방치된 IoT 앱, 여전히 끊어진 서버로 민감 데이터 전송 중

한 줄 요약

미국 매사추세츠대학교 연구팀이 더 이상 업데이트되지 않는 안드로이드 IoT 앱 6만 1,500개를 분석한 결과, 약 4분의 3에서 알려진 보안 취약점을 가진 소프트웨어 라이브러리가 발견됐습니다. 이런 방치된 앱들은 스마트 플러그, 카메라, 온도 조절기 같은 기기를 제어하는 데 수백만 명이 여전히 사용하고 있으며, 일부는 다운로드 수가 1억 건을 넘기도 했습니다. 앱 안에 하드코딩된 서버 주소 중 상당수는 이미 접속 불가 상태이거나 소유자가 바뀐 도메인이며, 앱의 67% 이상에는 피싱·스파이웨어·악성코드와 연관된 차단 목록 도메인이 포함돼 있었습니다. 카메라·위치·저장소 접근 권한으로 수집된 민감한 정보가 안전하지 않은 서버로 계속 전송될 수 있다는 점이 핵심 위험입니다. 연구팀이 개발사에 취약점을 통보했지만 약 20%의 이메일이 반송됐고, 실제로 패치를 진행한 곳은 소수에 불과했습니다.

사건

대학 연구팀이 방치된 안드로이드 IoT 동반 앱 6만 1,500개를 분석한 결과, 73.6%에서 CVE(공식 취약점 식별자) 연관 라이브러리가 발견됐고, 40.8%의 데이터 전송 목적지가 취약하거나 접속 불가 또는 소유자 변경 도메인인 것으로 나타났다.

영향

수백만 명의 사용자가 카메라·위치·저장소 등 민감 데이터를 방치된 앱을 통해 전송하고 있으며, 67% 이상의 앱에 악성·피싱·스파이웨어 연관 차단 도메인이 포함돼 실제 피해 가능성이 있다. 반면 활성 앱 비교군에서는 동일 문제가 1% 미만이었다.

원인

IoT 기기의 평균 사용 수명(약 10년)이 제조사의 앱 유지보수 기간을 훨씬 초과하며, 앱이 방치되면 보안 패치나 서버 주소 변경에 대응할 수 없다. 하드코딩된 도메인이 만료되거나 제3자에게 인수되어 악용될 수 있다.

대응

연구팀이 개발사에 취약점을 이메일로 통보했으나 약 20%가 반송됐고, 일부 앱은 구글 플레이에서 삭제되거나 수정 작업이 시작됐다. Tuya SDK 취약점은 클라이언트 앱 직접 패치가 불가능해 클라우드 플랫폼에서 수정됐다.

실무 포인트

기업 환경에서 스마트 오피스·산업용 IoT 기기 도입 시 동반 앱의 유지보수 상태(최신 업데이트 일자, 스토어 등록 여부)를 구매·도입 기준에 포함해야 하며, 이미 사용 중인 IoT 앱 목록을 정기적으로 검토해 방치된 앱을 퇴출해야 한다.

본문

수백만 명이 스마트 플러그, 카메라, 온도 조절기 같은 기기를 제어하는 데 사용하는 스마트홈·IoT 동반 앱(companion app) 중 상당수가 수년 전부터 업데이트를 중단한 상태임에도 계속 사용되고 있다.

매사추세츠대학교 애머스트(University of Massachusetts Amherst) 연구팀은 방치된 안드로이드 IoT 앱 61,500개를 분석한 결과, 약 4분의 3에서 문서화된 취약점과 연관된 소프트웨어 의존성(dependency)이 발견됐다고 밝혔다.

연구팀은 대규모 안드로이드 앱 아카이브인 AndroZoo에서 데이터셋을 구축한 뒤, IoT 기기와 연동되는 동반 앱만을 필터링했다. 마지막 업데이트로부터 2년이 경과했거나 2025년 3월 기준 구글 플레이 스토어에서 삭제된 앱을 '방치된 앱'으로 정의했다. 기준을 충족하는 앱의 대다수는 스토어에서 완전히 내려진 상태였으며, 소수는 여전히 등록은 돼 있으나 수년간 개발자의 손이 닿지 않은 앱이었다고 연구팀은 밝혔다.

데이터셋 수집 방법론 (출처: 연구 논문)

방치됐다고 해서 이용자가 적은 것은 아니었다. 두 그룹 모두 수천 건의 설치 수를 기록했으며, 개발이 중단되기 전 1억 건 이상의 다운로드를 달성한 앱도 12개에 달했다고 연구팀은 지적했다.

