 시스템을 장악할 수 있다. 특히 IP만 얻으면 장소와 거리에 관계없이 여러 공유기를 동시에 해킹하는 것이 가능하다. 개인정보를 빼내거나 바꿔치기할 수 있을 뿐만 아니라 공유기에 악성코드를 심은 뒤 접속하는 단말기를 좀비PC로 만들 수도 있다.

비밀번호를 설정해둔 공유기마저 해킹 위험에 노출될 수 있는 점이 확인되면서 기존의 보안방식이 무력해질 상황에 놓였다. 더구나 국내에서는 스마트폰이나 휴대용 단말기를 통한 금융거래가 많아 개인정보 유출에 따른 피해가 커질 수 있다. 정보보안업계에 따르면 개방형인 안드로이드 기반 스마트폰을 노리는 악성코드는 지난해 상반기 128개에서 하반기 2251개로 17배 이상으로 급증했다.

김승주 고려대 정보보호대학원 교수는 “스마트폰은 인터넷 접속 경로가 다양하고 PC에 비해 보안프로그램을 설치하기 어렵다”며 “하루가 다르게 해커들의 기술이 발전하고 있지만 국내 보안 기술력과 보안 의식은 이에 못 미치고 있다”고 말했다.

김철중 기자 tnf@donga.com　　
김상훈 기자 sanhkim@donga.com