매장 CCTV 스마트폰 앱 해킹 · 대표인 저도 새벽 세 시에 겁먹었던 이야기와 뚫리지 않는 계정 다섯 가지 원칙

작년 이맘때쯤이었을 겁니다.
새벽 세 시가 조금 넘은 시각에 저희 회사 대표 계정으로 문자가 하나 왔어요.
"[CCTV 앱] 알 수 없는 기기에서 새로운 로그인이 감지되었습니다. 위치: 필리핀 마닐라."
저는 그때 서울 서초구 침실에 자고 있었거든요.
그 문자 보자마자 심장이 쿵 했습니다.

결론부터 말씀드리면, 그건 실제 침입은 아니었어요.
저희가 관리하는 데모 계정 하나가 뚫린 거였고, 진짜 사장님들 계정은 무사했습니다.
근데 그날 저는 새벽에 사무실 나가서 아침까지 계정 전수 점검을 했습니다.
그리고 다음 주부터 저희 계약 사장님들 전원한테 계정 보안 다섯 가지를 전화로 안내드리는 걸 표준 절차로 만들었어요.
오늘은 그 다섯 가지를 사장님들도 직접 확인하실 수 있게 있는 그대로 풀어드립니다.
어떤 업체 CCTV를 쓰시든 이건 사장님이 직접 챙기셔야 하는 부분입니다.

이런 상황, 사장님도 겪어보시지 않으셨나요

"CCTV 앱 처음 설치할 때 비밀번호 뭐로 했더라, 그냥 냅뒀는데 괜찮나?"
"직원한테 앱 깔아서 매장 화면 보여줬는데, 그 직원 그만두면 어떻게 되지?"
"어제 카페 와이파이에서 CCTV 앱 잠깐 접속했는데 뭔가 찝찝하네."
"뉴스에서 가정용 카메라 해킹 얘기 봤는데, 우리 매장 것도 그럴까?"

이 네 가지 질문, 최근 6개월 동안 저희한테 실제로 들어온 상담 상위 네 개입니다.
그리고 이 네 가지 다 원인이 딱 하나로 수렴돼요.
카메라 자체가 뚫리는 게 아니라, 카메라를 보는 사장님 계정이 뚫리는 겁니다.
그러니까 방어도 카메라가 아니라 계정에서 하시면 됩니다.
아래 다섯 가지가 그 방어의 전부예요.

1. 초기 비밀번호 · admin / 1234 / 0000 · 이거 지금 즉시 바꾸세요

이게 첫 번째이자 가장 큰 구멍입니다.
CCTV NVR과 관제 앱 상당수가 공장 출고 시 비밀번호가 뻔한 조합으로 세팅돼 있어요.
admin / admin, admin / 1234, admin / 0000, root / 12345678.
설치기사가 오셔서 "일단 이걸로 열어두고 나중에 바꾸세요~" 하고 넘어가면, 사장님 열에 아홉은 그 나중이 오지 않으십니다.
전 세계 해커들이 인터넷 전체를 훑으면서 이 뻔한 조합으로 로그인만 시도하는 자동 스캐너를 돌리고 있어요.

실제로 저희가 관리하지 않는 매장에서 뉴스에 크게 났던 사건 하나 예로 들어드릴게요.
한 카페 사장님이 6개월 동안 초기 비밀번호 그대로 쓰셨고, 그 사이 해외에서 접속한 누군가가 매장 카메라 실시간 영상을 캡처해 커뮤니티에 올렸습니다.
매장 내부, 화장실 앞 통로, 심지어 매장 근처 사장님 얼굴까지 노출됐어요.
사장님이 뒤늦게 알았을 땐 이미 수백 명이 그 영상을 봤던 뒤였습니다.
= 초기 비밀번호 = 열려있는 문.

