미국이 위험장비 목록으로 지정한 업체 포함
미 국방부는 ‘중국 군 소유 기업’으로 지정
3줄 요약
LG유플러스가 홈페이지에서 중국 업체가 만든 CCTV를 판매하고 있다./LG유플러스 홈페이지 캡처경찰이 지난해 KT 컨소시엄에서 도입한 보디캠(Body Cam)이 중국산이라는 의혹이 제기돼 경찰이 수사에 나선 가운데 국내 통신·보안 대기업들이 기업 또는 일반 소비자를 대상으로 중국산 영상 장비를 판매하고 있어 보안 우려가 커지고 있다. 미국 정부에서 국가 안보 관련 규제 대상으로 지정된 중국 영상 감시 장비 업체가 만든 제품을 판매하고 있는 것이다. 이 중국 업체들은 미국 정부에서 중국 인민해방군이 소유하는 군사 기업으로도 지정된 것으로 알려졌다.
통신·보안 기업들은 CC(폐쇄회로)TV의 껍데기만 중국에 맡겼을 뿐 소프트웨어는 국내에서 설계했기 때문에 보안 위협이 없다고 주장하지만, 보안 전문가들은 보안 취약점이 없는 제품은 존재하지 않는다고 반박한다. 보안 업계 관계자는 “최근 중국산 로봇 청소기나 실내 카메라 등에서 해킹과 영상 무단 유출 문제가 발생했다”면서 “2024년 전방 부대에서 중국산 CCTV 1300여 대가 발견돼 전부 철거할 정도로 중국산 제품에 대한 보안 우려는 큰 상황”이라고 말했다.
국내 대기업, 중국산 CCTV 판매
23일 본지 취재 결과 LG유플러스, SK쉴더스, KT텔레캅은 현재 중국 영상 보안 업체인 다후아와 하이크비전 제품 등을 판매하고 있다. 이 업체들은 중국을 대표하는 영상 감시 장비 업체들이다. 국내 통신·보안 대기업들이 중국산 제품을 판매하는 것은 제조 원가가 국산보다 훨씬 저렴하기 때문이다. CCTV 업계 관계자는 “중국에서 제조하면 단가가 5만원인데 국내에서 생산하면 13만~18만원에 달한다”면서 “이용자 사이에서도 판매 가격이 비싼 국산보다 중국산 제품을 찾는 경향이 있다”고 말했다.
그런데 현재 미국 연방통신위원회(FCC)는 다후아와 하이크비전이 생산·제공하는 영상 감시·통신 장비 상당수를 ‘국가 안보 위험 장비 목록(Covered List)’에 포함하고 있다. 이 장비들이 해킹 및 데이터 유출 등 미국의 국가 안보 또는 미국인의 안전·보안에 ‘용납할 수 없는 위험’을 초래한다는 것이다.
FCC는 2021년 이후 다후아와 하이크비전을 해당 리스트에 올렸고, 이후 이 장비들에 대해 신규 장비 인증을 허용하지 않는 등 공급망 규제를 적용하고 있다. FCC에서 인증을 받지 못하면 미국 내 수입, 유통, 판매가 원천 차단된다. 또한 FCC는 우회 판매 루트를 차단하기 위해 제조사가 다른 회사의 브랜드만 붙여서 동일 제품을 판매하는 일명 ‘화이트 라벨’ 제품도 규제 대상에 포함된다고 명시하고 있다.
전문가 “보안 취약점 반드시 있어”
다후아와 하이크비전은 앞서 2020~2022년 미국 국방부로부터 ‘중국 군이 소유하거나 통제하는 군사 기업’으로도 지정됐다. 보안 업계에선 미국에서 규제 대상으로 지정하고 있는 영상 장비를 사용하는 것은 정보 유출뿐 아니라 한·미 안보 공조에도 문제가 될 수 있다고 우려한다. 보안 업계 관계자는 “정부 차원에서 중국 제품을 특정해 수입 금지 조치를 내리기는 현실적으로 어려울 것”이라면서 “현재 중국산 CCTV를 온라인상에서 일반 소비자들도 쉽게 구매할 수 있는데, 보안 문제를 감안해야 한다”고 말했다.
이들 중국 업체의 CCTV는 이미 치안 분야에도 상당 부분 침투한 상황이다. 강명구 국민의힘 의원이 지난달 경찰청에서 받은 자료에 따르면 경찰청이 보유한 CCTV 중 TTA(한국정보통신기술협회) 보안 인증을 받지 않은 제품은 1359대였고 그중 중국산 제품은 385대였다. 중국산 중 절반 이상이 하이크비전 제품이었다. 강 의원실은 “하이크비전은 국가 안보 위협과 영상 유출 우려로 미국과 캐나다 등에서 정부기관의 제품 사용이 제한된 업체”라고 밝혔다.
이에 대해 SK쉴더스와 KT텔레캅 관계자는 “제조 위탁 방식으로 생산한 제품을 공급받고 있으며 핵심 부품이나 소프트웨어는 중국산을 사용하고 있지 않다”며 “사전 모의 해킹이나 취약점 진단 등 보안성 심사도 철저히 진행하고 있다”고 말했다. LG유플러스 관계자는 “단가 절감을 위해 하드웨어 제조(OEM)만 중국에 맡길 뿐 CCTV 운영에 필요한 모든 소프트웨어는 국내에서 개발했기 때문에 영상 유출과 같은 보안 이슈는 전혀 없다”고 말했다.
그러나 김용대 카이스트 전기전자공학부 교수는 “보안 취약점이 전혀 없다는 것은 말이 되지 않는 설명”이라고 말했다. 김 교수는 “비밀번호 없이 시스템을 우회하는 인증 우회 취약점, 원격에서 기기를 재부팅시켜 무력화하는 보안 취약점 등 다후아 홈페이지에 공개된 취약점만 한두 개가 아니다”라면서 “중국 때문에 이슈가 되는 것은 알겠지만 IoT(사물인터넷) 장비에 보안 이슈가 전혀 없다는 말은 무책임하게 들린다”고 말했다.