전 세계 웹캠이 한 지도 위에: '보안 경각심'과 '집단 관음증' 사이

여러분 집 거실, 가게 계산대, 주차장 입구. 이런 곳에 달린 카메라 영상이 지금 이 순간 전 세계 누구나 볼 수 있게 인터넷에 떠 있다면 어떨까요. 끔찍하지만 새로운 이야기가 아닙니다. 그런데 이렇게 노출된 카메라 수만 대를 세계 지도 위에 점으로 찍어 한눈에 보여주는 서비스가 다시 화제입니다. 이름은 ‘IP Crawl’, 스스로를 “살아있는 공개 웹캠 지도(living atlas)“라고 부릅니다.

먼저 솔직하게 말씀드리겠습니다. 이번 주제는 최근 30일 사이 커뮤니티에서 활발히 논의된 따끈한 신상 이슈는 아닙니다. 오히려 수년째 보안 업계가 반복해서 다뤄온 고질적 문제에 가깝습니다. 그래서 오늘은 특정 사건의 속보보다는, 이 현상 자체가 왜 사라지지 않는지를 짚어보려 합니다.

노출된 웹캠은 어떻게 ‘지도’가 되는가

원리는 의외로 단순합니다. 인터넷에 연결된 모든 기기에는 IP 주소가 있습니다. 웹캠도 마찬가지입니다. 문제는 상당수 카메라가 비밀번호 없이, 혹은 admin/1234 같은 공장 출고 기본 비밀번호 그대로 인터넷에 노출돼 있다는 점입니다.

IP Crawl 같은 서비스는 인터넷 전체를 자동으로 훑으며(crawl) 이렇게 열려 있는 카메라를 찾아냅니다. 그리고 IP 주소에 담긴 대략적인 위치 정보를 더해 지도 위에 점으로 표시합니다. 점 하나를 누르면 실제 영상이 흐릅니다. 누군가의 가게, 누군가의 현관, 누군가의 사무실이 말이죠.

이런 방식 자체는 사실 새롭지 않습니다. ‘Shodan’이라는 검색엔진은 이미 오래전부터 인터넷에 연결된 기기를 찾아주는 서비스로 유명했습니다. 과거 ‘Insecam’이라는 사이트는 노출된 CCTV 영상을 국가별로 정리해 보여줘 큰 논란이 됐습니다. IP Crawl은 그 계보를 잇는 셈입니다. 다만 지도 시각화를 통해 훨씬 직관적이고, 그래서 더 섬뜩하게 만들었습니다.

‘보안 경각심’이라는 명분

이런 서비스를 만드는 쪽은 대체로 한 가지 명분을 내세웁니다. “당신의 기기가 이렇게 위험하게 노출돼 있다는 걸 보여줘야 사람들이 비로소 조치를 취한다"는 것입니다.

일리가 없진 않습니다. 보안 업계에는 오래된 격언이 있습니다. 위협이 눈에 보이지 않으면 아무도 움직이지 않는다는 것입니다. 추상적으로 “비밀번호를 바꾸세요"라고 백 번 말하는 것보다, “지금 당신 동네 카페 영상이 모르는 사람에게 생중계되고 있습니다"라는 한 장면이 훨씬 강력합니다.

실제로 이런 폭로성 프로젝트 덕분에 제조사들이 기본 비밀번호 정책을 바꾸고, 각국 규제 당국이 IoT 기기 보안 기준을 강화한 사례도 있습니다. 영국은 2024년부터 기본 비밀번호가 설정된 IoT 기기 판매를 사실상 금지했습니다. 이런 변화의 배경에는 ‘노출된 기기를 눈앞에 들이미는’ 충격 요법이 분명히 작용했습니다.

그런데, 피해자는 동의한 적이 없습니다

문제는 여기서 시작됩니다. 보안 경각심이라는 명분은 그럴듯하지만, 정작 지도에 박제된 카메라의 주인은 자신이 전시되고 있다는 사실조차 모릅니다.

생각해볼까요. 집 거실에 설치한 반려동물 관찰용 카메라가 노출됐다고 합시다. 카메라 주인은 보안 전문가가 아닙니다. 그냥 설명서대로 설치한 평범한 사람입니다. 그런데 그의 사적인 공간이 ‘교육적 경고 사례’라는 이유로 전 세계에 공개됩니다. 이걸 두고 “당신을 위한 일"이라고 말할 수 있을까요.

여기서 명분과 현실 사이의 위선이 드러납니다. 진짜 목적이 보안 개선이라면, 영상을 그대로 중계할 이유가 없습니다. “이 IP에서 취약점이 발견됐습니다"라는 정보만으로 충분합니다. 굳이 실시간 영상을 누구나 클릭하게 만드는 순간, 그건 경고가 아니라 구경거리가 됩니다. 보안의 외피를 쓴 집단 관음증이라는 비판이 나오는 이유입니다.

법과 윤리의 회색지대

법적으로도 애매합니다. “비밀번호가 없으니 공개된 정보 아니냐"는 논리는 위험합니다. 문이 잠기지 않은 집에 들어가도 무단침입인 것처럼, 보호받지 못한 카메라를 들여다보는 것도 많은 나라에서 명백한 사생활 침해이자 불법 접근입니다.

이런 지도 서비스 운영자들은 대개 책임을 교묘히 회피합니다. “우리는 직접 침입하지 않았고, 그저 이미 공개된 것을 모아 보여줄 뿐"이라는 식입니다. 검색엔진과 다를 게 없다는 논리입니다. 하지만 노출 사실을 알면서도 실시간 영상을 큐레이션해 전시한다면, 단순 색인과는 무게가 다릅니다.

더 근본적인 책임은 제조사와 사용자에게도 있습니다. 기본 비밀번호를 강제로 바꾸게 하지 않은 제조사, 설치 후 비밀번호 설정을 건너뛴 사용자, 보안에 무관심한 우리 모두가 이 사각지대를 함께 키워온 셈입니다.

우리가 당장 할 수 있는 것

거창한 결론보다 실용적인 이야기를 드리겠습니다. 집이나 가게에 IP 카메라, CCTV, 공유기를 쓰고 계신다면 오늘 세 가지만 확인하세요.

첫째, 기본 비밀번호를 반드시 바꾸세요. admin/admin, admin/1234는 사실상 비밀번호가 없는 것과 같습니다. 둘째, 굳이 외부에서 접속할 필요가 없다면 인터넷 원격 접속 기능을 꺼두세요. 셋째, 제조사가 제공하는 펌웨어 업데이트를 챙기세요. 오래된 펌웨어에는 알려진 취약점이 그대로 남아 있는 경우가 많습니다.

IP Crawl 같은 서비스는 우리를 불편하게 만듭니다. 그런데 그 불편함이 정확히 핵심입니다. 누군가의 사생활을 전시해야만 비로소 경각심이 생기는 사회라면, 우리는 보안을 너무 오래 미뤄둔 것일지도 모릅니다. 여러분이라면 이런 지도를 ‘필요한 경고’로 보시겠습니까, 아니면 ‘선을 넘은 관음증’으로 보시겠습니까. 그 답을 고민하기 전에, 먼저 우리 집 카메라 비밀번호부터 점검해보시는 건 어떨까요.