 |
| 새미 아즈두팔이 DJI 로모 진공청소기를 플레이스테이션 5 게임 패드로 조종하는 모습 [더버지] |
[헤럴드경제=김보영 기자] 스페인의 한 소프트웨어 엔지니어가 제조업체의 보안 결함으로 인해 의도치 않게 전 세계 로봇청소기 약 7000대의 제어권을 탈취하는 일이 벌어졌다. 그는 기기에 내장된 카메라를 통해 실시간으로 집 안을 들여다보는 것까지 가능했던 것으로 전해졌다.
24일(현지시간) 미국 IT 매체 더버지에 따르면 엔지니어 새미 아즈두팔은 최근 새로 구입한 중국 업체 DJI의 로모 진공청소기를 플레이스테이션 5 게임 패드로 조종하기 위해 역설계하던 중 이같은 일이 벌어졌다고 밝혔다.
아즈두팔은 자신이 개발한 원격 제어 앱으로 DJI 서버에 접속하자, 24개국에서 작동 중인 약 7000대의 로봇청소기가 동시에 응답했다고 밝혔다. 그는 “한 대가 아니라 수천 대의 기기가 나를 상사처럼 따르기 시작했다”고 말했다.
그는 원격으로 로봇을 제어하는 것뿐만 아니라 청소기에 내장된 카메라를 통해 이용자의 집 내부를 실시간으로 들여다볼 수 있었다. 또 로봇들이 각 방의 구조를 분석해 2D 평면도를 생성하는 모습을 확인하고 인터넷 프로토콜(IP) 주소를 통해 사용자의 대략적인 위치를 파악하는 것도 가능했다고 설명했다.
 |
| DJI 로모 진공청소기 [DJI] |
실제 테스트 과정에서 더버지 기자가 동료의 DJI 로봇청소기의 일련번호 14자리를 전달하자, 아즈두팔은 해당 기기의 실시간 영상과 배터리 상태, 집 내부 평면도까지 확인해 보였다.
매체는 “우리 로봇의 위치를 파악할 수 있었을 뿐만 아니라, 로봇이 거실을 청소 중이고 배터리가 80% 남았다는 사실까지 정확하게 확인할 수 있었다”며 “몇 분 만에 로봇이 각 방의 모양과 크기가 정확하게 표시된 집의 평면도를 생성하고 전송하는 모습을 지켜봤다”고 설명했다.
아즈두팔은 DJI 서버를 직접 해킹하지 않고도 이 모든 것이 가능했다고 주장했다. 그는 “어떤 규칙도 어기지 않았고, 우회하거나 크래킹, 무차별 공격도 하지 않았다”며 “처음부터 해킹이 목적은 아니었고 호기심에서 시작했다”고 말했다. 이어 “언론 제보는 제조사에 보안 취약성을 알리기 위한 목적”이라고 설명했다.
보도 이후 DJI 측은 해당 오류가 이미 수정됐다고 밝혔다. DJI 측은 “DJI는 지난 1월 말 내부 보안 점검 과정에서 DJI Home에 영향을 줄 수 있는 취약점을 확인했으며, 확인 즉시 시정 조치에 착수했다”며 “해당 이슈는 두 차례의 소프트웨어 업데이트를 통해 해결됐으며, 2월 8일 초기 패치가 배포된 데 이어 2월 10일 후속 업데이트가 완료됐다. 수정 사항은 자동으로 적용됐으며, 사용자가 별도로 취해야 할 조치는 없다”고 전했다.
이어 “DJI는 데이터 프라이버시와 보안을 최우선 가치로 두고 있으며, 잠재적 취약점을 식별하고 대응하기 위한 체계적인 프로세스를 운영하고 있다”며 “이번 사안과 관련해서도 장기간 운영해온 ‘버그 바운티 프로그램(bug bounty program, 외부 보안 연구자 취약점 신고 포상 제도)’을 통해 접수된 독립 보안 연구자들의 조사 결과와 권고 사항 검토를 완료했다”고 덧붙였다.