"구글 플레이 스토어만 봐도 상위 1,000개 모바일 앱 중 5%가 연 1회 미만으로 업데이트되고 있으며, 최근 연구에서는 구글 플레이의 앱 869,000개가 2년 이상 어떠한 업데이트도 받지 못한 것으로 나타났다"고 연구팀은 밝혔다.

"이러한 방치 수준은 IoT 기기가 평균 약 10년간 사용된다는 사용자의 기대를 감안하면 특히 우려스럽다. 이 수명은 제조사가 동반 앱에 대해 약속하는 유지보수 기간을 훨씬 초과하기 때문이다."

"그 결과 많은 사용자들이 유지보수가 중단됐거나 스토어에서 내려진 앱에 의존해 민감한 IoT 데이터를 관리할 수밖에 없어, 보안 노출이 크게 확대되고 있다"고 덧붙였다.

오래된 코드, 오래된 서버

이 연구에 따르면 방치된 앱의 대부분은 미국 국립취약점데이터베이스(NVD, National Vulnerability Database)에 등록된 알려진 취약점과 연관된 소프트웨어 라이브러리를 포함하고 있으며, 지적된 문제의 대부분은 높은 심각도 등급에 해당했다.

또한 앱 코드에는 수천 개의 하드코딩된 웹 주소가 포함돼 있었다. 추출된 고유 도메인의 약 4분의 1은 DNS 조회 자체가 되지 않았으며, 모든 앱에서 최소 하나 이상의 FQDN(완전한 서버 주소, 예: 서버 도메인명)이 DNS 접근성 테스트를 통과하지 못했다. 다만 일부 결과는 내부 엔드포인트나 네임서버, 또는 추출 오류에 의한 것일 수 있다고 연구팀은 설명했다.

연구팀은 방치된 앱이 지속적인 공격 경로(attack vector)가 된다고 밝혔다. 유지보수 중인 앱은 엔드포인트가 끊어지면 대응할 수 있지만, 방치된 앱은 그럴 수 없기 때문이다. 도메인 등록 이력을 표본 조사한 결과, 아직 활성 상태인 도메인 중 일부는 앱의 마지막 업데이트 이후 소유자가 바뀐 것으로 나타났으며, 이는 2,000개 이상의 앱에 영향을 미쳤다.

별도로 실시한 스캔에서는 추출된 웹 주소 중 약 9분의 1이 위협 인텔리전스 차단 목록(blocklist)과 대조됐고, 피싱·사기·스파이웨어·악성코드 링크와 정확히 일치하는 수백 건의 결과가 나왔다. 데이터셋 내 앱의 3분의 2 이상에는 차단 목록에 등록된 도메인이 하나 이상 포함돼 있었다.

보낼 곳 없는 민감 데이터

이 앱들은 기본적인 네트워크 연결을 넘어서는 권한을 요구한다. 외부 저장소 접근, 정밀 위치, 카메라 권한이 각각 수만 개의 앱에서 확인됐다고 연구팀은 밝혔다. 이 권한들로 수집된 데이터는 거의 전부 Wi-Fi를 통해 전송된다.

이번 연구에서 방치된 앱에 특화된 가장 두드러진 차이는 다음과 같다: 고유 데이터 흐름 소스 및 수신처(sink)의 38.4%가 접속 불가·차단 목록·소유권 변경 도메인과 연관돼 있었다. 반면 2025년 3월 이후 업데이트를 받은 활성 IoT 앱 500개를 동일한 방식으로 분석했을 때, 이 문제는 1% 미만에서만 나타났다.

방치된 앱 중 일부는 DES, MD5, RC4 등 권장하지 않는 암호화 알고리즘을 사용하고 있었으나, 그 비율은 활성 앱 비교군보다 낮았다. 연구팀은 이를 구식 암호화가 방치와 무관하게 IoT 앱 생태계 전반의 습관임을 보여주는 결과로 해석했다.

공개 통보 이후 수정 및 앱 삭제 이어져

연구팀은 데이터셋에서 개발자 연락처를 확인할 수 있는 수천 개의 앱을 추려 6월 중순부터 대규모 이메일 통보를 시작했다.

이메일의 약 5분의 1은 수신 불가로 반송됐다고 밝혔다. 답장을 보내온 개발사 중 소수는 자사 앱을 구글 플레이에서 내렸고, 비슷한 수의 개발사는 지적된 취약점이 자사 제품에 해당하지 않는다고 답했으며, 이보다 조금 더 많은 개발사는 문제를 인정하고 수정 작업 중이라고 답변했다.

한 벤더는 구글 플레이에 여전히 등록된 앱에서 Tuya SDK 취약점 두 건을 확인했으며, 클라이언트 측 코드를 직접 패치할 수 없어 Tuya 클라우드 플랫폼에서 수정했다고 밝혔다.