리플 CTO가 경악한 중국 해킹 칩의 정체... 전 세계 10억 개 기기가 영향권

리플(Ripple)사의 최고기술책임자(CTO) 데이비드 슈워츠(David Schwartz)가 최근 발견된 블루투스 취약점에 대해 우려를 표명했다. 이 취약점은 전 세계적으로 약 10억 개의 기기에 영향을 미칠 가능성이 있다.

최근 유투데이 등에 따르면 스페인 사이버보안 전문 기업 타로직(Tarlogic)은 이번 주 초, 광범위하게 사용되는 ESP32 마이크로컨트롤러에서 새로운 백도어(backdoor)를 발견했다고 발표했다.

백도어란 시스템, 소프트웨어, 네트워크 등에 정상적인 인증 과정을 거치지 않고 비인가자가 접근할 수 있도록 숨겨진 보안 취약점이나 기능을 의미한다.

약 2달러 정도의 저렴한 가격으로 판매되는 ESP32는 스마트워치, 스마트 도어락, LED 컨트롤러, 피트니스 트래커, IoT 스피커, 보안 카메라 등 블루투스를 활용하는 다수의 IoT(사물인터넷) 기기에 탑재돼 있다.

타로직에 따르면 이 칩이 블루투스 기반 IoT 기기의 절대 다수에 사용되고 있어 이번 취약점이 광범위한 보안 문제로 이어질 가능성이 높다.

이번에 발견된 문제는 ESP32 칩이 숨겨진 명령어를 통해 악성 코드에 감염될 수 있다는 점이다. 타로직은 총 29개의 문서화되지 않은 명령어를 찾아냈으며, 이를 활용하면 기기가 오프라인 상태에서도 악성 행위자가 접근할 수 있는 것으로 분석됐다. 해커들은 이를 이용해 민감한 데이터를 탈취하거나 감시 목적으로 악용할 수 있다.

슈워츠는 이번 취약점과 관련해 자신의 소셜미디어 계정에서 "좋지 않다(Not good)"라는 짧은 반응을 남겼다. 그는 XRP 레저(XRP Ledger)의 설계자로도 알려져 있으며, 보안 문제에 대해 꾸준히 경고해 온 인물이다.

ESP32 칩을 개발한 중국 반도체 기업 에스프레시프(Espressif)는 아직 이번 보고서에 대해 공식적인 입장을 내놓지 않았다. 또한, 이번 문제를 해결하기 위해서는 모든 하드웨어를 교체해야 할 수도 있어 간단한 해결책이 존재하지 않을 가능성이 크다.

이와 유사한 보안 문제는 과거에도 발생한 바 있다. 지난해 슈워츠는 윈도우(Windows) 운영체제의 한 취약점이 공격자들이 와이파이(Wi-Fi) 범위 내에서 임의의 코드를 실행할 수 있도록 만든다고 경고한 바 있다.

2023년엔 미국의 사이버보안 기업 크라우드스트라이크(CrowdStrike)가 인텔(Intel) 프로세서에서 물리적 접근 없이 원격으로 악성 코드를 실행할 수 있는 보안 취약점을 발견했다고 발표한 바 있다. 당시 인텔은 소프트웨어 패치를 통해 문제를 해결했지만, 일부 구형 시스템에서는 근본적인 해결이 어려웠다.

2021년에도 애플(Apple)의 블루투스 취약점이 발견돼 공격자가 아이폰과 맥(Mac) 기기에 무단으로 접근할 수 있는 문제가 제기된 바 있다. 애플은 iOS 및 macOS 업데이트를 통해 이를 해결했지만, 당시 상당수의 사용자가 이를 인지하지 못하고 취약한 상태로 남아 있었던 것으로 알려졌다.

이번 ESP32 취약점 문제는 단순한 결함이 아니라, 전 세계 수억대의 IoT 기기가 해킹 위험에 노출될 수 있다는 점에서 심각한 보안 위협으로 평가된다.