초저가 안드로이드 스트리밍 스틱, 사기 전에 이것부터 확인하세요

최근 스트리밍 스틱을 구매해 본 적이 있다면 이런 제품들을 본 적 있을 것이다. H96, T95, X96 같은 이름의 정체불명 안드로이드 TV 박스들이 Roku나 Chromecast 가격의 3분의 1 수준으로 팔리며, 종종 그 가격대에서는 믿기 힘들 정도로 좋은 사양을 내세운다. 구매하기 전에 이 가격 차이에 대해 잠시 생각해볼 필요가 있다. 최근 연구자들이 이런 기기들 중 일부가 어떻게 그 차액을 메우는지 정확히 밝혀냈기 때문인데, 그 방법은 이윤을 줄이는 것이 아니었다.

보안업체 Bitsight는 연구자 Pedro Falé가 이 박스들이 여전히 신호를 보내고 있던 만료된 도메인을 등록한 것을 계기로, H96이라는 이런 기기군을 조사했다. Krebs on Security의 보도에 따르면, 그가 발견한 것은 대규모 광고 사기 네트워크였다. 이 기기들은 자신을 삼성, Vivo, 화웨이, 샤오미 등 전혀 다른 휴대폰으로 몰래 위장하고, 그 가짜 신원을 이용해 AI가 생성한 웹사이트의 광고를 클릭하고 있었다. 그 결과 실제 사람이 실제 휴대폰으로 한 적 없는 광고 노출과 클릭에 대해 비용을 지불하는 광고주와 판매자들이 피해를 입게 된다. 이는 이런 유형의 기기에 이미 알려진 위험에 더해진 것이다. 일부 기기는 소유자의 가정용 인터넷 회선을 몰래 제3자에게 빌려주는 데 사용되어 왔으며, 이는 가정용 IP 주소를 낯선 사람들이 자신의 트래픽을 우회시키는 프록시로 바꿔버린다. 그 트래픽이 무엇인지 확인할 수도, 검증할 수도 없다.

왜 유독 저가 제품인가

이런 행태는 경제적 논리로 설명된다. Chromecast, Nvidia Shield, 정식 Google TV나 Fire TV 박스 같은 정상적인 안드로이드 TV 기기는 하드웨어, 앱스토어, 또는 구독 생태계에서 수익을 내도록 가격이 책정되며, 출시 전에 제조사의 인증 절차를 거친다. 반면 그 가격의 일부에 불과한 가격으로 팔리는, 뒤에 알아볼 만한 회사가 없는 무명 박스는 어딘가 다른 곳에서 마진을 남겨야 한다. 판매가가 제조, 배송, 이윤을 그럴듯하게 충당하지 못한다면, 판매 이후 다른 무언가로 수익을 내고 있다는 뜻이다. 그리고 여러분의 네트워크 대역폭과 기기 신원이 유력한 후보다. 둘 다 사용자 눈에는 보이지 않으면서 광고 사기와 프록시 대여 업자들에게는 가치가 있기 때문이다.

구매하기 전에 확인할 사항

• 실체가 있고 책임을 지는 제조사인지 확인하라. Google TV, Roku, Amazon Fire TV, Nvidia Shield, Chromecast 기기들은 인증 절차를 거치고 잃을 평판이 있는 회사와 연결되어 있다. 반면 제3자 마켓플레이스에서 H96, T95, MXQ, X96 같은 일반 모델명으로만 판매되는 박스는 이 두 가지 모두 갖고 있지 않다.
• Google Play Protect 인증 여부를 확인하라. 구글은 Play Protect 호환성 및 보안 테스트를 통과한 안드로이드 기기 목록을 관리하고 있으며, 구매 전 모델명을 검색해 확인할 수 있다. 인증받지 못한 기기는 전혀 검증을 거치지 않은 것이며, 24시간 내내 네트워크에 연결되어 있는 기기라는 점에서 이는 결코 가볍게 넘길 공백이 아니다.
• 리뷰에서 진짜 살펴봐야 할 불만을 찾아라. 연구자들이 어떤 기기의 악성 행위를 포착하기 전에, 소유자들이 먼저 부작용을 알아차리는 경우가 많다. 설명되지 않는 발열, 좀처럼 절전 상태로 들어가지 않는 기기, 그저 "스트리밍만 하는" 용도치고는 유난히 높은 데이터 사용량 같은 것들이다. 구매 후가 아니라 구매 전에, 정확한 모델명과 함께 "data usage", "always on", "proxy" 같은 단어를 검색해 보라.

이미 기기를 갖고 있다면 확인할 사항

• 밤사이 라우터의 기기 목록을 확인하라. 대부분의 가정용 라우터는 연결된 기기별 대역폭 사용량을 보여준다. 아무도 아무것도 보지 않는 새벽 3시에 스트리밍 박스가 무엇을 하고 있는지 확인해 보라. 유휴 상태여야 할 기기에서 꾸준한 업로드 트래픽이, 아니 트래픽 자체가 발생한다면 조사해 볼 만한 위험 신호다.
• 기기가 무엇과 통신하는지 지켜보라. 라우터가 연결 로그를 지원하거나 Pi-hole 같은 DNS 로깅 도구를 사용하고 있다면, 박스가 예상되는 소수의 스트리밍 서비스 엔드포인트가 아니라 낯설거나 계속 바뀌는 도메인에 반복적으로 접속하고 있는지 살펴보라.
• 별도의 네트워크에 분리하라. 대부분의 가정용 라우터는 게스트 네트워크를 지원하며, 더 나은 하드웨어라면 VLAN도 지원한다. 스트리밍 박스와 기타 IoT 기기를 휴대폰, 노트북, 파일 공유와 분리해 두면 그중 하나가 문제를 일으키더라도 피해를 제한할 수 있다. 보이지 않는 기기를 통해서는 트래픽을 우회시킬 수 없고, 그 기기가 침해당하더라도 나머지 네트워크까지 넘겨주지 않기 때문이다.

문제를 발견했다면

펌웨어 자체가 의도적으로 이렇게 설계된 기기를 믿을 만하게 "정화"할 방법은 없다. 공장 초기화로는 펌웨어 이미지 자체에 박혀 있는 동작을 제거할 수 없고, 제조사가 애초에 의도적으로 이렇게 만든 것이기 때문에 이를 고쳐줄 정당한 업데이트 채널도 대개 존재하지 않는다. 현실적인 선택지는 플러그를 뽑고 사용을 중단하거나, 책임 있는 제조사의 인증된 기기로 교체하는 것뿐이다. 그 기기가 한동안 주 네트워크에 연결되어 있었다면, 같은 네트워크의 다른 기기들을 관찰하거나 상호작용할 기회가 있었을 가능성을 감안해 이후 와이파이 비밀번호를 바꿔두는 것도 좋다.

더 넓게 가져갈 만한 습관은 이것이다. 항상 연결되어 있는 기기의 가격이 믿기 힘들 정도로 저렴하다면, 그것을 횡재가 아니라 의문으로 받아들여야 한다. 그 할인의 대가를 무엇이 치르고 있는지 알 수 없다면, 그 대가를 치르고 있는 것이 바로 당신일 가능성이 상당히 높기 때문이다.

출처: H96 안드로이드 TV 박스에 관한 Bitsight의 조사, Krebs on Security 보도.