중국 통신장비업체가 만든 공유기 20여 종에서, 켜는 순간부터 자동으로 중국 서버와 통신하며 인증 절차 없이 관리자 권한 명령을 실행할 수 있는 백도어가 발견됐다. 전 세계 최소 10만 대가 이 취약점에 노출된 것으로 추산된다. 미국 사이버보안 기업 벌른체크(VulnCheck)가 지난 8월 5일 공개한 이 조사 결과는 로이터·니혼게이자이신문 등 주요 외신이 일제히 보도하며 파장이 커지고 있다. 국내에서도 과학기술정보통신부와 한국인터넷진흥원(KISA)이 관련 가이드라인을 배포했다.
중국 서버와 주기적으로 교신한 장비
문제의 장비는 중국 선전에 본사를 둔 선전즈보퉁전자(Zbtlink)가 제조한 공유기다. Zbtlink 브랜드 외에 와이플라이어(Wiflyer), ZBT, ZBTWiFi 등의 이름으로도 판매되며, OEM·ODM 방식으로 다른 브랜드에 납품되는 경우도 있어 실제로는 로고만 봐서는 해당 여부를 알기 어렵다. 벌른체크가 확인한 대상 모델은 CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526, Z8102AX-2DSIM 등 20종이다. Zbtlink 홈페이지에 당시 올라와 있던 펌웨어 21종 전체에서 동일한 구조가 발견됐다.
벌른체크는 이 백도어에 '엔드리스도어스(Endlessdoors)'라는 이름을 붙이고 국제 취약점 식별번호 CVE-2026-66747을 부여했다. 심각도는 10점 만점에 9.3점으로, 치명적(Critical) 등급이다. 이 백도어는 공유기가 켜지는 순간 자동으로 작동하며, 정상적인 리눅스 커널 스레드처럼 위장해 다른 정상 프로세스 사이에 숨어 있다가 약 35초 간격으로 특정 IP 주소 및 중국에 등록된 도메인 4곳(zbtctl.epplink.net 등)과 통신한다. 이 통신에는 상대방이 정당한 서버인지 확인하는 인증 절차가 전혀 없다. 서버 쪽에서 명령을 내려보내면 공유기는 그 명령을 최고 관리자(root) 권한으로 즉시 실행한다.
방화벽도 무용지물
벌른체크의 제이콥 베인즈 최고기술책임자(CTO)는 이 백도어의 핵심 위험을 "공유기가 스스로 바깥으로 연결을 건다"는 데서 찾는다. 일반적인 해킹은 공격자가 외부에서 안으로 들어오는 통로(포트)를 찾아야 하고, 이 통로는 방화벽으로 막을 수 있다. 그런데 이 백도어는 반대로 공유기가 내부에서 바깥으로 먼저 연결을 시도하는 방식이라, 3중 방화벽 뒤에 있는 공유기든 공인 IP를 가진 공유기든 공격자가 도달할 수 있는 조건이 똑같다는 것이다. 벌른체크 연구팀은 실제로 자체 테스트용 공유기(AX3000 모델)의 이 통신을 가로채 대화형 셸(원격 명령 실행 창구)을 얻어내는 데 성공했다고 밝혔다. 베인즈는 "이 백도어가 이미 찾고 있는 대상인 척하고 그걸 가로채는 것, 그게 공격의 전부"라고 설명했다. 공유기 하나가 뚫리면 같은 네트워크에 연결된 다른 모든 기기(PC, IP카메라, 스마트홈 기기 등)로 침투 경로가 열린다는 점도 위험을 키운다.
중국 제조사의 빈약한 해명
Zbtlink 측은 로이터에 낸 입장문에서 문제가 된 기능이 고객 문제 해결과 설정 지원을 위한 사후 기술지원(AS) 도구였으며, 고객의 명시적인 요청과 승인이 있을 때만 작동하도록 설계됐다고 해명했다. 불법 접근에 악용된 사례는 없다는 입장도 밝혔다. 다만 지적이 나온 뒤 해당 펌웨어의 다운로드를 홈페이지에서 즉시 내렸고, 문제를 해결한 새 펌웨어를 개발 중이라고 공지했다.
그러나 벌른체크는 이 해명을 받아들이지 않는다. 통신 과정에 인증 절차가 전혀 없어 고객의 동의 여부를 확인할 방법 자체가 없고, 관리자 비밀번호를 바꾸거나 공장 초기화를 해도 이 백도어 자체는 사라지지 않는다는 것이다. 백도어가 펌웨어 안에 내장돼 스스로 바깥으로 연결을 시도하는 구조이기 때문에, 이는 우연한 소프트웨어 버그가 아니라 신뢰성 자체의 문제라는 게 벌른체크의 결론이다. 그래서 권고 사항도 "패치를 기다리라"가 아니라 "해당 기기를 네트워크에서 분리하고, 가능하면 교체하라"는 쪽으로 나왔다.
