지난 몇 주 사이 서로 무관해 보이는 네 건의 보안 사건이 터졌다. 한 연구자는 KARR이라는 애프터마켓 자동차 경보기 — 약 200만 대 이상의 차량에 설치된 것으로 추정된다 — 가 블루투스 범위 안에 있는 누구에게나 소리 없이 잠금 해제되거나, 경보 기능이 꺼지거나, 무력화될 수 있다는 사실을 발견했다. Bitsight의 위협 연구원은 저가형 인기 스트리밍 스틱인 H96이 수년간 소유자 몰래 인터넷 연결을 임대해주고, 휴대폰인 척하며 부정 광고를 클릭해왔다는 사실을 밝혀냈다. 한 해커는 1억 명이 넘는 사람들의 데이터와 관련된 침해 사건에 대해 유죄를 인정했는데, 그가 침입한 경로는 교묘한 익스플로잇이 아니라 수년 전 인포스틸러 감염 당시부터 그대로 방치되어 있던 고객 비밀번호였고, 그 계정들은 다중 인증이 한 번도 켜진 적이 없었다. 그리고 연구자들은 적절한 조건만 갖춰지면 멀웨어가 구글 비밀번호 관리자를 통해 동기화된 패스키를 추출할 수 있음을 입증했는데, 이는 많은 사람이 비밀번호의 위험에서 벗어나기 위해 일부러 도입한 바로 그 시스템이다.
개별적으로 보면 이 네 가지는 서로 다른 범주의 문제다. 하드웨어 결함, 공급망 사기 수법, 기업 침해 사고, 그리고 암호화 구현상의 결함. 하지만 이들은 관련 기술과는 무관한 하나의 근본 원인을 공유한다. 모든 사례에서 취약한 대상은 한 번 설치되거나, 활성화되거나, 생성된 뒤로 아무도 다시 들여다보지 않았다.
헤드라인 이면에 숨은 패턴
보안 부채는 정확히 우리가 관심을 끊어버린 지점에서 쌓인다. 자동차 경보기는 딜러의 추가 옵션 패키지로 장착된 뒤 다시는 신경 쓰지 않다가, 어느 날 차가 남의 손에 넘어간 이유가 되어서야 다시 떠오른다. 스트리밍 스틱은 TV에 꽂힌 채 수년간 문제없이 작동하고, 요청한 콘텐츠를 계속 재생해주기 때문에 아무런 경고 신호도 울리지 않는다 — 그러는 동안 광고 사기 트래픽과 대역폭 공유가 눈에 띄지 않게 함께 진행된다. 로그인 자격 증명은 한 번 생성되어 로그인 화면에서 제대로 작동하고, 그것을 유출시킨 기기가 까맣게 잊힌 뒤로도 수년간 데이터베이스 속에 그대로 남아 있는데, 신경 쓰지 않는 비밀번호를 주기적으로 바꾸는 일은 누구도 일정표에 올려두지 않는 작업이기 때문이다. 패스키는 애초에 "비밀번호보다 더 안전하다"는 목적으로 설정되며, 바로 그 평판 때문에 정작 그 패스키가 담긴 기기를 무엇이 지키고 있는지에 대한 고민은 멈춰버린다.
이 사례들 중 어느 것도 아무도 예상하지 못한 새로운 결함을 찾아내는 정교한 공격자를 필요로 하지 않았다. 자동차 경보기와 패스키 탈취 사건에는 실제로 기술적인 연구가 수반되긴 했다. 하지만 실제로 대규모 피해를 가능케 한 것은 "한 번 설정했다"는 것과 "다시는 들여다보지 않았다"는 것 사이의 간극이었다.
이미 가지고 있는 것들을 점검하는 데 걸리는 시간, 20분
이 간극 대부분을 메우기 위해 뭔가를 새로 살 필요도, 다른 사람이 될 필요도 없다. 필요한 것은 위의 항목들을 한 번 훑어보는 것뿐이며, 이를 일회성 설정 작업이 아니라 반복되는 집안일처럼 다뤄야 한다.
1. 애프터마켓 및 추가 장착 기기
내장형이 아니라 제3자가 설치한 기기들을 한 번 둘러보자 — 자동차 경보기, 블랙박스, 스마트 잠금장치, 애프터마켓 위치추적기 등이다. 제조사의 앱이나 사이트에서 펌웨어 업데이트 방법을 확인하고 실제로 실행하라. KARR 경보기의 경우, 연구자들은 운전석 쪽 창문에 붙은 "KARR" 스티커가 손쉬운 식별 표시라고 지적했다. 만약 그 스티커가 붙어 있다면, 괜찮을 거라고 넘겨짚기 전에 설치업체나 제조사에 패치 여부를 확인하라. 더 넓게 몸에 익혀야 할 습관은 이것이다: 무선 통신 기능과 제조사 앱이 딸린 기기는 휴대폰이나 노트북과 마찬가지로 가끔씩 관리가 필요한 기기라는 것.
