닭장을 지키던 카메라, 전쟁의 눈이 됐습니다

더 생각할 세 가지

1. WSJ가 인용한 S-RM의 12억 대는 전 세계 인터넷 연결 카메라의 보급 추정치이며, 침해된 카메라 수가 아닙니다.
2. 네덜란드 AIVD와 MIVD는 러시아 국가 행위자가 영상인식 소프트웨어로 군용차량과 적재 화물을 찾고 있다고 밝혔습니다.
3. 한국 경찰이 2025년 적발한 약 12만 대 IP카메라 침입 사건의 동기는 전쟁이 아니었지만, 공격자가 통과한 문은 같은 취약한 원격접속이었습니다.

근거와 반론

근거

올해 미국과 이스라엘의 대이란 공습이 이어지던 때, 북부 이스라엘의 한 농부가 닭장 밖 웹캠 앱을 열었습니다. 화면 언어가 아랍어로 바뀌어 있었습니다. 이스라엘 국가사이버국은 해커가 중국산 카메라를 장악했으며, 그 화각에 레바논 접경을 오가는 보안군의 움직임이 잡힌다는 사실을 확인했습니다. 당국은 보안을 강화하고 카메라 방향을 바꿨습니다. 목표는 닭이 아니라 닭장 너머의 길이었습니다.

WSJ가 인용한 사이버보안업체 S-RM은 인터넷에 연결된 카메라가 전 세계 약 12억 대라고 추산했습니다. 12억 대가 해킹됐다는 뜻은 아닙니다. 위험은 기본 비밀번호, 오래된 펌웨어, 외부에 열린 포트와 방치된 설정이 거대한 탐색 공간을 만들었다는 데 있습니다. 네덜란드 정보기관 AIVD와 MIVD는 적어도 하나의 러시아 정보·보안기관이 네덜란드와 여러 EU·NATO 회원국, 우크라이나의 IP카메라를 체계적으로 침해한다고 밝혔습니다. 네덜란드의 군수 수송로에 놓인 카메라 일부도 실제로 침해됐습니다.

AI는 마법의 해킹 도구라기보다 거대한 건초더미에서 군용차량이라는 바늘을 찾는 검색기입니다. AIVD와 MIVD에 따르면 러시아 측은 영상인식 소프트웨어로 군용차량과 적재 화물을 자동 탐색했습니다. 이를 통해 군수 수송로, 우크라이나행 무기, 우크라이나 군인의 위치를 추적했습니다. 값싼 민간 카메라가 정찰위성보다 표적에 가까운 눈이 된 셈입니다.

우크라이나 보안국 SBU는 WSJ에 2022년 침공 이후 잠재적 보안 위험이 있는 카메라 약 4만 대를 식별해 보안을 강화하거나 방향을 바꾸고 차단했다고 밝혔습니다. 이것은 침해가 확인된 4만 건이 아니라 위험을 완화한 수입니다. SBU가 2024년 1월 공개한 구체적 사건에서는 러시아 정보기관이 키이우의 아파트 카메라 두 대를 원격 장악해 방공망과 중요 기반시설을 관찰했다고 밝혔습니다.

한국도 문이 열려 있었습니다. 경찰청은 2025년 12월 가정과 사업장에 설치된 IP카메라 약 12만 대를 해킹해 영상을 탈취하거나 판매한 혐의로 피의자 4명을 검거했다고 발표했습니다. 이 사건의 동기는 성착취였지 군사정보가 아니었습니다. 그러나 공격자가 통과한 입구는 전쟁의 해커들이 노리는 것과 같았습니다. 아파트와 항만·공장·철도·군부대 주변을 비추는 카메라는 그 화각 자체가 정보가 됩니다.

카메라가 어느 나라에서 만들어졌는지는 위험의 한 요소입니다. 그러나 제조국 하나를 금지한다고 문제가 끝나지는 않습니다. 제3자 앱, 지원이 끝난 펌웨어, 인터넷 직접 노출, 시설팀과 IT팀 사이의 책임 공백도 같은 문을 엽니다. 보안카메라는 사람을 지켜보는 장비이면서, 관리에 실패하는 순간 사람을 지켜보게 해주는 장비가 됩니다.

반론

실제 전과의 상당 부분은 교전국 정보기관과 친정부 해커 조직의 발표에 의존합니다. 해커가 공개한 영상이 진짜라는 사실과 그 영상이 특정 공격의 성공을 낳았다는 사실은 다릅니다. WSJ는 수십 시간의 영상과 수백 장의 이미지를 위치 확인과 조작 흔적 검사로 검증했지만, 개별 영상이 표적 선정이나 타격 결과에 어느 정도 기여했는지는 독립적으로 입증하기 어렵습니다.

12억 대는 보급 추정치이고, 우크라이나의 4만 대는 위험 완화 수이며, 모든 취약 카메라가 군사 표적은 아닙니다. AIVD와 MIVD도 현재까지 러시아가 카메라에서 얻은 정보를 우크라이나 밖의 군사공격에 사용한 사례는 관찰하지 못했다고 밝혔습니다. 따라서 민간 카메라 전체를 이미 무기화됐다고 부르는 것은 과장입니다.

그럼에도 위협을 무시할 수는 없습니다. 공격자는 12억 대를 모두 장악할 필요가 없습니다. 부대 출입구, 항만 적재장, 철도 분기점처럼 정확한 장소를 비추는 몇 대만 찾으면 됩니다. 성공률이 낮아도 비용이 거의 들지 않고, 실패해도 공격자를 잃지 않는다는 비대칭성이 핵심입니다.

판단이 달라질 조건

침해된 카메라의 접속 기록과 실제 군사작전 기록을 대조한 독립 감사가 영상의 기여도를 부정한다면 위협 평가는 낮아져야 합니다. 반대로 카메라 접속 시점과 병력 추적, 표적 선정, 타격 수정 또는 피해평가가 연결된 증거가 공개된다면 민간 카메라는 보조 정보원이 아니라 전장 센서로 봐야 합니다. 앞으로는 설치 대수, 취약 대수, 실제 침해 대수, 작전에 이용된 대수를 반드시 분리해 공개해야 합니다.

한국은 민감 시설 주변 카메라의 위치·관리자·외부 노출·펌웨어 지원 종료일·화각을 하나의 자산 목록으로 관리해야 합니다. 인터넷 직접 접속을 제한하고, 고유 비밀번호와 다중인증을 적용하며, 카메라망을 업무망과 분리해야 합니다. 항만·철도·군수시설 주변에서는 렌즈가 불필요한 물류 동선을 담지 않는지도 감사해야 합니다. 보안카메라가 우리를 지키는지, 우리가 카메라를 통해 감시당하는지를 결정하는 것은 렌즈가 아니라 관리입니다.

English summary

A hacked webcam outside an Israeli chicken coop was not watching chickens; its field of view exposed nearby security-force movements. Dutch intelligence says Russian state actors are systematically compromising IP cameras across Europe and Ukraine and using image-recognition software to search for military vehicles and cargo. The estimated 1.2 billion internet-connected cameras worldwide are not 1.2 billion confirmed breaches, and Ukraine’s figure of roughly 40,000 refers to cameras identified and mitigated as potential risks. The strongest evidence supports a narrower warning: a few poorly secured cameras with the right view can become cheap, deniable wartime sensors. South Korea’s 2025 breach of roughly 120,000 IP cameras shows that the same weak passwords, exposed access and ownership gaps already exist at domestic scale.