가. 안 뚫리는 비밀번호 규칙 세 가지

어렵게 만드시라는 얘기가 아닙니다.
아래 세 가지만 지키시면 됩니다.
첫째, 최소 12자리 이상.
둘째, 영어 대소문자 · 숫자 · 특수문자 세 종류 이상 섞기.
셋째, 매장 상호명 · 사장님 이름 · 전화번호 뒷자리 · 생년월일 조합은 절대 금지.
이 세 가지만 지키시면 자동 스캐너로 뚫리는 확률은 사실상 0에 가까워집니다.
비밀번호가 기억이 안 나실까 걱정되시면, 스마트폰 기본 앱인 "비밀번호(iOS)" 또는 "Google 비밀번호 관리자(Android)"에 저장해 두시면 됩니다.
종이에 적어서 계산대 서랍에 넣는 것보다 훨씬 안전해요.

2. 이단계 인증 · 문자 인증이든 앱 인증이든 무조건 켜세요

이게 두 번째이자 가장 강력한 방벽입니다.
비밀번호가 뚫렸다고 가정하더라도 이단계 인증(2FA)이 켜져 있으면 해커는 로그인을 못 합니다.
사장님 스마트폰으로 오는 문자 인증번호나 인증 앱 코드 없이는 접속 자체가 불가능하기 때문이에요.
저희 관리 계정 전원에게 이단계 인증 설정을 부탁드리는 이유가 그것입니다.

설정하는 방법은 앱마다 다르지만 통상 이 경로에 있어요.
CCTV 관제 앱 → 우측 상단 톱니바퀴(설정) → 계정 → 보안 → 이단계 인증 활성화.
문자 인증(SMS)과 앱 인증(OTP) 중 선택하실 수 있는데, 앱 인증이 더 안전합니다.
"Google Authenticator" 또는 "Microsoft Authenticator" 무료 앱을 스마트폰에 깔면 6자리 코드가 30초마다 새로 생성돼요.
설정에 걸리는 시간은 5분입니다.
= 이단계 인증 안 켜면 계정은 반쯤 열린 문.

나. 인증 앱과 문자 인증 · 뭐가 더 좋은가

가능하면 인증 앱을 쓰세요.
왜냐면 문자 인증은 요즘 "심스와핑(SIM swapping)" 이라는 수법으로 우회가 가능하거든요.
해커가 통신사 대리점에서 사장님 이름과 주민번호 앞자리로 유심(USIM) 재발급을 요청해서, 사장님 번호로 오는 문자를 자기 폰에서 받는 겁니다.
드물지만 국내에서도 몇 건 있었어요.
반면 인증 앱은 그 스마트폰 물리적 기기에서만 코드가 생성되니까, 사장님 스마트폰을 도난당하지 않는 한 뚫릴 여지가 거의 없습니다.
문자 인증만이라도 켜는 게 안 켜는 것보단 100배 낫지만, 여유가 되시면 인증 앱까지 전환하세요.

3. 직원 앱 접속 · 사장님 계정 공유하지 마시고 별도 계정 만드세요

이게 세 번째이자, 사장님들이 가장 자주 지나치시는 부분입니다.
매장 관리를 위해 직원 스마트폰에도 CCTV 앱을 깔아드리는 경우가 많은데요.
그때 사장님 아이디랑 비밀번호를 그대로 알려주시는 경우가 대부분입니다.
"어차피 우리 매장 카메라니까 뭐가 문제야?"
문제 됩니다.

왜 문제가 되는지 시나리오 하나 그려드릴게요.
그 직원이 6개월 뒤에 그만두시고 다른 매장으로 옮기신다고 해봅시다.
사장님이 그때 비밀번호를 바꿔주시면 다행인데, 아홉 분 중 여덟 분이 안 바꾸십니다.
그 직원 스마트폰엔 사장님 매장 CCTV 실시간 화면이 계속 접속 가능한 상태로 남아있어요.
6개월, 1년, 2년, 그 사이 스마트폰 분실이든 앱 실수 공유든 무슨 일이 생길지 아무도 모릅니다.
= 사장님 계정 = 사장님만.

대안은 간단합니다.
관제 앱 대부분이 "서브 계정" 또는 "직원 계정" 기능을 지원해요.
사장님 관리자 계정과 별도로 직원용 계정을 만들고, 조회 권한만 부여하는 방식입니다.
직원이 그만두시면 그 서브 계정만 비활성화하시면 사장님 계정은 안 건드리셔도 됩니다.
설정 → 사용자 관리 → 신규 사용자 추가 → 권한: 조회만.
이 경로가 대부분 앱에 다 있어요.
없는 앱이면 그 관제 시스템 자체를 바꾸시는 걸 고민해 보셔야 할 정도입니다.

