중국산 IoT 기기 백도어 설계된 이유

집 안에 들인 저렴한 IoT 기기가 사실은 나를 감시하는 스파이 역할을 하고 있다면 어떨까요? 우리는 편의를 위해 스마트 가전과 공유기를 구매하지만, 일부 제품은 설계 단계부터 사용자의 정보를 몰래 빼돌리도록 만들어졌어요. 하지만 문제는 이것이 단순한 해킹 사고가 아니라는 점이에요. 

특정 제조사의 공유기는 전원을 켜는 순간부터 외부 서버와 계속 통신하도록 설정되어 있었고, 이런 취약점은 전 세계 수만 대의 기기에 기본값으로 심겨 있었어요. 우리 집 네트워크를 책임지는 기기가 어떻게 보안 구멍이 되었는지, 어떤 위험이 숨어 있는지 이번 글에서 자세히 알아볼게요.

우리가 돈을 내고 집안에 스파이를 모셔온 걸까요

세상에서 가장 부지런한 스파이들은 월급조차 받지 않고 우리 집안까지 당당히 들어와요. 우리가 편리하게 사용하는 저가형 IoT 기기들이 사실은 외부의 이익을 위해 몰래 작동하고 있다는 역설적인 상황이죠.

이건 누군가 외부에서 해킹을 해서 생긴 문제가 아니라, 애초에 공장에서 만들 때부터 의도적으로 설계된 취약점이라 더 심각해요. 침투 규모를 살펴보면 정말 입이 떡 벌어질 정도예요.

보안 업체인 VulnCheck의 기술 감사 결과, 일부 중국산 공유기는 전원이 켜지는 순간부터 35초마다 외부 서버에 접속하도록 프로그램되어 있었거든요. 단순한 오류가 아니라 공장 기본 설정이었다는 점이 충격적이죠.

조사에 따르면 전 세계적으로 최소 100,000대 이상의 기기가 설계를 공유하고 있으며, 그 범위는 거실 공유기를 넘어 로봇 청소기와 커넥티드 카까지 뻗어 있어요. GBT Link의 AX3000 모델 사례를 보면 더 명확해져요.

일반 소비자에게는 그저 가성비 좋은 네트워크 장비로 보였겠지만, 내부에는 2015년에 만들어진 원시적인 원격 접속 도구가 시스템 프로세스로 위장해 숨어 있었죠. 'Endless Stores'라고 불리는 이 백도어는 권한 없는 관리자가 언제든 접속할 수 있게 만들어, 우리 집 가전제품을 외부 명령을 받는 활짝 열린 대문으로 바꿔버렸어요. 단순한 소프트웨어 잔재나 품질 관리 실수라고 보기에는 정황이 너무나 전략적이에요.

심전시의 Zhibotong이라는 제조사는 취약점이 동일하다는 사실을 숨기려고 여러 브랜드 이름을 빌려 같은 하드웨어를 유통했거든요.

특히 무려 21가지의 서로 다른 펌웨어 버전에서도 동일한 취약점이 발견되었다는 건, 이것이 실수라기보다 의도적인 설계였다는 강력한 증거가 돼요.

설계도 하나가 가정과 산업 현장을 모두 장악했습니다

이번 문제는 단순한 기기 결함이 아니라 하드웨어 설계 단계부터 심어진 시스템적 결함이었어요. 무려 2년이 넘는 시간 동안 가정용 공유기부터 중소기업 모델, 고성능 5G 산업용 게이트웨이까지 광범위한 제품군에 동일한 설계가 적용되었거든요. Vullen Check의 추산에 따르면 전 세계적으로 10만 대 이상의 기기가 위험에 노출되었는데, 이건 외부 해킹을 당한 게 아니라 처음부터 디지털 문이 활짝 열린 채로 판매된 셈이에요.

기존의 보안 방식으로는 을 수 없는 아주 치명적인 구조였죠. 보통의 보안 시스템은 외부 침입을 는 방화벽을 세우는 데 집중하지만, 이 기기들은 아예 방화벽을 무시하고 작동했거든요.

공격을 기다리는 게 아니라, 기기가 스스로 35초마다 중국 서버에 접속해 신호를 보냈어요. 마치 보안 기기가 아니라 자신의 위치를 보고하는 스파이처럼 움직인 거죠.

