내 스피커가 나를 해킹한다 — 만지지도 않고 PC를 장악하는 'Katana' 공격

책상 위에 놓인 USB 스피커를 한번 보세요. 음악을 틀어주는 평범한 기기처럼 보이는데요. 그런데 만약 그 스피커가 어느 날 갑자기 키보드처럼 행동하기 시작한다면 어떨까요. 누가 만지지도 않았는데 말이죠. ‘Katana’라고 불리는 이 공격 시나리오는 우리가 무심코 꽂아둔 주변기기가 사실 얼마나 위험한 출입구인지를 다시 한번 보여줍니다.

먼저 솔직하게 말씀드리면, 이 ‘Katana’ 공격은 아직 커뮤니티에서 폭넓게 회자되는 주제는 아닙니다. 최근 30일간 관련 토론을 찾기 어려웠는데요. 그래서 이번 글은 특정 사건의 속보라기보다는, 이 공격이 속한 BadUSB라는 더 큰 위협의 맥락을 짚어보는 쪽에 무게를 두겠습니다.

BadUSB, 10년 묵었지만 여전히 무서운 이유

이 이야기의 뿌리는 2014년으로 거슬러 올라갑니다. 보안 연구자들이 ‘BadUSB’라는 개념을 처음 공개했는데요. 핵심은 단순합니다. USB 기기 안에는 우리가 보지 못하는 작은 두뇌, 즉 펌웨어가 들어 있습니다. 이 펌웨어를 조작하면 USB 기기는 자신이 무엇인지를 마음대로 속일 수 있습니다.

USB의 가장 큰 강점이 동시에 가장 큰 약점입니다. 바로 기기가 “나는 키보드입니다"라고 말하면 PC가 그냥 믿어버린다는 점인데요. 인증 절차가 없습니다. 그래서 겉모습은 스피커, 충전기, 마우스여도 펌웨어가 “나는 키보드"라고 신고하면 운영체제는 의심 없이 받아들입니다.

키보드로 인식된 순간 게임은 끝난 거나 다름없습니다. 공격자는 사람이 타이핑하듯, 그러나 사람보다 수백 배 빠르게 명령어를 쏟아낼 수 있습니다. 악성코드 다운로드, 백도어 설치, 권한 탈취까지 단 몇 초면 됩니다.

‘Katana’가 던지는 새로운 질문 — 스피커마저?

기존 BadUSB 시연은 주로 USB 메모리나 정체불명의 케이블을 이용했습니다. ‘Katana’ 시나리오가 흥미로운 건 그 대상이 스피커라는 점입니다. 우리가 가장 의심하지 않는 기기죠.

생각해보면 스피커는 완벽한 위장입니다. 누가 책상 위 스피커를 보안 위협이라고 의심하겠습니까. USB 메모리는 그래도 “출처 불명이면 꽂지 마라"는 경고를 한 번쯤 들어봤는데요. 스피커, 웹캠, 충전 거치대 같은 기기에는 그런 경계심 자체가 없습니다.

여기서 “만지지도 않고"라는 표현이 핵심입니다. 이미 PC에 연결되어 정상적으로 쓰이던 스피커의 펌웨어가 어떤 경로로든 한 번 오염되면, 그 다음부터는 물리적 접촉이 필요 없습니다. 평소엔 음악을 틀다가, 정해진 조건이 되면 조용히 키보드로 변신해 명령을 입력하는 식이죠. 사용자는 화면에 아무것도 뜨지 않으니 알아챌 방법이 거의 없습니다.

왜 백신은 이걸 못 막을까

가장 답답한 부분이 여기인데요. 우리가 믿는 백신과 보안 솔루션 대부분은 펌웨어 단계를 들여다보지 못합니다.

보안 프로그램은 보통 파일과 프로세스를 감시합니다. 이상한 실행 파일, 수상한 네트워크 연결 같은 것들이죠. 그런데 BadUSB 공격은 그 아래층, 즉 하드웨어가 운영체제에 자신을 소개하는 단계에서 벌어집니다. 백신이 보기엔 그냥 “키보드 하나가 연결됐고, 키보드가 타이핑을 했다"일 뿐입니다. 지극히 정상적인 행동으로 보이는 거죠.

게다가 펌웨어는 검증이 거의 불가능에 가깝습니다. 내가 쓰는 스피커의 펌웨어가 출고 당시 그대로인지, 중간에 누군가 손을 댔는지 일반 사용자가 확인할 방법이 사실상 없습니다. 이게 바로 주변기기 펌웨어가 보안의 사각지대로 불리는 이유입니다.

그래서 우리는 무엇을 할 수 있나

너무 겁만 줬으니 현실적인 대응책도 정리해보겠습니다. 완벽한 방어는 어렵지만, 위험을 줄이는 습관은 분명 있습니다.

첫째, 출처가 불분명한 USB 기기는 꽂지 않는 게 기본입니다. 길에서 주운 USB 메모리는 물론이고, 정체 모를 판촉용 충전 케이블도 마찬가지입니다.

둘째, 신뢰할 수 있는 제조사의 제품을 쓰는 것이 생각보다 중요합니다. 펌웨어 서명과 업데이트 관리가 제대로 되는 브랜드인지가 차이를 만듭니다.

셋째, 기업이나 보안이 중요한 환경이라면 새로 연결되는 USB 기기가 ‘키보드 권한’을 요구할 때 사용자에게 확인을 받는 방식의 통제 정책을 도입할 수 있습니다. 윈도우, 맥 모두 USB 기기 정책을 세밀하게 설정하는 기능을 제공합니다.

주변기기 하나하나가 작은 컴퓨터라는 사실, 우리는 평소에 잊고 삽니다. ‘Katana’ 같은 공격은 결국 “당신이 신뢰하는 그 기기, 정말 믿을 수 있습니까"라는 질문을 던지는 셈인데요. 지금 당신의 책상 위, 케이블로 연결된 기기들은 모두 출처가 분명한가요. 한 번쯤 돌아볼 만한 질문입니다.