“중국산 로봇청소기, 주인 몰래 실내 찰칵… 사생활 유출 위험”

소비자원-KISA 6개 제품 조사
“인증절차 허술해 접근-조작 가능… 카메라 기능, 보안에 특히 취약해
해커가 ID확보땐 사생활 엿볼수도”
국산 삼성-LG제품은 보안 ‘우수’

로봇청소기가 생활 필수가전으로 자리 잡은 가운데 가성비 제품으로 인기가 많은 중국산 로봇청소기 제품에서 사생활 침해와 개인정보 유출 가능성이 대거 확인됐다. 카메라를 달고 집 안 구석구석을 누비는 로봇청소기가 찍은 우리 집 사진이 외부로 유출되거나, 제3자에 의해 강제로 카메라가 켜질 수 있다는 것이다.

한국소비자원과 한국인터넷진흥원(KISA)은 2일 이 같은 내용의 국내 주요 로봇청소기 보안 실태 조사 결과를 발표했다. 소비자원은 시중에서 많이 판매되는 6개 모델을 대상으로 올 3∼7월 5개월간 모바일앱 보안, 기기 보안 등 40개 항목을 점검했다. 조사 대상은 국내 제품인 △삼성 ‘비스포크 AI 스팀’ △LG ‘코드제로 로보킹 AI 올인원’ 등 2개와 중국 제품인 △로보락 ‘S9 맥스V 울트라’ △드리미 ‘X50 울트라’ △에코백스 ‘디봇 X8 프로 옴니’ △나르왈 ‘프레오 Z 울트라’였다.

● 중국산 드리미 등 제품, 집 안 내부 사진 등 사생활 유출 위험

크게보기

6개 중 보안 위험이 드러난 제품은 중국산인 드리미와 에코백스, 나르왈 등 3개다. 이 제품들은 프리미엄급인 중국산 로보락보다 저렴한 ‘가성비 제품’으로 꼽히지만, 조사 결과 사용자 인증 절차를 제대로 갖추지 않아 사진 등 사생활 정보에 대한 불법적 접근이나 조작 가능성이 있는 것으로 나타났다.

특히 청소 시 장애물을 피하고 동선을 확인하는 카메라 관련 기능이 보안에 특히 취약했다. 나르왈과 에코벡스의 경우 해커 등 제3자가 사용자의 ID 정보 등을 확보하면 별도 인증 절차 없이 클라우드 서버에 저장된 사진·영상에 쉽게 접근할 수 있었다. 해커가 침입해 집 내부를 촬영한 사진을 가로채 외부로 노출할 수 있다는 얘기다.

드리미 제품의 경우에는 기존 사용자가 제3자에게 일부 권한(청소 등)을 공유하게 되면 해당 제3자가 사진첩 열람 기능에 접근해 사진을 탈취할 수 있을 뿐 아니라 카메라 기능까지 강제 활성화시킬 수 있었다. 제3자가 청소기 카메라를 통해 영상과 사진을 실시간 확인할 수 있는 것.

에코백스 제품에서는 외부인이 사용자의 사진첩에 악의적인 사진 파일을 전송할 수 있는 허점도 확인됐다.

● 국내 삼성 LG 제품은 ‘우수’ 평가… 로보락은 패스워드 강도 보안 ‘미흡’

국내산인 삼성과 LG 제품은 상대적으로 보안 성능이 우수한 것으로 나타났다. 로보락도 유사한 보안 수준을 보였다. 다만 로보락의 경우엔 나르왈, 드리미, 에코백스와 같이 패스워드 강도에 대한 안전 정책에서 ‘미흡’하다는 평가를 받았다. 로보락은 기기의 내부 동작을 해커가 쉽게 분석하지 못하도록 조치하는 ‘역공학 방지 기법’ 적용 항목에 대해서도 나르왈, 에코백스와 함께 ‘미흡’ 점수를 받았다.

기기를 작동하는 기본적인 프로그램인 펌웨어 보안 설정 항목은 국내와 중국산 6개 전체 제품 모두 충분치 않은 것으로 조사됐다. 6개 제품 모두 내부 보안 구조가 외부에 노출될 가능성이 있는 것으로 나타났다.

크게보기

이에 소비자원과 KISA는 우선 사생활 유출 가능성이 있는 취약점부터 즉시 개선하도록 조치하고, 나머지 문제들은 각 업체에개선조치 이행계획을 제출하도록 했다. KISA 관계자는 “사진 유출 위험이 가장 시급한 문제라고 보고 3개 중국 업체에 즉시 개선을 요청했다”고 전했다.

염흥렬 순천향대 정보보호학과 교수는 “2021년 아파트에 설치된 ‘월패드’(홈 네트워크 기기)를 해킹해 집 안 내부를 엿본 사건과 유사한 위험이 드러난 셈”이라며 “사물인터넷(IoT) 기기의 사생활 침해 우려가 있는 만큼 보안 인증제도 등을 강화해 나가야 한다”고 했다. 소비자원 관계자는 “소비자들도 로봇청소기 사용 시 안전한 비밀번호를 설정하고 주기적으로 보안 업데이트를 하는 등 기본적인 보안에 주의해야 한다”고 당부했다.