"내 거실 들여다보고 있었다" 韓2600곳 실시간 생중계 쇼크

A홈페이지를 통해 중계되고 있는 한 가정의 IP캠. [A사이트 캡처]

#거실에서 TV를 보는 사람들의 모습이 나온다. 주방의 테이블은 어지럽게 흩어져있고, 소파 위엔 정리되지 않은 옷가지가 놓여있다. 사람들은 누군가 자신이 찍힌 영상을 보고 있다는 사실을 모른채 편안한 차림으로 거실을 왔다갔다하거나 옷매무새를 가다듬는다.

나와 가족의 안전을 위해 설치한 카메라가 남들이 사생활을 엿보는 통로가 된다면…. 중앙일보 취재 결과 집·가게 등에 설치된 IP카메라(IP캠) 영상이 해외 사이트에서 생중계되고 있었다. 초기 IP캠의 보안취약점을 악용해 동의 없이 개인들의 사생활을 들여다볼 수 있게 한 것이다.

13일 현재 러시아에서 운영되는 A사이트는 전세계 개인·기관이 설치한 IP캠 1만7000여개를 중계하고 있다. 이들은 사이트 소개에서 "세계에서 가장 큰 IP캠 디렉토리에 온 것을 환영한다"며 "전 세계에 설치돼있는 도로·사무실·해변 등의 웹캠을 보여준다"고 밝혔다.

IP캠은 모니터에 신호를 전송하는 폐쇄회로(CC)TV와 달리 통신망을 통해 실시간 송출되는 영상장치를 말한다. 최근 가정에 방범용으로 설치하는 '홈캠' 반려동물을 돌보기 위해 설치하는 '펫캠' 등도 대부분 이같은 방식이다.

A홈페이지에 공개된 IP캠 실시간 중계모습. [A사이트 캡처]

전세계 1만7000개 중계…韓 2600건, 美이어 두 번째

사이트는 ▶IP캠 제조사 ▶나라 ▶촬영주제 ▶도시 ▶시간대 등으로 카테고리도 나눠 이용자가 영상을 볼 수 있게 했다.

나라별 카테고리에서 중계하는 IP캠 중 한국에 설치된 건 2600여건이었다. 미국(3500여건)에 이어 두번째로 많았다. 이어 일본(1560여건), 타이완(1000여건), 러시아(760여건) 순이었다.

A홈페이지를 통해 중계되고 있는 성인업소 입구 모습. [A사이트 캡처]

A홈페이지를 통해 중계되고 있는 서울의 한 복권방 모습. [A사이트 캡처]

'XX 마사지'에 손님 들락날락하는 모습도

실제로 한국을 선택해 들어가 보면 한 가정집 거실부터, 모텔복도, 수퍼마켓, 농장 축사, PC방, 복권방 등의 모습이 나온다. 심지어 'XX 마사지'라는 성인업소를 비추고 있는 카메라도 생중계된다. 방범을 위해 설치된 만큼 등장인물들의 인물도 비교적 선명하게 드러난다.

'XX 마사지'에 들어서는 남성의 모습, 복권방에서 번호를 입력하는 업주의 모습, 주차장 한편에서 담배를 피우는 사람의 모습 등이다. 모두 개인에겐 민감한 '사생활' 모습이다. 더욱이 IP캠이 설치된 도시까지 서울·고양·진주·광주 등 상세하게 표시해뒀다. 위도·경도까지 나타나는데, 이를 조회해본 결과 인터넷서비스(ISP) 사업자의 주소로 나타났다.

"해킹한 것 아냐…원래부터 비번 없었다" 

어떻게 이런 일이 벌어졌을까. 초기에 출시된 IP캠의 경우 접속 비밀번호 설정을 하지 않아도 간단한 접속규칙만 알면 IP캠 관리툴에 접속할수 있었는데, 이같은 취약점을 악용한 것이다.

한국인터넷진흥원(KISA) 관계자는 "2019년 12월 이후 출시된 IP캠 기기의 경우 무조건 초기비밀번호를 바꾸도록 설정돼있다"며 "하지만 그전에 출시된 제품이 문제가 되고 있다"고 밝혔다.

반면 이 사이트는 "사생활을 침해하지 않는다"고 주장한다. 해킹한 게 아니고, 비밀번호가 걸려있지 않은 IP캠만을 실시간으로 중계하고 있다는 게 이들 논리다.

전문가들은 A사이트 외에도 IP캠을 중계하는 사이트가 상당수 더 있는 것으로 보고 있다. IP캠 영상을 모아 띄우는 유튜브 채널까지 생겨났다.

"비밀번호 바꾸고 보안업데이트 수시로 해야"
KISA 관계자는 "영상들이 올라오는 사이트를 실시간으로 모니터링하고, 한국 영상이 올라오는 경우 ISP 사업자를 통해 개인에게 경고하고 있다"면서도 "초기 비밀번호 설정값을 바꾸고, 기기 취약점을 막기 위해 최신 버전으로 보안업데이트를 수시로 하는 게 중요하다"고 강조했다.

김승주 고려대 정보보호대학원 교수는 "IP캠을 통해 유출된 내용은 개인에 대한 영상이 있을 수 있으므로, 무선공유기 등을 통한 정보유출보다 개인에게 피해가 클 수 있다"며 "은행 계좌의 비밀번호와 도장을 관리하는 게 개인 책임이듯, IP캠·무선공유기 등의 보안을 위해 사용자들이 최소한 해야 할 게 있다. 바로 비밀번호 설정"이라고 말했다.

[사진 셔터스톡]

법조계 "해킹 맞다…국내서 보면 처벌 가능성" 

한편 "해킹이 아니다"라는 사이트 측 주장과 달리 법조계에선 비밀번호가 걸려있지 않은 IP캠을 중계하는 것도 '해킹'에 해당할 수 있다는 견해가 나온다.

이근우 법무법인 화우 변호사는 "IP캠 영상에 정당한 접근 권한이 있는지에 따라 해킹 여부를 판단할 수 있을 것 같다"며 "IP캠 제조사나 사용자는 외부의 제삼자에게 영상 접근권을 준 것으로 보이지 않는다"고 밝혔다.

다만 "한국에서 법적 대응을 하더라도 사이트 대부분이 해외에 있는 만큼 형사적 처벌은 쉽지 않아 보인다"며 "국외 공조를 통해 사이트운영자가 실제 처벌될 가능성이나 실효성이 크지 않다"고 했다.

백승철 법무법인 비트 변호사(개인정보보호위원회 자문변호사)도 "악성코드를 심는 등의 기술적 해킹은 아니지만, 정당한 권한이 없으므로 해킹으로 볼 가능성이 크다"며 "이 경우 정보통신망법상 사생활 침해 정보를 유통한 것에 해당한다"고 밝혔다.

그러면서 "국내에서 IP캠 영상을 보는 사람도 처벌 소지가 있다"며 "정보 주체의 동의 없이 사생활 영상을 보는 것이므로 개인정보보호법 위반 소지가 있다"고 덧붙였다.

고석현기자ko.sukhyun@joongang.co.kr