샤크 진공청소기의 패치되지 않은 보안 결함이 스마트 홈을 위협합니다.

로봇 청소기는 집안을 청소하도록 설계되었지만, 한 로봇 청소기가 낯선 사람들을 위해 집안 지도를 작성하는 것으로 드러났습니다. 보안 연구원들은 클라우드에 연결된 샤크닌자(SharkNinja) 로봇 청소기에 영향을 미치는 심각한 취약점을 발견했는데, 이 취약점을 통해 공격자는 실시간 카메라 영상, 집안 지도, Wi-Fi 비밀번호 등 민감한 정보에 원격으로 접근하고, 심지어 영향을 받는 스마트 홈 기기에서 명령을 실행할 수도 있습니다 . 더욱 우려스러운 점은 이 문제가 몇 달 전에 샤크닌자에 보고되었음에도 불구하고 아직까지 해결되지 않고 있다는 것입니다.

빗자루가 어떻게 스파이가 될 수 있을까요?

보안 연구원 tokay0은 Shark RV2320EDUS 로봇 청소기를 역분석하는 과정에서 이 취약점을 발견했습니다 . 연구에 따르면, 해당 기기에는 AWS IoT 인증서가 포함되어 있어 자체 기기에만 국한되지 않고 동일한 AWS 환경 내의 다른 Shark 기기와 통신할 수 있습니다. 이처럼 지나치게 광범위한 클라우드 정책으로 인해 단일 청소기에서 추출한 인증서가 사실상 다른 여러 기기와 상호 작용할 수 있게 됩니다.

이 취약점이 악용될 경우, 공격자는 취약한 진공청소기에 원격으로 명령을 내리고, 카메라 영상에 접근하고, 사용자의 집 지도를 다운로드하고, Wi-Fi 비밀번호(평문으로 저장되는 것으로 알려짐)를 탈취하고, 잠재적으로 피해자의 로컬 네트워크에 침투할 수 있습니다. 연구원은 24시간 동안 단일 AWS 리전에서 150만 대 이상의 Shark 기기를 관찰했으며, 그중 약 67만 3천 대가 원격 명령 실행을 지원하는 것으로 보이는 반응을 보였습니다. 이는 모든 기기가 취약하다는 것을 확증하는 것은 아니지만, 이 문제가 매우 많은 제품에 영향을 미칠 수 있음을 시사합니다.

솔직히 말해서, 이 공격은 일부 사람들이 생각하는 것처럼 인터넷을 통해 진공청소기를 직접 해킹하는 것처럼 간단하지 않습니다. 우선 공격자는 호환되는 샤크 진공청소기에 물리적으로 접근하여 디버그 인터페이스를 통해 내장된 인증서를 추출해야 합니다. 이로 인해 진입 장벽이 상당히 높아져, 기회주의적인 해커보다는 전문 연구원이나 작정하고 공격하려는 사람들이 이 공격을 감행할 가능성이 더 큽니다.

안타깝게도 이 인증서가 추출되면 나머지 공격은 SharkNinja의 클라우드 인프라를 통해 원격으로 실행될 수 있습니다. 연구원에 따르면 핵심 문제는 SharkNinja의 AWS IoT 클라우드 정책에 있으며, 따라서 사용자는 펌웨어 업데이트를 통해 직접 해결할 수 없습니다. 필요한 수정 조치는 SharkNinja가 자사 서버에서 직접 수행해야 합니다.

샤크 기기 소유자는 어떻게 해야 할까요?

연구원에 따르면 해당 취약점은 2026년 3월에 SharkNinja에 처음 공개되었지만, 이 기사가 발행될 시점까지는 보안 패치가 배포되지 않았습니다. 또한, 현재 이 문제에 대한 전용 CVE 식별자가 없으며, SharkNinja는 아직 공개적인 수정 사항을 발표하지 않았다는 보고도 있습니다.

해당 회사가 문제를 해결할 때까지 스마트 기능을 사용하지 않는 사용자는 로봇 청소기의 Wi-Fi 연결을 끊거나 원격 제어 기능을 비활성화하여 잠재적인 공격 표면을 줄일 수 있습니다. 이는 임시방편일 뿐 영구적인 해결책은 아니지만, 이 취약점이 클라우드 기반이므로 궁극적인 책임은 제조업체에 있습니다.