2. TV에 꽂혀 있는 모든 기기
오픈마켓에서 H96 같은 이름으로 팔리는 정체불명의 스트리밍 박스들, 흔히 "무제한" 콘텐츠를 일회성 요금으로 제공한다고 광고하는 그런 제품들은 꼼꼼히 따져볼 필요가 있다. 이런 기기를 가지고 있다면, 위험이 불법 콘텐츠에만 있는 게 아니라는 점을 알아야 한다 — 그 기기 자체가 자신만의 속셈을 가진 제2의 컴퓨터처럼 네트워크상에서 작동하고 있을 수 있다는 것이 진짜 위험이다. 어떤 기기가 자신의 네트워크에서 무슨 짓을 하고 있는지 확인할 수 없고, 게다가 그 기기가 가격 대비 지나치게 좋은 조건을 내세우는 낯선 브랜드 제품이라면, 그것만으로도 게스트 네트워크에 격리하거나 지켜야 할 평판이 있는 회사의 주류 스트리밍 기기로 바꿀 이유는 충분하다.
3. 오래된 비밀번호, 특히 재사용되거나 방치된 비밀번호
Snowflake와 연관된 해커의 유죄 인정으로 이어진 침해 사고는 플랫폼 자체의 결함 때문이 아니었다. 몇 년 전 누군가의 컴퓨터에서 멀웨어가 수집해간 자격 증명, 아무도 갱신하지 않은 그 자격 증명이 원인이었고, 게다가 그 계정들은 다중 인증이 꺼져 있었다. 이는 완전히 피할 수 있었던 실패 유형이며, 흔히 벌어지는 일이기도 하다. 한 번 만들어놓고 좀처럼 로그인하지 않는 계정이라면 무엇이든, 지금 이 순간에도 몇 년 묵은 유출 비밀번호를 그대로 걸어놓고 있을 법한 계정이다. 사용 중인 비밀번호 관리자가 유출 여부나 재사용 여부를 확인해주는 기능을 제공한다면 실행해보라. MFA를 지원하는 계정인데 꺼져 있다면 켜라 — 이 단 하나의 조치만으로도 1억 명이 넘는 사람들의 기록을 노출시킨 침입을 막을 수 있었다.
4. 당신의 패스키를 지키는 계정
패스키는 피싱과 재사용이라는 특정 문제에 있어서는 비밀번호보다 확실히 나아진 방식이다. 하지만 구글 비밀번호 관리자를 통해 동기화된 패스키를 탈취하는 최근 연구는, 패스키가 마법이 아니라는 사실을 다시 일깨워준다 — 패스키는 그것이 동기화되는 계정과 기기의 보안 수준을 그대로 물려받는다. 즉, 비밀번호 관리자나 패스키 동기화를 담당하는 계정에는 당신이 갖출 수 있는 가장 강력한 보호 장치를 적용해야 한다는 뜻이다. 기기 자체에 걸어둔 강력하고 고유한 비밀번호, 동기화를 수행하는 계정에 걸어둔 MFA, 그리고 그 기기에 무엇을 설치하는지에 대한 주의가 그것이다. 왜냐하면 이 연구는 패스키 자체에 "패치"할 수 있는 결함이 아니라, 이미 기기에서 실행 중인 멀웨어에 의존하고 있기 때문이다.
나중이 아니라 지금 해야 하는 이유
이 네 가지 이야기 중 오늘 당장 공포에 떨어야 할 만한 위협은 하나도 없다. 하지만 네 가지 모두, 다름 아니라 아무도 다시 확인하지 않았기 때문에 몇 달, 혹은 몇 년에 걸쳐 커진 위협이라는 공통점이 있다. 해결책은 새로운 도구나 구독 서비스가 아니다 — 은행 명세서를 확인하는 것처럼 이미 가지고 있는 습관에 얹어서라도, 이미 소유하고 이미 신뢰하고 있는 것들에 대해 지루하지만 필요한 질문을 던질 정해진 시간을 마련하는 것이다. 마지막으로 이걸 확인한 게 언제였는지, 그리고 나 말고 다른 누군가가 지금도 이걸 지켜볼 이유가 있는지.