네트워크 내부에서 신호가 시작되다 보니 아무리 뛰어난 방화벽이라도 무용지물일 수밖에 없었어요.

특히 인증 절차가 전혀 없었다는 점이 가장 위험한 포인트였어요. 서버가 비밀번호 하나 없이도 기기에 최고 관리자 권한의 명령을 내릴 수 있었거든요.

사실상 원격 조종자가 집주인이 책상 앞에 앉아 있는 것과 똑같은 권한을 갖게 된 것이고, 공유기를 통과하는 모든 데이터를 실시간으로 들여다볼 수 있었다는 뜻이에요. 게다가 통신 내용이 암호화되지 않아서, 중간에 신호를 가로채는 제3자가 있다면 누구나 기기 제어권을 뺏을 수 있는 무방비 상태였죠.

논란이 커지자 제조사인 Zhibotong은 샘플 제품에만 들어간 진단 도구였다며 발뺌했어요.

하지만 펌웨어를 정밀 분석해 보니, 이 '샘플용' 기능은 실제 판매된 모든 정식 제품에 그대로 들어있었거든요. 잘못을 인정하기는커녕 증거를 없애려고 몰래 펌웨어 파일을 삭제하는 모습까지 보였는데, 겉으로는 부인하면서 뒤로는 은폐하려 한 뻔뻔한 태도가 정말 충격적이에요.

데이터가 쌓이는 서버의 위치가 곧 권력이 됩니다

스마트 홈의 편리함 뒤에는 우리가 간과하고 있는 심각한 보안 취약점이 숨어 있어요. 네트워크 공유기를 넘어 이제는 로봇청소기가 우리 집 안 깊숙이 들어와 있거든요.

우리가 잠든 사이 카메라는 집안 곳곳을 스캔하고 센서는 사적인 공간의 지도를 그리는데, 편리함이라는 이름 아래 우리의 사생활이 실시간으로 수집되고 있는 셈이죠.

이런 우려는 단순한 상상이 아니라 일어날 수 있는 현실적인 위협이에요. 해커가 원격으로 기기를 제어해 욕설을 내뱉게 하거나, 거실 풍경을 실시간으로 훔쳐보는 사례가 이미 나타났거든요.

이에 따라 한국소비자원과 한국인터넷진흥원은 2025년 9월 2일, 6종의 로봇청소기 모델을 대상으로 정밀 보안 점검을 실시했어요. 조사 결과, 제조 국가에 따라 보안 수준이 확연히 갈리는 모습이 보였죠.

특히 중국 브랜드 제품들의 보안 관리 상태가 매우 심각한 수준이었어요. 나르왈, 드리미, 에코백스 세 브랜드는 사용자 인증과 하드웨어 방어 체계에서 치명적인 결함이 발견됐거든요.

정당한 권한이 있는지 확인하는 절차가 부족해, 집주인도 모르는 사이에 카메라가 작동될 수 있는 위험한 구멍이 뚫려 있었던 거예요.

반면 삼성과 LG 제품은 강력한 비밀번호 정책과 접근 제어 시스템을 갖춰 상대적으로 우수한 평가를 받았어요. 문제는 개별 기기의 결함을 넘어 데이터 수집의 범위가 점점 넓어지고 있다는 점이에요.

제조사들이 뒤늦게 보안 패치를 내놓고 국제 인증을 받았지만, 이제 감시의 시선은 집 밖 도로 위로 향하고 있거든요. 바퀴 달린 컴퓨터라고 불리는 최신 전기차들은 자율주행 학습이라는 명목으로 도시 전체를 촬영하고 있어요.

여기에 촘촘한 CCTV 망까지 더해지면, 단순한 기기 해킹을 넘어 거대한 디지털 감시 체계 속에 우리가 놓이것이 되는 것이죠.

법이라는 거대한 변수가 기업의 양심을 앞섭니다

하드웨어의 성능은 정말 뛰어나지만, 데이터가 어디에 저장되고 누가 그 권한을 갖느냐에 따라 기술의 본질은 완전히 달라져요. 이건 단순한 기술적 결함이 아니라 시스템 전체의 취약성 문제거든요.

