러시아 정보: 우크라이나로의 무기 수송을 감시하는 87,000개 이상의 잘못 구성된 IP 카메라

러시아가 EU 및 NATO 내 인터넷에 노출된 IP 카메라를 활용해 키이프로 향하는 무기 convoi를 추적했다는 AIVD/MIVD(네덜란드 정보기관) 공동 보고서가 2026년 7월 10일 작성되었습니다.

사실

2026년 7월 10일 AIVD(네덜란드 민간 정보부)와 MIVD(네덜란드 군사 정보부)가 공동으로 발표한 보고서에 따르면, 적어도 하나의 러시아 정보기관에서 수행한 것으로 추정되는 스파이 활동이 문서화되었습니다. (공식적으로 GRU 부대는 명시되지 않음) Censys의 분석을 인용한 The Hacker News에 따르면, EU, NATO 회원국, 우크라이나에 분포된 87,000개 이상의 인터넷 연결 카메라가 노출되었으며, 이 중 4,000개 이상의 카메라가 취약한 버전을 실행 중인 것으로 집계되었습니다. 네덜란드만 하더라도 45,386대의 노출된 카메라가 확인되었으며, 이 중 1,992대가 취약한 서비스를 실행 중입니다.

주요 공격 수단으로 언급된 CVE는 다음과 같습니다:

• CVE-2016-7407 - Dropbear SSH의 dropbearconvert 도구(키 임포트 취약점) - 네덜란드 159개 호스트에서 발견
• CVE-2021-39275 - Apache의 경계 외 쓰기 취약점 - 네덜란드 112개 호스트에서 발견

공격 방식은 복잡하지 않습니다: 대량 스캔, 브랜드별 핑거프린팅, 기본 비밀번호, 구형 펌웨어, 공장 설정을 악용하는 방식입니다. 공격의 목적은 군사적입니다: 키이우로 향하는 무기 수송로, 병력 위치, 수송 경로의 파악이었습니다. 우크라이나 당국은 촬영된 영상이 인원 제거 및 장비 파괴 시도에 사용되었다고 밝혔습니다.

현장의 실상

여기서 0-day는 없습니다. 악용된 취약점은 각각 10년과 5년 전에 알려진 것들입니다. 교훈은 간단합니다: IoT 기기의 상당수가 공장 설정 상태로 방치되고, Shodan 스캔만으로도 접근 가능한 상태라면, 적대적 정보기관은 exotic한 익스플로잇을 필요로 하지 않습니다. 2018년 이후로 공장 출고 상태로 라우터 뒤에 방치된 카메라 한 대가 적의 센서가 된다는 사실은 결코 새로운 교훈이 아니지만, 잔인한 현실입니다.

지금 해야 할 일

IP 비디오 감시 시스템을 운영하거나 배포하는 모든 조직(공공, 물류, 국방, 소매, 부동산 등)에 대한 권고:

1. 인터넷 노출 감사: shodan search, censys search를 통해 공개 IP의 services.software.vendor + services.software.version 확인.
2. 불필요한 인터넷 노출 제거: 대부분의 침해된 카메라는 인터넷에 노출될 필요가 없습니다. VPN 또는 인증된 리버스 프록시 뒤에 배치.
3. 기본 인증 정보 변경 (계속 반복) 및 주기적 교체 정책 강제.
4. 펌웨어 확인: Dropbear(>= 2016.75) 및 Apache 패치 적용(CVE-2021-39275).
5. 비디오 네트워크 분리: lateral movement 제한을 위해 IT/OT 네트워크와 분리.

1차 출처: AIVD/MIVD 보고서(ncsc.nl)와 Censys 보고서를 참고하세요. 언론 보도는 참고 자료로만 활용.