"2000만원짜리 국내용 보안 인증 누가 받나요"[AI 시대 경고음]③

일상 속 IoT 기기 해킹 위험 노출
영국, 유럽 등 선진국 IoT 규제 강화
KISA 인증 획득, 연 80여건에 그쳐

사람과 사물이 네트워크로 연결되는 초연결 시대가 도래하면서 일상 속 사물인터넷(IoT) 기기가 해킹되는 사례가 빈번해지고 있다. 미국에선 중국산 로봇청소기에서 욕설 음성이 나오는 사건이 발생하는가 하면 에어프라이어와 연동된 애플리케이션(앱)으로 개인정보를 수집한다는 주장도 나왔다. 지난 9월 중국 음란물 사이트에 한국의 산부인과 분만실, 수영장, 왁싱숍 등에서 찍힌 일반인의 신체 노출 영상 수백여건이 게재된 실태가 드러나 충격을 주기도 했다. 정부는 지난달 부랴부랴 다중이용시설 등에는 의무적으로 보안 인증된 IP카메라를 사용하겠다고 밝혔지만 가정 내 다양한 IoT 기기들은 여전히 해킹에 무방비 상태라는 분석이 나온다.

AIoT 국제 전시회 자료사진.

전문가들은 인터넷이 연결돼있거나 스마트 기기와 연동되고 마이크·카메라 등이 탑재된 IoT 기기는 대부분 해킹의 위험성이 있다고 경고한다. IoT 보안 전문기업 ‘지엔’의 조영민 대표는 "공용 전기자전거에 해커가 만든 QR코드를 부착하면 스캔한 스마트폰에 악성 앱이 설치되고 경제적 피해나 개인정보 유출로 이어질 수도 있다"고 했다. 그는 "IoT 기기가 일단 해킹되면 사용자 측면에서 해결할 수 있는 여지가 거의 없다"면서 "제조업체가 설계 단계부터 보안을 강화한 제품을 개발해 출시해야 한다"고 강조했다. 사이버 보안 전문기업 씨큐비스타 관계자는 "수입 규제와 인증 시스템을 강화해 보안 검증을 통과하지 못한 제품의 수입과 사용을 제한해야 한다"고 제언했다.

국내에선 한국인터넷진흥원(KISA)이 2021년부터 ‘IoT 보안 인증제도’를 법제화해 운영하고 있다. 하지만 업계 반응은 미지근하다. IoT 보안 인증 실적은 2018년 4건, 2019년 24건, 2020년 41건, 2021년 73건, 2022년 83건, 2023년 82건이다. 정보통신산업진흥원(NIPA)의 IoT 산업 실태조사에 따르면 지난해 기준 국내에서 사물인터넷 사업을 영위하는 사업체 수는 3055곳이고 매출액은 25조원으로 조사됐다. 매년 2조원가량 성장 중인 IoT 시장에 규모에 비하면 IoT 보안 인증 성과는 미미한 수준이다.

IoT 보안 인증은 시험평가 항목에 따라 라이트(10개), 베이직(29개), 스탠다드(43개 이상)로 나뉜다. 고도의 해킹 공격에 대응할 수 있는 보안 수준을 갖추는 스탠다드 유형을 획득한 건은 삼성전자 AI 로봇청소기 1건이 유일하다. 인증 수수료 역시 항목에 따라 600만~2000만원으로 적지 않은 수준이라 기업에 부담으로 작용하고 있다. IoT 보안 인증은 해외에서 통용되지 않으며 의무 사항도 아니어서 사실상 유명무실하다는 지적이 나온다. IoT 전문업체 대표는 "해킹 대비를 강화하고 있지만 미국 진출을 염두에 두고 있어 국내에서만 사용되는 인증 평가에 시간과 재원을 투입하기 곤란한 게 사실"이라고 말했다.

유럽연합(EU), 영국, 미국 등은 IoT 기기 해킹으로부터 소비자를 보호하기 위해 강력한 규제를 시행하고 있다. 영국은 지난 4월 말부터 인터넷·네트워크 연결 가능한 제품에 대해 ‘제품 보안 및 통신 인프라(PSTI)’ 규제를 시행 중이다. IoT 기기를 제조·수입·유통하는 업체는 모두 준수해야 하며 PSTI를 반복해서 위반한 제조업체의 경우 일일 최대 2만파운드(약 3600만원)를 내야 한다. 이 규제는 기업에 대한 벌금 상한선을 1000만파운드(182억원) 또는 전 세계 매출액의 4% 중 더 큰 금액으로 정했다. PSTI를 지키지 않으면 영국에서 사실상 사업이 불가능할 만큼 강력한 조치다.

EU는 내년부터 무선 장비에 대해 ‘CE마크’를 획득할 때 사이버 보안 요구사항을 포함시킬 계획이다. CE마크란 유럽경제지역(EEA) 내에서 판매되는 제품이 건강, 안전, 환경 보호 표준을 준수함을 나타내는 표시다. 유럽 시장에 진출하려면 CE 마크 획득은 필수다. 내년 8월1일부터 CE마크를 획득하려면 사이버 보안 취약점 관리를 해야 한다.

미국은 소비자 IoT 제품에 대한 사이버 보안 라벨링 프로그램을 진행 중이다. 소비자가 IoT 제품을 구매할 때 QR코드를 찍어 보안 관련 정보를 알 수 있도록 했다. 유럽의 안전 환경 규격 인증기관 넴코(Nemko) 관계자는 "제조업체는 사이버 보안에 대한 선제적 접근 방식을 취하고 이를 제품의 설계와 개발에 적용해야 한다"며 "소비자와 브랜드를 모두 보호하기 위해 사이버 보안 규정 준수에 대해 능동적으로 접근해야 할 시점"이라고 말했다.

김보경 기자 bkly477@asiae.co.kr