中 로봇청소기, 사생활 침해 위험…KISA "3개 브랜드 시정 조치"

나르왈, 드리미, 에코백스 3개 제품 보안 취약 확인

삼성전자, LG전자 제품은 상대적으로 우수

KISA 전경 [사진=KISA]

중국산 월패드에 이어 로봇청소기에서도 보안 취약점이 발견됐다. 일부 제품에서는 집 안 사진이 외부로 유출되거나 카메라가 무단으로 활성화되는 등 사생활 침해 위험이 있는 것으로 드러났다.

한국인터넷진흥원(KISA)은 한국소비자원과 함께 시중에 판매 중인 로봇청소기 6개 제품을 대상으로 보안 실태를 점검한 결과 나르왈, 드리미, 에코백스 3개 제품에서 주요 보안 취약점을 확인해 즉시 조치했다고 2일 밝혔다.

이번 점검은 △모바일앱 보안 △정책 관리 △기기 보안(하드웨어·네트워크·펌웨어) 등 3개 분야 총 40개 항목을 중심으로 진행됐다. 

그 결과 모바일앱 보안 항목에서 나르왈(프레오 Z 울트라), 드리미(X50 울트라), 에코백스(디봇 X8 프로 옴니) 등 3개 제품이 사용자 인증 절차가 미흡해 외부인의 불법 접속이 가능한 것으로 나타났다.

나르왈과 에코백스 제품은 인증 없이 클라우드 서버에 저장된 사용자의 집 내부 사진이나 영상을 외부인이 열람할 수 있었다. 드리미 제품은 타 사용자에게 공유된 권한을 악용해 카메라 기능을 강제로 활성화할 수 있었다. 에코백스는 여기에 더해 악성 이미지 파일을 사용자 사진첩에 저장할 수 있는 허점이 있었다. 

정책 관리 항목에서는 드리미 제품의 개인정보 보호가 미흡한 것으로 나타났다. 사용자가 글로벌 웹사이트 포럼에 글을 작성할 경우, 고유 식별자(ID) 정보가 노출되며 이를 통해 이름, 연락처, 이메일 주소 등 개인 정보에 접근할 수 있는 취약점이 발견됐다.

기기 보안 부문에서는 드리미와 에코백스 제품의 하드웨어에서 보안 포트 노출, UART 인터페이스 비활성화 미흡 등 물리적 보안이 미흡한 것으로 나타났다. 또한 조사대상 전 제품은 펌웨어 보안 설정이 불충분해 해커가 기기 내부 시스템에 접근할 가능성도 확인됐다.

한편, 국내 로봇청소기 시장 점유율 1위 업체 로보락을 비롯해 삼성전자와 LG전자 제품은 모바일앱 보안, 정책 관리, 기기 보안 등 전 분야에서 상대적으로 우수한 평가를 받았다. 접근 권한 설정, 패스워드 정책, 소프트웨어 업데이트 체계가 비교적 잘 마련되어 있다는 점에서 좋은 평가를 얻었다. 

KISA와 한국소비자원은 이번 조사 결과를 바탕으로 관련 사업자에게 보안 개선을 권고했으며, 모두 품질 개선 계획을 회신하고 주요 취약점에 대해서는 즉시 조치를 완료했다고 밝혔다.

KISA는 “로봇청소기는 카메라와 센서를 통해 외부 서버와 통신하는 사물인터넷(IoT) 제품으로, 보안성이 떨어질 경우 사생활 유출 우려가 크다”며 “관련 기관과 협력해 IoT 제품의 보안 점검과 정책적 지원을 강화할 계획”이라고 전했다.

소비자들에게는 로봇청소기를 사용할 때 안전한 비밀번호 설정과 정기적인 보안 업데이트 등 기본적인 보안 수칙 준수를 당부했다.