멀리 떨어진 장소에서도 실내 모습을 확인할 수 있는 네트워크 카메라가 널리 보급되고 있다. 하지만 네트워크 카메라는 사이버 공격에 의해 촬영한 영상을 훔쳐 버릴 위험이 존재하고 있다. 이런 가운데 보안 기업인 맨디언트(Mandiant)가 세계에 존재하는 네트워크 카메라를 포함한 8,300만 대 이상 사물인터넷 장치가 영향을 받을 수 있는 취약점인 CVE-2021-28372 존재를 발표했다. 이 취약점을 악용하면 사용자는 네트워크 카메라 영상을 훔치거나 가정 내 기기에 침입될 가능성이 있다는 것이다.
맨디언트가 발견한 취약점은 사물인터넷 개발사인 쓰루텍(ThroughTek)이 서비스하는 칼레이(Kalay) 플랫폼에 존재한다. 쓰루텍에 따르면 칼레이 장비는 전 세계적으로 8,300만 대 이상에서 사용되고 있다. 여기에는 아기용 감시 카메라와 보안 카메라 등 네트워크 카메라가 포함되어 있으며 맨디언트는 취약점을 악용해 이 화면을 훔칠 위험이 있다고 경고하고 있다.
맨디언트는 이번에 발견된 취약점 악용에 의해 추정된 공격을 보면 먼저 공격을 받지 않은 상태에서 사용자가 스마트폰 등 장치에서 자신이 소유한 카메라 고유 아이디를 칼레이 서버에 문의해 서버에 저장된 영상을 볼 수 있다.
하지만 공격자는 취약점을 악용하면 공격 대상 네트워크 카메라 고유 아이디를 빼앗는 게 가능하다. 이 상태에서 네트워크 카메라 사용자가 칼레이 서버에 영상 열람을 요청하면 영상 데이터가 올바른 사용자가 아닌 공격자에게 전송되어 버리는 것이다.
또 공격자가 칼레이 네트워크에 존재하는 다른 취약점을 이용하면 네트워크를 통해 공격 대상 장치에 직접 액세스할 수 있게 된다고 지적하고 있다. 맨디언트는 이번에 발견된 취약점을 미국국토안보부 사이버 보안 인프라 보안 기관인 CISA에 보고했다. CISA는 취약점에 추적 번호 CVE-2021-28372를 부여하고 사용자에게 네트워크 카메라 온라인 연결을 최소화하도록 요청했다.
또 맨디언트는 취약점을 쓰루텍에 보고하고 쓰루텍은 취약점을 수정한 SDK를 개발하고 있다. 맨디언트와 쓰루텍은 칼레이 SDK를 채택한 사물인터넷 기기 제조사에 SDK를 취약점이 수정된 버전으로 업데이트하라는 메시지가 있다. 관련 내용은 이곳에서 확인할 수 있다.