국내 시장 상황을 보면 그 침투 규모가 정말 놀라울 정도예요. 중국 브랜드인 Roborock은 한국 로봇청소기 시장에서 3년 연속 1위를 지키고 있거든요. 2025년쯤에는 시장 점유율이 50%를 넘어섰고, 특히 130만 원 이상의 프리미엄 제품군에서는 무려 70% 가까운 점유율을 차지했어요.

삼성전자가 약 20%의 점유율로 그 뒤를 쫓고 있지만 격차는 여전히 매우 커요. 일부 중국 기업들이 보안 논란으로 휘청거려도 다른 기업들이 그 자리를 빠르게 채우면서 중국 브랜드의 독점 체제는 계속되고 있죠.

우리는 그동안 가성비 좋은 고성능 제품을 선택한 합리적인 소비라고 믿어왔어요.

하지만 '스마트한 소비'는 정교하게 설계된 전략 위에 놓인 겉모습일 뿐이에요. 정말 문제는 개개인의 선택이 아니라, 카메라와 통신 기능이 탑재된 기기를 국가적 전략 자산으로 관리하지 못한 정책적 공백에 있거든요.

중국 제품에서 보안 사고가 반복되는 이유는 기업의 윤리보다 우선하는 법적 현실 때문이에요. 2017년에 제정된 국가정보법에 따르면, 모든 조직과 개인은 국가 정보 활동에 무조건 협조해야만 해요.

결국 이 법이 민간 기업을 국가 감시망의 말단 노드로 만들어버린 셈이죠. 국가가 외국인 사용자의 데이터나 개인적인 비밀을 요구하면, 기업은 거부할 권한이 전혀 없어요.

더 무서운 점은 데이터 요청이 있었다는 사실조차 외부로 발설하는 것이 법으로 금지되어 있다는 거예요. 감시가 완전히 보이지 않는 곳에서 이뤄지는 구조적 덫인 셈이죠.

상황에서는 CEO의 선한 의지나 엔지니어의 양심은 아무런 소용이 없어요. 오직 법이 절대적인 권한을 가지니까요.

잠재적 위협이라는 가능성 자체에 주목해야 합니다

지금 시장의 예측이 흔들리는 건 단순한 기술적 결함이 아니라 근본적인 법적 갈등 때문이에요. 중국 기업 생태계에서는 국가의 명령이 떨어지면 경영진의 윤리나 개인적 신념은 아무런 의미가 없거든요.

국가가 데이터 접근권을 요구하면 기업은 그대로 따르거나 아니면 사업을 접어야 하는 극단적인 선택지에 놓이것이 돼요. 글로벌 기업도 본국 정부의 요구를 완전히 무시하며 생존할 수는 없기에, 특정 취약점이 그저 '유지 보수용'이라는 주장은 신뢰하기 어렵죠.

결국 핵심은 백도어가 지금 작동하느냐가 아니라, 국가가 언제든 열 수 있는 열쇠를 쥐고 있다는 구조적 현실이에요.

이런 지정학적 리스크가장 뼈아프게 다가오는 곳은 바로 미국이에요. 선전 기반의 거대 기업인 TP-Link는 이미 미국 가정용 라우터 시장의 50% 이상을 점유하며 깊숙이 침투해 있거든요. 브랜드 영향력이 워낙 강하다 보니, 사실상 미국 가정 내 네트워크 연결의 모세혈관 역할을 하고 있다고 봐도 무방해요.

미국 정부의 대응은 2024년 12월을 기점으로 단순한 의심에서 체계적인 행동으로 바뀌었어요. 당시 상무부와 국방부, 법무부가 합동 조사를 시작하면서 이 문제를 단순한 소비자 제품의 결함이 아닌 국가 안보 위협으로 규정했거든요.

이후 2025년 11월에는 상무부가 신규 판매 차단을 공식 제안했고, 12명의 상원의원이 백악관의 단호한 조치를 촉구하며 힘을 실어주었죠.

이런 움직임이 과도한 대응이라는 시각도 있지만, 미국은 제공 국가의 법적 구조 자체를 가장 큰 취약점으로 보고 있어요. 제품이 고장 난 것이 문제가 아니라, 한 나라의 법이 다른 나라의 사적인 거실까지 닿을 수 있게 만드는 '법적 가교'가 존재한다는 점이 정말 위험 요소인 셈이죠.

