블루투스 연결 IoT 디바이스 해킹 공격 매우 취약

블루투스 제로데이(Bluetooth Zero Day) 취약점 8개 발견, 망분리된 기기까지 감염 가능

스마트폰, 스마트TV, 컴퓨터, 노트북, 카오디오, 스마트워치, 주방기기 등 블루투스를 통해 연결되는 수십억대의 IoT 기기들이 해킹 공격에 매우 취약하다는 연구 발표가 나왔다.

해커는 다른 블루투스 기기들을 제어하여, 악성 소프트웨어인 멀웨어(Malware)를 깔고 여타의 활동이 가능하다고 한다.

블루투스의 취약점은 윈도우, 리눅스, 안드로이드, iOS 10 이하 버전에서 드러났으며, 사용자와의 상호작용 없이 해당 기기들을 빠르게 감염시킨다고 한다.

더욱더 놀라운 점은 무려 블루투스 망에서 분리되어진 장치들까지도 감염 시킬수 있다는 점이다.

지난 9월 12일 미국의 IoT 보안업체 아미스(Armis)에서는 자사에서 찾아낸 제로데이 취약점 8가지를 합쳐서 '블루본(BlueBorne)'이라는 이름을 붙였다.

아미스는 그동안 발견된 보안 취약점들보다 블루본은 매우 위협적이라고 밝혔다.

블루본은 인증 시스템을 우회하여 기기의 페어링(연결)을 하지 않아도 공격이 가능하기 때문이다.

이번 취약점은 해커가 장치 1개를 멀웨어(Malware)로 감염시키고, 빠르게 다른 장치로 해당 멀웨어를 전파 가능하다고 한다.

해커는 블루투스 세팅 상태를 조회하고 랜섬웨어를 심거나 정보를 취득하여 사이버 범죄를 일으키거나, 감염된 기기를 통해 악성코드를 전파하는 봇(Bot)이 심어진 좀비PC로 구성된 네트워크인 '봇넷(Botnet)'을 만들수도 있다.

이에 대해 마이크로소프트(Microsoft)와 구글(Google)은 취약점을 개선할수 있는 패치를 긴급하게 제작하여 배포했다.

리눅스 보안 부서 또한 해당 취약점을 파악하고 해결하기 위한 작업에 착수했다고 한다.

미국의 보안 전문 업체인 바로니스(Varonis)의 엔지니어인 마이크 벅비(Mike Buckbee)는 "블루투스는 보통 소비자용 장치에 이용된다. 일반적으로 블루본은 기업에 큰 문제를 끼치는건 아니다"고 말하며 "직원과 고객 모두 블루본의 영향을 받을것이며, 문제는 해당 문제를 빠르게 패치를 통해 해결하는게 현실적으로 어렵다"고 밝혔다.

아미스가 발표한 8가지 취약점 중에 4개는 안드로이드 시스템에 영향을주며 윈도우 시스템에서는 1개, 리눅스에는 2개의 취약점이 문제를 일으킬 수 있다고 한다. 특히 리눅스를 사용하는 기기인 삼성의 스마트워치, 스마트TV, 냉장고 등 리눅스 기기는 정보 유출에 취약한 것으로 확인되었다.

마지막으로 아미스는 현재의 모바일 정보 관리 툴이나 보안 솔루션으로는 블루본의 공격을 감지할수 없다며, 공격들에 대비하여 새로운 솔루션이나 보안툴의 개발이 시급하다고 전했다.

보안 업체 트립와이어(Tripwire)의 관계자는 "현재로서 최선은 꼭 필요한 경우 외에는 블루투스를 끄고, 유선기기를 사용하는 것"이라고 말하며, 특히 기밀의 데이터를 다루는 상황에서는 더욱더 문제의 심각성을 인지해야 한다고 강조했다.

다양한 무선통신기술을 통하여 IoT(사물인터넷)가 구현되고, 대부분의 기기들이 상호 데이터를 전송하여 연동되는 세상입니다.

굳이 컴퓨터를 켜지 않아도 스마트TV만으로 인터넷 정보 검색이 가능하고 유튜브의 영상도 볼수 있습니다.

스마트워치는 스마트폰과 연동하여 메시지와 다양한 정보를 보여줍니다.

요즘은 이렇게 대부분의 기기에서 사용자의 정보를 상호 교환하여 편리하게 다양한 정보를 얻을수 있습니다.

그만큼 다양한 기기의 네트워크는 점점 더 보편화되고 방대해지고 있습니다.

블루본(BlueBorne)처럼 해커의 의도대로 사용자 기기의 권한과 정보를 가져가서 악용하는 범죄 시도도 그만큼 늘어날 수 있습니다.

다양한 기기의 제조사들은 성능과 디자인도 중요하지만 무엇보다 중요한 사용자의 정보 보호에도 투자를 아끼지 말아야 하겠습니다.