미국의 중국산 통신장비 강경 대응
이번 발견은 미국이 중국산 통신장비 규제를 강화하던 시점에 나왔다. 미국 연방통신위원회(FCC)는 지난 3월 해외에서 생산된 소비자용 공유기의 신규 모델 수입과 판매를 사실상 전면 금지했다. FCC는 근거로 볼트 타이푼(Volt Typhoon), 솔트 타이푼(Salt Typhoon), 플랙스 타이푼(Flax Typhoon) 등 중국 정부와 연계된 것으로 알려진 해킹 조직이 해외산 공유기를 공격 경로로 활용한 사례를 제시했다. 다만 이 금지는 이미 인증받은 기존 모델에는 적용되지 않고, 이미 구매한 제품을 계속 쓰는 것도 문제는 없다. 지난 2월에는 미국 텍사스주 검찰총장이 중국계 네트워크 장비업체 티피링크(TP-Link)를 상대로, 제품의 중국 연계성과 보안 수준을 소비자에게 제대로 알리지 않았다는 이유로 소송을 제기하기도 했다. 이런 흐름 속에 나온 이번 백도어 발견은, 그동안 "심증은 있지만 물증이 부족하다"던 중국산 통신장비 우려에 가장 근접한 실증 사례로 받아들여지고 있다.
한국엔 해외직구로 유입
Zbtlink·와이플라이어 제품이 국내 대형 유통망에서 정식 판매되는 경우는 많지 않지만, 알리익스프레스·테무 같은 해외직구 플랫폼을 통해 저렴한 가격에 국내로 유입되는 사례는 적지 않다. 문제는 이런 해외직구 제품 상당수가 국내 전파 인증(KC 인증) 없이 유통돼, 애초에 국가 차원의 안전성 검증 자체를 거치지 않는다는 점이다. 과학기술정보통신부와 KISA는 이번 사태와 관련해 공유기 관리자 계정 비밀번호 변경, 원격 관리 기능 비활성화, 최신 보안 패치 적용을 담은 가이드라인을 배포하고 준수를 당부했다. 다만 이번 백도어처럼 패치로도 해결되지 않는 구조적 문제라면, "설정을 바꾸라"는 권고만으로는 근본적인 해법이 되기 어렵다는 지적도 나온다.
한 두번이 아닌 중국산 기기의 백도어
중국산 네트워크 장비의 백도어 논란은 이번이 처음이 아니다. 2014년 중국 네티스시스템즈(Netis Systems)의 공유기에서 발견된 백도어는, 공식 패치가 나온 뒤에도 코드 자체가 완전히 제거되지 않아 2년 뒤에도 수천만 건의 악용 시도가 관측됐다. 2020년에는 월마트에서 독점 판매되던 젯스트림(Jetstream) 공유기와, 아마존·이베이에서 팔리던 웨이브링크(Wavlink) 공유기에서도 각각 백도어와 주변 와이파이 정보 수집 스크립트가 발견됐고, 이 중 일부는 실제로 미라이(Mirai) 봇넷에 감염기기를 추가하려는 시도까지 확인됐다. 즉 "저가 중국산 네트워크 장비에서 백도어가 발견됐다"는 뉴스는 몇 년에 한 번씩 반복돼 온 패턴이고, 이번 Zbtlink 사태는 그 최신 사례일 뿐이다.
내 공유기가 해당되는지 확인하려면
공유기 하단이나 관리자 페이지에서 정확한 모델명을 확인하는 게 우선이다. 로고나 브랜드명만으로는 판단할 수 없다는 점에 유의해야 한다(OEM 특성상 같은 하드웨어가 다른 브랜드로 팔리는 경우가 있다). 위에 나열한 20개 모델명과 대조해보고, 해당된다면 다음 순서로 대응하는 게 권고된다.
OEM·ODM 특성상 겉면 로고만으로는 실제 제조사를 알기 어려운데, 이럴 때 확인할 수 있는 방법이 몇 가지 있다. 국내에서 정식으로 수입·판매된 제품이라면 국립전파연구원 적합성평가 정보시스템(rra.go.kr → 적합성평가 현황 검색)에서 모델명이나 인증번호로 조회할 수 있는데, 여기 등록된 실제 제조사·수입자 정보가 박스에 적힌 판매 브랜드와 다르면 OEM·ODM 관계라는 뜻이다. 반대로 이 조회 자체가 안 된다면, 애초에 국내 인증을 거치지 않고 해외직구로 들어온 제품일 가능성이 크다는 신호로 봐도 된다. 미국에도 유통된 이력이 있는 제품이라면 기기 라벨에 적힌 FCC ID를 fccid.io 같은 사이트에서 검색해, 실제 제조사(Grantee)와 내부 회로 사진까지 확인하는 방법도 있다. 좀 더 기술적으로 접근하고 싶다면 관리자 페이지나 라벨에서 확인한 MAC 주소 앞 6자리(OUI)를 IEEE 공개 데이터베이스에 조회해볼 수도 있는데, 이는 완제품을 만든 회사가 아니라 무선 칩셋을 만든 회사를 알려주는 경우가 많다는 점은 참고할 부분이다.
