사물인터넷 해킹은 어떻게 일어날까? 미라이 봇넷 디도스와 스미싱, IoT 보안 대책

사물인터넷 해킹은 인터넷에 연결된 카메라, 공유기, 스마트 가전 같은 기기의 약점을 파고들어 정보를 빼내거나 기기를 공격 도구로 쓰는 것을 말해요. 기기 하나하나는 작고 값싸지만 수십만 대가 한꺼번에 조종되면 대형 인터넷 서비스를 멈출 만큼 강력해져요. 대표 사례와 대응 방법을 차례로 살펴볼게요.

IoT 기기는 왜 해킹에 약할까?

많은 IoT 기기는 공장에서 정한 admin 같은 기본 아이디와 비밀번호를 그대로 쓴 채 판매되고, 사용자도 이를 바꾸지 않는 경우가 많아요. 원격 접속용 텔넷 포트가 열려 있거나 보안 업데이트 기능이 아예 없는 제품도 있어요.

성능이 낮은 칩을 쓰기 때문에 백신을 설치하기 어렵고, 고장 나지 않는 한 몇 년씩 켜져 있다는 점도 문제예요. 사용자 눈에 띄는 화면이 없어 감염 사실을 알아채기도 어려워요.

미라이 봇넷은 어떻게 퍼졌을까?

2016년 등장한 미라이는 인터넷 전체를 무작위로 훑으며 텔넷 포트가 열린 기기를 찾고, 60여 개의 흔한 기본 계정을 차례로 대입해 침입했어요. 감염된 기기는 다시 다른 기기를 찾아 나서서 전파 속도가 매우 빨랐어요.

안토나카키스 연구팀은 미라이가 정점에 약 60만 대의 기기를 감염시켰다고 분석했어요. 그해 10월에는 도메인 이름 서비스 업체 딘이 공격받아 미국 동부를 중심으로 여러 유명 웹사이트 접속이 몇 시간 동안 어려워졌어요.

하루 중 집중이 잘 되는 시간에 어려운 과제를 하니까 효율이 좋더라고요. 끝낸 일에 줄 긋는 재미를 느껴 보는 것도 좋을 것 같아요.

디도스 공격은 어떤 구조일까?

디도스는 분산 서비스 거부 공격으로, 수많은 기기가 한 대상에 동시에 요청을 쏟아부어 정상 이용자가 서비스를 쓰지 못하게 만드는 방식이에요. 패킷이 오가는 기본 구조는 네트워크 기초 정리에서 먼저 익혀 두면 이해가 쉬워요.

공격자는 명령 서버를 통해 감염 기기에 공격 대상과 방식을 지시해요. 각 기기가 보내는 양은 작아도 출발지가 흩어져 있어 차단할 대상을 가려내기 어렵다는 점이 디도스의 핵심 위협이에요. 미라이 소스 코드가 공개된 뒤로는 변종이 계속 나오고 있어요.

스미싱은 IoT 해킹과 어떻게 이어질까?

스미싱은 문자 메시지와 피싱을 합친 말로, 택배 조회나 청첩장을 가장한 링크를 눌러 악성 앱을 설치하게 만드는 공격이에요. 설치된 앱은 연락처와 인증 문자를 빼돌려 소액결제나 계정 탈취에 써요.

스마트폰은 집 안의 스마트 기기를 제어하는 리모컨 역할을 하기 때문에, 휴대폰이 뚫리면 연결된 카메라나 도어록 앱까지 위험해질 수 있어요. 수집된 정보가 어떻게 분석되는지는 SKT 해킹 사태 정보 분석 정리에서 함께 볼 수 있어요.

결국 개인을 노린 공격과 기기를 노린 공격은 따로 떨어져 있지 않아요. 한 지점이 뚫리면 연결된 다른 기기로 피해가 번지는 것이 초연결사회의 특징이에요.

어떻게 막을 수 있을까?

사용자는 기기를 처음 설치할 때 기본 비밀번호부터 바꾸고, 펌웨어 업데이트를 주기적으로 확인해야 해요. 쓰지 않는 원격 접속 기능은 끄고, 가능하다면 IoT 기기를 업무용 컴퓨터와 다른 와이파이 네트워크로 분리하는 것이 좋아요.

제조사는 기기마다 다른 초기 비밀번호를 부여하고, 자동 보안 업데이트를 지원해야 해요. 콜리아스 등은 미라이 이후 IoT 보안이 사용자 책임만으로는 해결되지 않으며 설계 단계의 보안이 필요하다고 강조했어요. 보안 분야 진로를 고민한다면 정보보안기사 자격증 범위가 이런 주제를 폭넓게 다뤄요.

작은 습관이지만 공유기 관리자 페이지에 한 번 들어가 연결된 기기 목록을 확인해 보는 것만으로도 모르는 기기가 붙어 있는지 점검할 수 있어요.

이 글은 캠퍼스다운 편집부가 대학 교재 여러 권의 설명을 견주어 엮었어요 · 검토 2026-10-26. 참고: Antonakakis, M., April, T., Bailey, M., Bernhard, M., Bursztein, E., Cochran, J., Durumeric, Z., Halderman, J. A., Invernizzi, L., Kallitsis, M., Kumar, D., Lever, C., Ma, Z., Mason, J., Menscher, D., Seaman, C., Sullivan, N., Thomas, K., & Zhou, Y. (2017). Understanding the Mirai botnet. In Proceedings of the 26th USENIX Security Symposium (pp. 1093–1110). USENIX Association; Kolias, C., Kambourakis, G., Stavrou, A., & Voas, J. (2017). DDoS in the IoT: Mirai and other botnets. Computer, 50(7), 80–84. 오늘 집에 있는 인터넷 연결 기기를 모두 적어 보고, 비밀번호를 한 번도 바꾸지 않은 기기에 표시해 보세요. 그 목록이 우리 집 보안 점검표의 첫 장이에요.