홈캠 10종 정부 보안 점검, 3종 해킹 취약점 — 우리 집 모델은?

KISA·한국소비자원은 홈캠 10종을 어떻게 점검했나?

한국인터넷진흥원(KISA)과 한국소비자원은 2026년 2월 25일부터 6월 8일까지 시중 IP카메라 10종을 37개 항목으로 점검했고, 그 결과를 11월 12일 공개했다. IP카메라는 인터넷에 연결돼 스마트폰 앱으로 영상을 보는 카메라이고, 집 안에 두는 것을 흔히 홈캠이라 부른다. 제품은 온라인 쇼핑몰 판매 순위와 소비자 설문 결과를 보고 골랐다.

점검 분야는 기기, 모바일 앱, 정책·관리 세 가지다. 대상은 다후아 DH-H3B, 로보뷰 GI-ROBOA7, 브이스타캠 VSTARCAM-800X, 샤오미 C500 PRO, 아이피타임 C500G, 이글루 S8(TSC-443P), 타포 TC74, 파인뷰 K11, 하이크비전 CN-D1153G, 헤이홈 스마트 홈카메라 Pro+다. 두 기관이 함께 한 보안 점검은 2025년 로봇청소기에 이어 두 번째다.

KISA 설명에 따르면 이번 시험은 보안 전문 인력이 고도화된 공격 시나리오를 적용한 것이다. 그래서 ‘취약점 발견’은 실제 공격이 가능했던 경로를 찾았다는 뜻이고, 그 제품을 쓰는 집의 영상이 이미 새어 나갔다는 뜻은 아니다. 제조사들은 한국소비자원에 품질 개선 계획을 냈고, KISA는 이행 여부를 계속 점검한다고 밝혔다.

우리 집 홈캠은 어느 항목에서 지적됐나 — 10종 결과표

홈캠 10종의 모델별 결과는 아래 표와 같다. 발표 자료에 따르면 브이스타캠 VSTARCAM-800X는 제품 이름이 공개된 6개 항목에서 모두 지적됐고, 하이크비전 CN-D1153G와 샤오미 C500 PRO는 2개 항목에서 지적됐다. 등급은 37개 항목 전체로 매겨서, 지적 개수와 꼭 같이 움직이지는 않는다. 헤이홈은 3개 항목에서 지적됐지만 ‘양호’였고, 하이크비전은 2개 항목인데 ‘보통’이었다.

아래 확인기에서 모델을 고르면 종합 평가와 6개 항목 결과가 한 번에 나온다. 모델명은 제품 바닥이나 상자의 표시, 앱의 기기 정보 화면에서 확인할 수 있다.

등급은 37개 항목 전체로 매긴 종합 평가다. 6개 항목은 발표에서 제품 이름이 공개된 항목만 옮겼고, ‘지적 없음’은 그 항목에서 이름이 나오지 않았다는 뜻이다.

로보뷰·브이스타캠·파인뷰 ‘사용자 인증 미흡’은 무엇이 가능했나, 조치는 끝났나?

사용자 인증 미흡은 서버나 앱이 ‘이 사람이 이 카메라의 주인인지’를 제대로 확인하지 않아 남의 카메라에 닿을 수 있는 상태를 말한다. KISA·한국소비자원 발표에 따르면 3종에서 공격자가 다른 사람의 IP카메라가 찍은 이미지·영상을 내려받거나, 카메라 기능을 강제로 켜고 조작할 수 있는 취약점이 확인됐다.

KISA는 세 제조사에 개선을 권고했고, 로보뷰와 파인뷰는 조치를 마쳤으며 1종은 조치가 진행 중이라고 밝혔다. 조치 완료가 내 카메라에 반영됐는지는 앱과 카메라 펌웨어가 최신인지로 확인한다. 펌웨어는 카메라 안에 들어 있는 기본 소프트웨어다. 클라우드 쪽을 고친 경우는 따로 할 일이 없을 수도 있지만, 무엇을 고쳤는지는 발표에 나오지 않았으니 둘 다 최신으로 맞춰 두는 편이 확실하다.

확인 순서는 대부분의 홈캠 앱이 비슷하다. 앱 스토어에서 앱을 먼저 업데이트하고, 앱에서 카메라를 고른 뒤 설정의 ‘기기 정보’나 ‘펌웨어’ 메뉴에서 현재 버전과 새 버전 여부를 본다. 조치가 진행 중인 제품을 쓰고 있다면 제조사 누리집 공지와 고객센터에 조치 일정을 묻는 것이 가장 정확하다.

10종 모두 미흡했던 펌웨어 보안 설정, 통신·테스트 단자 지적은 무슨 뜻인가?

펌웨어 보안 설정은 점검한 홈캠 10종 모두 미흡했다고 KISA·한국소비자원이 밝혔다. 발표 자료는 펌웨어 항목의 세부 내용을 제품별로 나누어 공개하지 않았다. 펌웨어가 허술하면 카메라를 손에 넣거나 같은 네트워크에 들어온 공격자가 기기 내부를 들여다보기 쉬워지고, 제조사의 업데이트가 그 틈을 메우는 통로다.

안전하지 않은 통신 프로토콜(8종)은 카메라·앱·서버가 주고받는 데이터가 충분히 보호되지 않아 통신 구간에서 사용자 데이터가 샐 수 있다는 뜻이다. 샤오미 C500 PRO와 헤이홈 Pro+를 뺀 8종이 지적됐다.

테스트 단자 활성화(4종)는 제조 과정에서 쓰는 점검용 접점이 켜진 채 남아 있어, 기기를 열면 내부 시스템 접근 정보가 드러날 수 있다는 뜻이다. 브이스타캠·이글루·파인뷰·헤이홈이 해당한다. 카메라를 직접 손에 넣어야 하는 공격이라, 집 안에 둔 카메라보다 현관 밖이나 공용 공간에 단 카메라에서 더 신경 쓸 부분이다.

비밀번호 정책 미적용(5종)은 앱이 ‘2가지 이상 문자 조합의 10자리 이상’ 같은 안전한 비밀번호를 요구하지 않았다는 뜻이다. 다후아·브이스타캠·샤오미·아이피타임·타포가 해당한다. 앱이 짧은 비밀번호를 받아 준다면 스스로 길게 정하면 된다.

홈캠 해킹을 막는 설정 5가지, 모델과 상관없이 바로 바꿀 것

홈캠 해킹 방지 설정은 점검 결과에서 그대로 끌어낼 수 있다. 비밀번호 정책 5종, 펌웨어 10종, 인증 3종 지적은 모두 이용자가 비밀번호와 업데이트로 위험을 줄일 수 있는 항목이다. 아래 다섯 가지는 특정 제품의 결함을 고치는 방법이 아니라 어떤 홈캠에도 통하는 기본 설정이다.

새 홈캠을 살 때 ‘보안 업데이트 지원 기간’은 어떻게 확인하나?

보안 업데이트 지원 기간은 제조사가 그 제품에 보안 패치를 언제까지 주는지를 뜻하고, 이번 점검에서 6종은 그 기간을 확인할 수 없었다. 로보뷰·브이스타캠·아이피타임·이글루·파인뷰·헤이홈이 해당하고, 다후아·샤오미·타포·하이크비전은 확인됐다.

홈캠 해킹, 자주 묻는 것 다섯 가지