- 해당 공유기를 즉시 네트워크에서 분리하거나, 최소한 원격 관리 기능을 비활성화한다.
- 가능하다면 신뢰할 수 있는 제조사(국내외 주요 브랜드)의 제품으로 교체한다.
- 교체가 어렵다면, 공유기 관리자 페이지에서 최근 접속 로그·비정상적인 외부 통신 기록이 있는지 점검한다.
- 같은 네트워크에 연결돼 있던 PC·스마트기기에서도 침해 흔적(낯선 프로그램, 비정상적인 데이터 사용량 등)이 없는지 확인한다.
- 향후 공유기·IP카메라 등 네트워크 장비를 구매할 때는 KC 인증 여부와 제조사의 보안 업데이트 이력을 확인하는 습관을 들인다.
해킹이 아닌 펌웨어에 이런 행위를 하는 중국산 통신기기
이런 사건이 몇 년에 한 번씩 반복되는 이유는, 저가 네트워크 장비 시장의 구조 자체에 있다고 보는 게 맞을 것 같다. 브랜드 인지도가 낮고 가격 경쟁이 치열한 시장일수록 보안 검증에 들어가는 비용을 아끼려는 유인이 커지고, 소비자 입장에서도 "공유기는 다 거기서 거기"라는 생각으로 가격만 보고 고르기 쉽다. 그런데 공유기는 집 안의 모든 인터넷 트래픽이 지나가는 관문이라, 다른 전자제품과 달리 보안 결함의 파급력이 훨씬 크다. 이번 사태에서 특히 눈여겨볼 지점은, 이게 사용 중 해킹당한 게 아니라 공식 펌웨어 자체에 처음부터 들어 있었다는 사실이다. 즉 사용자가 아무리 조심해도 막을 수 없는 종류의 위험이었다는 뜻이고, 그래서 사후 대응(비밀번호 변경 등)보다 구매 단계에서의 판단이 더 중요해진다. 당장 급한 대응은 위 체크리스트를 따르는 것이지만, 장기적으로는 "왜 이렇게 저렴한가"를 한 번쯤 의심해보는 습관이 결국 가장 확실한 방어책일 수 있다.
(※ 본 포스팅은 특정 브랜드나 국가를 비방할 목적이 아니며, 공개된 보안 조사 결과를 바탕으로 한 정보 전달 목적의 글입니다.)
백도어(Backdoor) — 정상적인 인증 절차를 거치지 않고도 시스템에 접근할 수 있도록 몰래 만들어둔 통로. 소프트웨어 결함(버그)과 달리, 의도적으로 심어졌을 가능성이 있다는 점에서 더 심각하게 다뤄진다.
C2 서버(Command and Control Server) — 감염되거나 백도어가 심어진 기기에 원격으로 명령을 내리는 공격자 측 서버.
CVE(공통 취약점 식별번호) — 전 세계적으로 통용되는 보안 취약점 고유 번호 체계로, 취약점의 종류와 위험도를 표준화해 관리하기 위해 쓰인다.
KC 인증 — 국내에서 판매되는 전자·통신기기가 전파 혼신을 일으키지 않고 안전 기준을 충족하는지 확인하는 국가 인증 제도. 해외직구 제품은 이 인증을 거치지 않는 경우가 많다.
FCC ID — 미국에서 판매되는 전자기기에 부여하는 인증 식별번호. 조회 시 실제 제조사(Grantee)와 내부 구조 사진 등이 공개되는 경우가 많아, 판매 브랜드와 실제 제조사가 다른지 확인하는 데 활용된다.
📰 참고 기사:
Chinese-Made Zbtlink Routers Ship With Backdoor That Opens Unauthenticated Root Shells
Chinese router vendor denies its firmware contains backdoors – but pauses downloads anyway
VulnCheck Warns That Chinese Zbtlink Routers Include a Backdoor
중국 공유기 '백도어' 비상… 국내 직구족 보안 경보
"35초마다 중국으로 신호"…Zbtlink 등 중국산 공유기 10만대서 '백도어' 발견
미국 FCC, 해외 생산 소비자용 라우터 신규 모델 수입 전면 금지
