내 CCTV, 외부로 연결되는지 3단계 확인법
기반시설에서 중국산 CCTV가 국산으로 둔갑해 운용된 사실이 드러났고, 국정원은 이런 장비가 개방망에 연결되면 제조사 클라우드로 자동 통신할 수 있다고 경고했다. 가정·매장용 IP 카메라도 내부는 같은 계열일 수 있어, 영상이 어디로 나가는지 사용자가 직접 확인하지 않으면 알기 어렵다. 제조사, 공유기의 외부 연결, 클라우드(P2P) 설정 세 가지를 점검하면 내 카메라의 외부 연결 여부를 가늠할 수 있다.
기반시설 CCTV가 보여준 진짜 문제
2021년 적발된 한 사건은 CCTV의 '출처'가 왜 중요한지 보여준다. 한 업체가 중국산 카메라 약 3만 대에서 '메이드 인 차이나' 스티커를 떼고 국산으로 속여 공공기관에 납품했다. 사기 규모는 745억 원으로 집계됐고, 전 대표는 1심에서 징역 4년을 선고받았으며 대법원은 2023년 8월 유죄를 확정했다.
문제는 원산지 속임에서 끝나지 않았다. 국가정보원은 2021년 12월 각 기관에 보낸 통지에서, 이들 장비가 개방된 네트워크에 연결되면 중국 제조사 클라우드로 자동 통신할 수 있다고 경고했다. 국정원이 지목한 제조사는 다후아(DAHUA)였다.
여기서 분명히 해둘 점이 있다. 실제로 영상이 해외로 전송됐다고 확인된 것은 아니다. 지적된 것은 '그럴 수 있는 통로가 열려 있다'는 위험이다. 그리고 이 위험은 공공기관 장비에만 있지 않다. 가게나 집에 흔히 다는 IP 카메라도 안을 열면 같은 중국 제조사 계열인 경우가 많다.
1단계 — 내 카메라가 어느 회사 제품인가
Photo by Compare Fibre on Unsplash
가장 먼저 할 일은 제조사 확인이다. 박스나 앱에 적힌 브랜드만 믿어선 안 된다. 다후아는 자사 브랜드 외에 암크레스트(Amcrest), 로렉스(Lorex), 하니웰 일부 라인 등 여러 이름으로도 팔린다. 겉면 브랜드가 국내 상표여도 내부는 중국 제조사 계열일 수 있다는 뜻이다.
확인 방법은 세 가지다. 설정 화면의 '장치 정보'나 '펌웨어 정보'에서 제조사명과 모델 코드를 본다. 연결하는 전용 앱 이름도 단서가 된다. 하이크비전 계열은 Hik-Connect, 다후아 계열은 자체 클라우드 앱을 쓰는 식이다. 모델명에 'OEM'이나 'rebrand'를 붙여 검색하면 실제 생산사가 드러나는 경우가 많다.
2단계 — 공유기에서 외부 연결을 직접 본다
제조사를 확인했다면, 카메라가 실제로 바깥과 통신하는지 공유기에서 볼 차례다. 공유기 관리자 페이지(보통 192.168.0.1 또는 192.168.1.1)에 접속해 '연결된 기기' 목록에서 카메라의 사설 IP를 찾는다.
외부 노출 여부는 집 안이 아니라 바깥 회선에서 시험해야 정확하다. 같은 와이파이에서 접속하면 공유기의 NAT 루프백 동작 탓에 결과가 왜곡될 수 있어서다. 와이파이를 끈 휴대폰 데이터로 공인 IP와 외부 포트에 접속이 되는지 확인하면, 카메라가 인터넷에 직접 열려 있는지 알 수 있다.
카메라가 알 수 없는 주소로 '나가는' 연결을 시도하는지 보려면 공유기 로그나 방화벽 기능을 쓴다. 일부 공유기는 특정 기기의 외부 방향(outbound) 트래픽을 막는 규칙을 지원한다. 보안 커뮤니티에서는 카메라의 외부 인터넷 접속을 아예 차단하고, 꼭 필요한 원격 보기만 VPN으로 돌리는 방식을 권한다. 메뉴 이름은 기기마다 다르니 모델 설명서를 함께 봐야 한다.
3단계 — 클라우드(P2P)와 원격 접속 설정
많은 IP 카메라는 설치를 쉽게 하려고 'P2P'나 '클라우드' 기능을 기본으로 켜 둔다. 어디서든 영상을 보게 해주는 편리한 기능이지만, 바꿔 말하면 영상 경로 한가운데에 제조사 서버가 끼어든다는 뜻이다.
밖에서 볼 일이 거의 없다면 설정에서 P2P와 클라우드를 끄고, 원격 보기가 필요할 때만 VPN이나 통제된 포트포워딩을 쓰는 편이 안전하다. 포트 번호만 554에서 다른 숫자로 바꾸는 것은 충분한 방어가 아니다. 포트를 옮겨도 외부 스캔으로 찾아낼 수 있다.
클라우드를 껐는데도 1단계와 2단계에서 외부 연결이 계속 보인다면, 그 제품은 사용자가 통제하기 어려운 통신을 하고 있을 가능성이 있다. 이럴 때 침실이나 상담실 같은 민감한 공간이라면 사용을 재고하는 편이 맞다.
지금 바로 점검할 체크리스트
설치 직후, 그리고 펌웨어 업데이트 뒤에 아래를 한 번씩 확인하면 기본 위험은 크게 줄어든다.
- 초기 비밀번호를 바꿨는가. 영문 대소문자와 특수문자를 섞고, 아이디를 admin·user 같은 기본값으로 두지 않는다.
- 펌웨어가 최신인가. 제조사 공지를 확인하고 업데이트한다. 업데이트 뒤 비밀번호가 초기화되면 다시 설정한다.
- P2P·클라우드 기능이 꼭 필요한가. 필요 없으면 끈다.
- 공유기에서 카메라가 인터넷에 직접 노출돼 있지 않은가. 바깥 회선으로 확인한다.
- 제조사와 실제 생산지를 확인했는가. OEM 여부까지 본다.
- 민감한 공간이라면, 쓰지 않을 때 전원을 끄거나 렌즈를 가린다.
한국인터넷진흥원은 이용자가 신청하면 IP 카메라의 보안 취약점을 점검하고 조치를 안내하는 서비스를 운영한다. 설정만으로 판단이 서지 않으면 이런 공적 창구를 이용하는 것도 방법이다.
판단 기준은 이렇게 잡으면 된다. 매장 계산대나 창고처럼 밖에서 꼭 확인해야 하는 곳은 VPN 기반 원격 접속으로 설계하고, 거실처럼 굳이 외부에서 볼 일이 없는 곳은 클라우드를 끄고 로컬로만 쓰는 쪽이 현실적이다.