게임패드로 DJI 청소기 조종하려다 7천 대 통제권 노출시킨 개발자

비디오 게임 컨트롤러로 로봇 청소기를 조종하려던 한 개발자가 의도치 않게 전 세계 수천 가구의 거실을 들여다볼 수 있는 권한을 얻게 되는 사건이 벌어졌습니다.

소프트웨어 엔지니어인 새미 아즈두팔(Sammy Azdoufal)은 새로 구매한 DJI의 로봇 청소기 '로모(Romo)'를 게임 컨트롤러로 조작하기 위해 전용 앱을 개발하고 있었습니다. 그는 AI 코딩 도우미를 활용해 기기와 DJI 클라우드 서버 간의 통신 방식을 역공학으로 분석했는데, 이 과정에서 심각한 백엔드 보안 결함이 드러났습니다. 서버가 그를 무려 24개국 약 7,000대에 달하는 다른 청소기의 주인으로 인식해 버린 것입니다.

조종기 앱 만들려다 얻게 된 7,000대의 마스터키

약 2,000달러에 판매되는 DJI 로모는 지난해 첫 출시 이후 글로벌 시장으로 판매를 넓혀가는 중이었습니다. 자율주행과 방 구분을 위해 기기는 센서로 집 안 시각 정보를 상시 수집하고 이를 클라우드에 전송합니다.

아즈두팔의 목표는 서버에서 본인 기기의 소유권을 증명할 보안 토큰을 받아오는 것뿐이었습니다. 하지만 DJI 백엔드 서버의 허술한 권한 검증 탓에, 단 한 대가 아닌 수천 대의 청소기에 대한 접근 권한이 한꺼번에 뚫렸습니다.

그 결과 그는 7,000여 대 기기의 실시간 카메라 화면을 시청하고 마이크 오디오를 켤 수 있었으며, 집 안의 2D 평면도와 IP 주소 기반의 대략적인 위치까지 열람할 수 있었습니다. 아즈두팔은 이를 악용하지 않고 IT 매체 더 버지(The Verge)에 제보해 DJI에 위험을 알렸습니다. DJI 측은 1월 말 내부 검토 중 해당 결함을 인지했으며, 2월 8일과 10일 두 차례에 걸쳐 자동 백엔드 패치를 완료해 이용자의 별도 조치는 필요 없다고 밝혔습니다.

링 도어벨부터 휴머노이드까지, 안방 센서의 딜레마

가정용 스마트 기기의 보안 취약점은 꾸준히 지적되어 온 문제입니다. 최근 아마존 링(Ring)은 반려동물 찾기 기능을 홍보하다 과도한 감시망 논란에 휩싸였고, 구글 네스트 도어벨에서는 삭제된 줄 알았던 영상이 수사 기관에 제공되며 데이터 통제권 논쟁이 불붙기도 했습니다.

앞으로 가정으로 들어올 기기들은 더 정밀한 센서를 탑재하게 됩니다. 테슬라, 피규어, 그리고 이미 가사 로봇을 판매하기 시작한 1X 같은 기업들은 휴머노이드 로봇을 가정에 보급하려 속도를 내고 있습니다. 청소와 설거지를 돕는 똑똑한 비서가 되려면 집 안 구석구석을 학습해야만 하는데, 이는 보안이 뚫렸을 때 사생활이 통째로 털릴 수 있음을 뜻합니다.

왜 중요한가

일반 이용자 입장에서 이번 사고는 매우 섬뜩합니다. 피해를 입은 약 7,000명의 이용자는 비밀번호를 잘못 설정하거나 피싱에 낚인 적이 없습니다. 단지 제조사 서버의 권한 검증 누락 하나 때문에 집 안을 돌아다니는 카메라가 생중계 도구로 전락할 뻔했습니다.

업계 측면에서는 하드웨어 명가들이 클라우드 소프트웨어 보안에서 얼마나 취약할 수 있는지를 적나라하게 보여줬습니다. DJI는 2,000달러짜리 최고급 기계를 만들었지만, 사생활을 지키는 관문은 가장 기초적인 클라우드 토큰 인증 실패로 무너졌습니다.

우리는 생성형 AI 도구가 보편화되면서 이런 사고가 더 자주 일어날 수 있다고 봅니다. 뛰어난 해커가 아니더라도 AI 코딩 비서를 활용해 API 구조를 뜯어보고 취약점을 발견하는 시대가 됐기 때문입니다. 제조사들이 하드웨어 스펙 경쟁을 넘어 백엔드 인프라 보안에 막대한 투자를 집행하지 않는다면, 가정용 로봇 시장 전체가 신뢰의 위기를 맞을 것으로 보입니다.