광주에 사는 결혼 1년차 황영서(여·30)씨는 결혼 선물로 친구들에게 받은 로봇 청소기를 쓰고 있지만, 카메라를 가리고 싶은 마음이 앞선다. 과거 가정용 홈캠(카메라) 해킹 사건 등이 연상되기 때문이다.

황씨는 “청소 중 방해되는 물건을 피하거나 문턱을 넘기 위해 있는 카메라지만 최근 월패드 해킹 등 위험 사례가 발생하다 보니 카메라를 없애고 싶다”며 “인터넷 등에서 개인 정보가 수집돼 중국으로 넘어간다는 ‘썰’을 본 뒤로는 더 불안해졌다”고 말했다.

최근 생활 필수 가전으로 자리 잡은 로봇 청소기에서 심각한 보안 취약점이 발견되면서 광주·전남 지역민의 불안감이 커지고 있다.

일부 중국산 제품에서 카메라가 강제로 활성화돼 집 내부 모습이 외부로 유출될 수 있고, 저장된 사진과 영상이 인증 절차 없이 조회·탈취되는 위험성이 있는 것으로 드러났기 때문이다.

한국소비자원은 “한국인터넷진흥원과 함께 시중에 유통 중인 로봇 청소기 6개 제품을 대상으로 보안 실태를 점검한 결과 이 같은 문제를 확인했다”고 2일 밝혔다.

점검 대상은 ▲나르왈 프레오 Z 울트라 ▲드리미 X50 Ultra ▲로보락 S9 MaxV Ultra ▲에코백스 디봇 X8 프로 옴니(이하 중국산) ▲삼성전자 BESPOKE AI 스팀 ▲LG전자 코드제로 로보킹 AI 올인원 등이다.

조사 결과 나르왈·드리미·에코백스 3개 제품은 모바일앱 인증 절차가 미흡해 불법 접근이 가능했고, 이로 인해 집 내부 촬영 사진이 외부에 노출되거나 카메라 기능이 강제로 켜지는 취약점이 확인됐다. 특히 에코백스 제품은 악성 파일이 사진첩에 전송될 수 있는 문제까지 발견됐다.

정책 관리 분야에서도 취약점이 발견됐다는 게 한국소비자원의 설명이다.

드리미 제품은 글로벌 웹사이트 포럼 게시판을 통해 사용자 식별자가 노출되면 이를 활용해 이름·전화번호·이메일 등 개인정보가 인증 절차 없이 조회될 수 있는 것으로 드러났다. 에코백스 또한 보안 업데이트 정책이 미흡해 보안 관리 체계가 상대적으로 취약한 것으로 평가됐다

기기 보안 분야에서는 드리미와 에코백스가 외부 포트(UART) 노출 등 물리적 보안 대책이 부족했다.

펌웨어 보안 항목은 6개 제품 모두 미흡 판정을 받았다. 불필요한 명령어나 취약한 라이브러리 사용이 발견돼 기기 내부 보안 구조가 외부에 노출될 가능성이 있다는 지적이다.

그나마 다행인 점은 삼성전자와 LG전자 제품의 경우 접근 권한 설정, 불법 조작 방지 기능, 안전한 패스워드 정책 등이 비교적 충실히 마련돼 종합 평가에서 우수 판정을 받았다는 점이다. 나머지 4개 제품은 전반적으로 보통 이하의 수준을 보여 제조사별 보안 역량 차이가 확인됐다.

소비자원은 조사 대상 6개 사업자에 모바일앱 인증 절차 강화, 하드웨어 보호, 펌웨어 보안 보완 등 부족한 부분의 개선을 권고했다. 모든 업체가 품질개선 계획을 회신했으며 일부 제품의 사생활 노출 취약점은 즉시 조치가 완료됐다.

한국소비자원 관계자는 “로봇 청소기 등 사물인터넷( IoT) 가전은 외부 서버와 연결돼 있어 보안이 취약하면 곧바로 개인정보 유출로 이어질 수 있다”며 “소비자는 로봇 청소기 사용 시 안전한 비밀번호를 설정하고 주기적으로 보안 업데이트를 하는 등 기본적인 보안에 주의해야 한다”고 당부했다.

한국소비자원과 한국인터넷진흥원은 이번 조사 결과를 과학기술정보통신부와 공유하고 IoT 제품 보안성 강화를 위한 정책·기술적 협력을 확대할 방침이다.

/김해나 기자 khn@kwangju.co.kr