아바스트(Avast) 전문가들은 밝혀냈습니다 어린이, 노약자, 반려동물, 자동차 등의 위치를 추적하는 데 쓰이는 GPS 트래커 60만 대 이상이 비밀번호로 «123456»을 사용하고 있다는 사실을요.
공격자는 기본 비밀번호를 이용해 사용자 계정을 해킹함으로써 GPS 트래커 주변의 대화를 엿들을 수 있고, 기기의 실제 위치를 조작할 수 있으며, 트래커에 연결된 SIM 카드 번호까지 알아낼 수 있습니다.
모든 일은 중국 IoT 기업 Shenzhen i365-Tech의 T8 Mini 트래커에서 문제가 발견되면서 시작되었습니다. 그러나 전문가들은 같은 회사가 만든 다른 GPS 트래커 30개 모델에도 «123456» 비밀번호가 사용되고 있다는 사실을 곧 알아냈습니다. 이 중 일부는 화이트 라벨 방식으로 판매되어 다른 회사의 브랜드로 시장에 나와 있었습니다.
문제가 된 트래커는 모두 동일한 인프라를 사용합니다. 트래커가 정보를 «보고»하는 클라우드 서버, 고객이 브라우저로 기기 위치를 확인하는 웹 패널, 그리고 같은 클라우드 서버에 접속하는 유사한 모바일 앱으로 구성되어 있습니다.
Avast 전문가들은 이 인프라에서 여러 가지 문제를 즉시 확인했지만, 그중 가장 심각한 것은 모바일 앱과 웹 패널의 모든 사용자 계정이 쉽게 알아낼 수 있는 사용자 ID와 비밀번호를 사용한다는 점입니다. 사용자 ID는 트래커의 IMEI를 기반으로 한 순차적인 값이며, 비밀번호는 앞서 언급했듯이 모든 기기에서 동일한 기본값인 «123456»입니다.
즉, 공격자는 Shenzhen i365-Tech 클라우드 서버를 대상으로 자동화된 공격을 실행할 수 있습니다. 모든 사용자 ID를 하나씩 대입하고 같은 비밀번호를 사용해 사용자 계정을 해킹하는 방식입니다.
다행히 사용자가 GPS 트래커의 비밀번호를 변경하는 것이 금지되어 있지는 않습니다. 하지만 Avast 분석가들이 400만 개가 넘는 ID를 조사한 결과, 60만 개 이상의 계정이 여전히 기본 비밀번호를 사용하고 있었습니다. 기본 비밀번호를 쓰는 GPS 트래커의 실제 수는 아마 훨씬 더 많을 것입니다.
게다가 이런 기기에는 어린이와 노약자가 SOS 전화를 걸고 가족과 통화할 수 있도록 마이크와 SIM 카드가 내장되어 있어 문제가 더욱 심각합니다. 연구진은 트래커가 해킹되면 공격자가 등록된 번호로 전화를 걸거나 걸려 오는 전화를 받을 수 있고, 나아가 소유자를 도청하고 위치까지 파악할 수 있다는 사실을 확인했습니다.
발견된 취약점은 제조사 자체에도 위협이 됩니다. 취약한 계정이 GPS 트래커 제조 직후 클라우드에 생성되기 때문입니다. 이론적으로는 경쟁사가 기기가 판매되기도 전에 이 계정들을 장악하고 비밀번호를 바꿔 계정을 잠가 버릴 수 있으며, 이렇게 되면 Shenzhen i365-Tech와 판매업체 모두 곤란해질 수 있습니다.
전문가들이 설명한 모든 문제는 여전히 해결되지 않은 상태입니다. Shenzhen i365-Tech 측이 연구진의 여러 차례 요청에 응답하지 않았기 때문입니다. Avast 분석가들은 취약한 트래커를 사용하는 이용자들에게 즉시 비밀번호를 변경할 것을 강력히 권고합니다. 취약한 기기의 전체 목록은 전문가 보고서 마지막 부분에서 확인할 수 있습니다.
