랜섬웨어가 로봇을 위협하고 그 피해가 다른 분야에 비해 훨씬 클 수도 있다는 경고가 나왔다.

‘CSO온라인’은 최근 'IO액티브' 보안 연구원의 개념증명(PoC) 해킹을 보도하면서 랜섬웨어의 위험성을 강조했다. 카스퍼스키 시큐리티 애널리스트 서밋(Kaspersky Security Analyst Summit)에서 IO액티브 보안 연구원 루카스 아파(Lucas Apa)는 어린이 크기의 로봇이 해킹당하면 발생할 수 있는 여러 유형의 위험을 보여줬다. 작은 휴머노이드 로봇이 처키의 인형처럼 엽기적인 행동을 하는 것 정도는 아니지만 개념증명(PoC) 해킹은 로봇에 대한 최초의 랜섬웨어(ransomware) 공격 가능성을 입증한 것이다.

IO액티브의 루카스 아파와 세사르 세루도(Cesar Cerrudo)는 다양한 로봇 제조업체의 로봇에서 50개 가까운 취약점을 발견한 바 있다. 이를 토대로 휴머노이드 로봇 나오(NAO)를 해킹했다. 나오 로봇은 소프트뱅크의 페퍼와 같은 운영시스템을 사용하고 있고 같은 취약점을 갖고 있기 때문에 페퍼를 해킹하는 것과 결과는 같다고 볼 수 있다. 소프트뱅크는 지금까지 3만대가 넘는 로봇을 판매해 왔다. 2만여대의 페퍼가 스프린트와 같은 기업에서 사용되고 있으며 나오는 교육 및 연구 도구로 1만대 정도가 활용되고 있다.

PoC 해킹 결과 로봇이 악의적 행동 보여

아파는 "우리가 발견한 것은 꽤 놀라운 것이었다"며 "랜섬웨어 공격은 사업가를 상대로 비즈니스를 방해 혹은 중단시킬 수 있으며 원상복구를 조건으로 몸값을 지불하도록 강요할 수 있다"고 말했다. 공격이 작동하기 위해 공격자가 로봇에 물리적으로 액세스할 필요도 없다. 대신 로봇이 있는 동일한 와이파이 네트워크에 액세스하면 된다. 로봇은 소매점의 공용 인터넷에 연결되어있기만 하면 충분하다. 세루도가 언급한 또 다른 가능성은 "공격은 인터넷에 연결된 컴퓨터 혹은 기타 장치에서 발생할 수 있기 때문에 컴퓨터가 해킹당하면 거기서 로봇도 해킹당할 수 있다"고 설명한다.

개념증명 공격에서 연구자들은 랜섬웨어를 만들어 나오 로봇 모델에 업로드했다. 자료에 따르면 어떤 행동 파일 클래스에 사용자 정의 코드를 삽입함으로써 로봇 동작을 악의적으로 변경한 결과 서비스 중단, 로봇 디스플레이의 포르노 콘텐츠 노출, 저주 단어 사용, 그리고 심지어 폭력적인 행동 등의 악의적인 실행이 이뤄졌다. 또한 감염된 로봇은 비즈니스의 다른 내부 네트워크에 대한 진입 경로가 되어 해커에게 백도어 액세스를 제공하거나 민감한 데이터를 도용하기위한 계층 침투의 진입 지점이 되기도 했다는 것이다.

수리보다 차라리 몸값 지불할 가능성 커

'로봇은 비트코인을 원한다(Robots Want Bitcoins)'라는 제목의 블로그에서 연구원들은 "로봇용 랜섬웨어는 비즈니스에 엄청난 경제적 영향을 미칠 수 있는 실질적인 위협이며 일반적인 랜섬웨어보다 더 심각하다. 1만 달러짜리 로봇을 수리하기 위해 소프트뱅크에 보낸다고 가정하면 몇 주가 소요되기 때문에 기업 입장에서는 수익의 손실, 생산 및 수리 비용 증가 등으로 로봇이 작동하지 않을 때마다 돈을 잃는 셈이다. 로봇을 다시 작동시키려면 몸값을 지불하는 것이 수리해서 다시 고쳐오는 것보다 더 저렴할 수 있다"며 로봇이 랜섬웨어에 취약할 수밖에 없는 이유를 설명했다.

특히 "프라이버시와 친밀감이 주요 관심사인 섹스 로봇의 경우, 기술지원부에 문의할 때 설명이 충분하지 않을 수 있고 픽업을 준비하고 고객 서비스를 요청할 때 느끼는 감정의 불편함으로 인해 사용자는 몸값을 지불하는 편을 선호할 수도 있다"고 서술하고 있다. IO액티브는 소프트뱅크에 2017년 1월에 발견된 보안 취약점에 대해 지적했지만 소프트뱅크는 이 결함을 해결하지 않았다.

나오, 페퍼 뿐 아니라 모든 취약한 로봇 대상

소프트뱅크는 이같은 지적에 대해 NAO에 대해서는 언급하지 않았으며 페퍼와 관련한 입장을 발표했다. 소프트뱅크 측은 "페퍼 사용시 와이파이 네트워크 보안을 유지하고 로봇 암호를 올바르게 설정하도록 요청한다. 우리는 직면할 수 있는 위험에 대응하도록 페퍼에 대한 보안조치를 계속 개선할 것이다"라고 밝혔다. 그러나 페퍼와 나오는 동일한 운영 시스템을 사용하기 때문에 취약점도 공유한다.

IO액티브 연구원들은 "개념증명 랜섬웨어가 소프트뱅크의 나오 및 페퍼 로봇에 영향을 미쳤지만 거의 모든 취약한 로봇에서 동일한 공격이 가능할 수 있다"고 지적한다. 로봇 공급 업체는 보안 위협뿐 아니라 로봇의 복원 및 업데이트 메커니즘을 개선해 랜섬웨어 위협을 최소화해야 하며 신속한 조치가 없다면 로봇에 대한 랜섬웨어 공격이 전세계 비즈니스를 망칠 수 있다고 경고하고 있다.