4. 공용 와이파이 접속 · 카페 / 지하철 / 공항에서 CCTV 앱 열지 마세요

이건 원격 조회를 자주 하시는 사장님들한테 특히 중요합니다.
외출 중에 매장 상황이 궁금하실 때 카페 무료 와이파이나 지하철 공용 와이파이에 물려서 CCTV 앱을 여시는 경우가 있으실 텐데요.
그 순간이 가장 위험한 순간입니다.
공용 와이파이망에는 "패킷 스니핑(packet sniffing)" 이라는 수법을 쓰는 사람이 종종 있어서, 같은 와이파이에 접속한 사람들이 주고받는 데이터를 몰래 가로챌 수 있어요.

대안은 두 가지입니다.
첫째, 매장 상황 원격 조회는 사장님 개인 스마트폰의 데이터(LTE·5G)로만 하세요.
데이터가 아까우시면 매장 카메라 저해상도 미리보기 모드로 전환하시면 데이터 소모가 거의 없습니다.
둘째, 굳이 공용 와이파이를 써야 하시면 VPN을 사용하세요.
"NordVPN" · "Cloudflare WARP" 같은 무료 또는 저렴한 VPN 앱을 스마트폰에 깔고 켜두시면 됩니다.
= 공용 와이파이 + CCTV 앱 = 절대 금지.

5. 사용하지 않는 카메라 · 계정 · 앱은 즉시 정리하세요

다섯 번째는 조용한 함정입니다.
매장 리모델링하시면서 카메라 두 대는 제거하시고 세 대는 남기신 경우 상당수가 있으신데요.
그 제거된 두 대가 관제 시스템 목록에는 "비활성" 상태로 남아있는 게 대부분입니다.
비활성 상태여도 그 카메라 계정 정보는 서버에 계속 저장돼 있어요.
해커가 이런 잊혀진 계정을 노립니다.

매년 한두 번은 이런 정리 작업을 해두시는 게 좋습니다.
사용하지 않는 카메라 등록 정보는 완전 삭제하시고, 오래전에 만들었던 직원 서브 계정 중 활성 상태로 남아있는 것들도 정리하세요.
스마트폰에도 예전에 잠깐 써봤던 CCTV 앱이 그대로 깔려있다면 아예 삭제하시고, 필요하실 때 다시 깔면 됩니다.
저희 관리 사장님들한테는 매년 12월에 이 정리 작업을 담당자가 유선으로 함께 진행해 드립니다.
= 안 쓰는 계정 = 잊혀진 열쇠.

사장님이 설치업체·관제사한테 던지실 마법의 네 문장

이번엔 계약 중이거나 신규 계약 검토 중이신 업체 담당자한테 통화 중 던지실 네 문장입니다.
답변 내용이 이 네 가지를 정확히 짚으면 그 업체는 계정 보안까지 진짜로 챙기는 곳이고, 얼버무리면 사장님이 나중에 다 혼자 감당해야 하는 상황입니다.

첫 번째 문장 — "설치 마무리하시면서 초기 관리자 비밀번호를 12자리 이상으로 바꿔주시고, 그 조합을 문자로 저한테만 전달해 주실 수 있으세요?"
"기본 절차입니다" 하면 신뢰, "설치기사가 임의로 바꾸고 종이에 적어드려요~" 하면 조심.

두 번째 문장 — "관제 앱 이단계 인증 활성화 · 인증 앱 방식으로 세팅해 주실 수 있으세요?"
"바로 도와드리겠습니다" 하면 좋고, "그건 사장님이 나중에 하시면 돼요~" 하면 사장님이 나중에 안 하실 확률 90퍼센트니 지금 요청.

세 번째 문장 — "직원용 서브 계정 생성이랑 권한 분리 기능이 있는 관제 앱인가요?"
"조회 전용 서브 계정 무제한 발급 가능합니다" 가 정답, "직원한테는 사장님 계정 공유하시면 돼요~" 가 답이면 계약 재고.