내부에서 문을 열어준 구조적 결함을 기억하세요

지금의 갈등은 단순한 범죄 증거의 문제가 아니라 중국 법 체계가진 시스템적 리스크 때문이에요. 미국은 국가 정보법에 따라 강제적인 악성 업데이트가 일어날 가능성 자체를 실질적인 위협으로 보고 있어요.

미국이 시장 점유율 50%를 차지했던 브랜드들을 이미 걷어내기 시작한 반면, 우리나라는 아직 사후 대응 수준에 머물러 있죠. IoT 보안 조사를 위한 국내 법적 틀은 2026년에나 논의될 예정이라, 지금은 강제 감사보다는 제조사의 자발적인 협조에만 의존하고 있는 상황이에요. 한쪽은 문을 꽉 닫고 있는데, 다른 한쪽은 이제야 잠금장치가 있는지 확인하는 꼴이에요.

일각에서는 이를 무역 보호주의를 위한 미국의 과장된 서사라고 비판하기도 해요.

하지만 기술적 감사를 통해 드러난 취약점은 단순한 이론적 가능성이 아니라 구조적인 현실이었어요. 사실상 앞문이 활짝 열린 상태로 제품이 만들어졌다고 봐도 무방하거든요.

특히 공유기가 모든 홈 트래픽의 단일 관문 역할을 한다는 점이 위험을 더 키우고 있어요. 뱅킹 신호부터 홈 카메라 영상까지 모든 데이터가 이곳을 지나기 때문에, 공유기가 뚫리면 연결된 모든 기기를 열 수 있는 마스터키를 넘겨주는 것과 같죠.

기기들이 중국 서버로 직접 연결을 시도했다는 사실은, 이 리스크가 잠자고 있는 버그가 아니라 의도된 설계라는 점을 증명해요.

지금 반드시 기억해야 할 핵심 포인트들

이번 사태는 방어 체계의 실패가 아니라, 애초에 내부에서 문을 열어둔 설계의 문제였어요. 일부에서는 서방 국가들의 경고가 그저 과장된 지정학적 소음일 뿐이라고 주장하죠.

하지만 제조사의 행동을 보면 명백한 증거가 나와요. 겉으로는 백도어가 없다고 강하게 부정하면서도, 뒤로는 '보안 패치'라는 핑계를 대며 문제가 된 펌웨어를 홈페이지에서 몰래 삭제했거든요.

말과 행동이렇게 다르다는 건, 이것이 단순한 기우가 아니라 구조적인 현실이라는 점을 증명하는 셈이에요. 편리함을 얻기 위해 지불한 비용이 생각보다 너무 컸다는 걸 깨달아야 해요.

우리는 저렴한 가격에 혹해 개인정보라는 소중한 가치를 맞바꿨고, 이제 그 청구서가 날아온 상황이죠. 미국은 이미 시장의 절반가량에서 해당 브랜드들을 퇴출하기 시작했지만, 우리나라는 이제야 조사 권한에 대한 법적 틀을 논의하는 수준이에요.

대응 속도의 차이는 곧 우리의 취약점으로 이어지거든요.

특히 기기가 35초마다 외부와 통신할 수 있다는 사실은 이 감시 체계가 얼마나 끈질긴지를 잘 보여줘요.

하지만 위기를 전략적인 기회로 바꿀 수도 있어요. 보안이 단순히 '있으면 좋은 기능'을 넘어 구매의 결정적인 기준이 되면 시장의 판도가 바뀌기 때문이죠.

삼성이나 LG 같은 국내 대기업, 한화 같은 방산 기업들이 검증된 보안 시스템을 앞세워 경쟁 우위를 점할 수 있는 타이밍이에요. 무조건 수입 부품을 두려워하자는 게 아니에요.

다만 검증 불가능한 법적 체계 아래에서 작동하는 카메라와 네트워크 기기는 위험 요소라는 점을 분명히 인지해야 해요. 이제 우리 디지털 현관문의 열쇠를 진정으로 누가 쥐고 있을지 결정해야 할 때예요.