네 번째 문장 — "혹시 해외에서 로그인 시도가 감지되면 저한테 즉시 알림 문자가 오나요?"
"신규 기기 로그인 알림이 기본 활성화돼 있습니다" 가 정답, "그런 기능은 아직 없어요~" 면 최소한 서버 접속 로그라도 매월 확인해 달라고 요청.

사고가 났을 때 신고할 곳 · 사이트 두 개, 전화 한 개

이미 이상 로그인 알림을 받으셨거나, 앱 화면에서 낯선 접속 흔적을 발견하셨다면 아래 세 곳에 즉시 신고하세요.
초기 대응이 빠를수록 피해가 확산되지 않습니다.

하나, 국번없이 118 (한국인터넷진흥원 KISA 침해대응).
개인정보 유출·해킹 사고 24시간 신고 창구입니다.
사장님이 로그인 알림 문자만 받으신 단계여도 신고 가능하고, 이후 추가 대응 절차를 무료로 안내받으실 수 있어요.

둘, 사이버범죄 신고 시스템 · ecrm.police.go.kr.
경찰청 사이버수사대에 온라인으로 접수하는 창구입니다.
매장 CCTV 영상이 외부에 유포된 정황이 확인되면 여기 즉시 접수하세요.
접수하시면 담당 수사관이 배정돼 유포 경로 추적이 시작됩니다.

셋, 가입 통신사 고객센터.
심스와핑 의심 정황(문자·전화 신호가 갑자기 끊긴 상태로 몇 시간 지속)이 있으면 통신사에 즉시 유심 재발급 여부부터 확인하세요.
사장님 명의로 다른 사람이 유심 재발급을 받았다면 그 순간부터 이단계 인증 문자도 그 사람 폰으로 갑니다.
빠르면 30분 안에 원 유심으로 복구가 가능합니다.

마무리 · 그 새벽 세 시 이후 저는 이렇게 바뀌었어요

필리핀 마닐라 로그인 알림을 받았던 그 새벽 이후, 저는 두 가지를 개인적으로 바꿨습니다.
첫째, 저희 회사의 모든 관제 계정에 이단계 인증을 강제로 걸었습니다.
사장님 개인 취향 존중이 아니라, 안전을 위해 계약서에 조항으로 넣었어요.
둘째, 매년 12월 마지막 주에 사장님별 계정 정리 상담을 유선으로 무료 진행합니다.
안 쓰는 계정, 그만둔 직원 계정, 예전 카메라 등록 정보 이런 걸 함께 삭제하는 시간이에요.
그거 한 번 하고 나면 사장님들 대부분이 "이런 게 있는 줄도 몰랐어요" 라고 하십니다.

제가 이 일 시작하기 훨씬 전에 학교 후배 하나가 은행 다녔었어요.
2000년대 초 인터넷뱅킹이 막 도입되던 시절이었는데, 그 후배가 저한테 이런 말을 한 적이 있어요.
"형, 은행 강도는 이제 총 안 들고 와. 키보드 들고 와."
그 말이 그 시절엔 좀 이상하게 들렸는데, 지금 이 일 하면서 매일 실감합니다.
카메라 강도는 이제 매장 유리창을 안 깨요, 스마트폰 앱 계정으로 들어옵니다.

세상은 변했고, 우리는 조금 더 현명해질 필요가 있습니다.
CCTV 카메라가 아무리 최신 4K여도 계정 비밀번호가 admin/1234면 그건 열려있는 문을 잠근 척하는 것과 같습니다.
반대로 위의 다섯 가지만 챙기시면, 사장님 계정은 세계 어떤 자동 스캐너로도 뚫리지 않는 상태가 됩니다.
새벽 세 시에 이상한 알림 문자 받으실 일이 없어지는 거예요.

긴 글 읽어주셔서 진심으로 감사합니다.
지금 사장님이 쓰시는 CCTV 앱 이름 알려주시면, 이단계 인증 설정 경로를 그 앱에 맞춰 정리해 드릴게요.
저희 계약을 못 하시더라도, 사장님 매장 계정이 뚫려서 새벽에 겁먹으실 일이 없게 그 정도는 무료로 도와드리겠습니다.
――
S1 시큐리티 관제팀 드림
상담 문의: 1668-1004 (평일 09:00~18:00 · 야간 사고 접수 24시간)