로봇청소기와 홈카메라, 월패드 등 인터넷에 연결된 생활가전이 일상으로 들어오면서 집안의 보안 문제도 커지고 있다. 기기에 탑재된 카메라와 마이크가 해킹될 경우 개인정보뿐 아니라 주거공간의 구조, 생활패턴까지 외부에 노출될 수 있지만 국내 제도는 여전히 사업자의 자율적인 보안조치에 의존하고 있다는 지적이 나온다. 

국회입법조사처가 최근 발간한 ‘사생활 훔쳐보는 로봇청소기를 그대로 둘 것인가? 사물인터넷(IoT) 보안 강화를 위한 입법 및 정책 과제’ 보고서에 따르면 2025년 국내 IoT 산업 매출액은 약 30조원으로 집계됐다. 최근 4년간 연평균 성장률은 9.7%에 이른다. 

IoT는 각종 사물에 센서와 통신 기능을 탑재해 인터넷에 연결하는 기술이다. 로봇청소기와 IP카메라, 공동주택 월패드 등 가정용 제품부터 스마트공장과 교통·에너지 시설까지 적용 범위가 넓어지고 있다. 

그러나 연결되는 기기가 많아질수록 해커가 침투할 수 있는 통로도 늘어난다. 특히 1인가구가 반려동물이나 집 안 상태를 확인하기 위해 사용하는 홈카메라와 로봇청소기에는 영상 촬영과 음성 수집 기능이 포함된 경우가 많아 보안 사고가 곧 사생활 침해로 이어질 가능성이 크다. 

생활가전이 사생활 유출 창구로 

IoT 기기를 통한 영상 유출은 이미 현실에서 반복되고 있다. 

2021년에는 전국 638개 아파트 단지, 40만4847가구의 월패드가 해킹돼 일부 영상이 유출됐다. 2023년에는 한 성형외과 수술실에 설치된 IP카메라가 해킹되면서 환자 10여명의 진료 모습이 외부로 실시간 유출됐다. 

2025년에는 가정집과 사업장 등에 설치된 IP카메라 약 12만대가 해킹됐으며 탈취된 영상이 해외 불법 사이트에 판매된 사실이 확인되기도 했다. 같은 해 시중에서 판매 중인 로봇청소기 6개 제품을 대상으로 실시한 보안 실태조사에서도 일부 제품에서 내장 카메라 영상에 권한이 없는 사람이 접근할 수 있는 취약점이 발견됐다. 

문제는 현행 제도로는 이 같은 취약점을 제품 출시 전에 충분히 걸러내기 어렵다는 점이다. 

정보통신망법은 IoT 기기를 제조하거나 수입하는 사업자에게 정보보호 조치를 취하도록 규정하고 있다. 하지만 구체적인 조치는 과학기술정보통신부의 정보보호지침을 통해 ‘권고’하는 방식에 머물러 있다. 

법이 개정된 지 약 6년이 지났지만 제조·수입업자가 반드시 지켜야 할 구체적인 보호조치 기준도 마련되지 않았다. 사업자가 지켜야 할 최소 보안선이 없다 보니 제품별·제조사별 보안 수준에 차이가 발생하고 보안성이 충분히 검증되지 않은 기기도 시장에 유통될 수 있다는 것이다. 

IoT 보안인증 연평균 90건…금융 분야는 5년간 ‘0건’

정부는 제품의 보안성을 평가하는 IoT 보안인증 제도를 운영하고 있지만 참여는 저조하다. 2021년부터 2025년까지 최근 5년간 IoT 보안인증 건수는 연평균 90건에 그쳤다. 연도별로는 2021년 73건, 2022년 83건, 2023년 82건, 2024년과 2025년 각각 106건이다. 

분야별 인증 실적은 가전 10건, 교통 6건, 제조·생산 12건, 통신 7건 등에 불과했다. 금융 분야는 5년 동안 인증 실적이 단 한 건도 없었다. 보안 수준이 가장 높은 ‘스탠다드’ 등급 인증도 7건에 그쳤다. 

인증이 의무가 아닌 사업자의 자율 참여 방식으로 운영되는 데다 인증을 받지 않더라도 별도의 제재나 불이익이 없기 때문이다. 인증을 취득해도 공공부문 우선구매 대상에 포함되지 않고 해외 인증과의 상호인정 협력국도 독일과 싱가포르 2개국뿐이어서 기업이 비용과 시간을 들여 참여할 유인도 크지 않다. 

제품이 시장에 나온 뒤 보안 취약점을 상시 점검할 제도 역시 부족하다. 현행법은 IoT 침해사고가 발생한 이후 정부가 원인을 분석할 수 있도록 규정하고 있지만, 유통 중인 제품을 사전에 검사할 수 있는 명시적인 근거는 두고 있지 않다. 점검 결과에 따른 개선 명령이나 리콜, 결과 공개와 같은 후속조치 체계도 마련돼 있지 않다. 

과기부가 2025년 한국소비자원과 협력해 로봇청소기 보안 실태조사를 실시한 것이 최초 사례지만, 소비자원의 조사 권한을 활용한 일회성 점검에 가까워 정부의 상시적인 관레체계로 보기는 어렵다는 평가가 나온다. 

영국은 기본 비밀번호 금지…EU는 위반 시 매출 2.5% 과징금 

유럽연합(EU)과 영국은 IoT 제품에 최소 보안기준을 적용하고 기준을 충족하지 못한 제품의 시장 진입을 제한하고 있다. 

영국은 2024년부터 소비자용 IoT 제품에 공통 보안기준을 적용하고 있다. 제조업자는 여러 제품에서 공통으로 사용하는 범용 기본 비밀번호를 사용할 수 없으며, 보안 문제를 신고할 수 있는 연락처와 보안 업데이트 지원 기간을 공개해야 한다. 

수입·유통업자 역시 해당 요건을 충족하지 못한 제품이 시장에 공급되지 않도록 확인해야 한다. 규정을 위반한 제품에는 리콜 명령을 내릴 수 있으며, 최대 1000만파운드 또는 전세계 연간 매출액의 4% 중 더 큰 금액을 과징금으로 부과할 수 있다. 

EU는 2027년 12월 전면 시행되는 ‘사이버복원력법’을 통해 제품의 설계와 개발 단계부터 보안을 반영하도록 했다. 제품 판매 이후에도 지속적인 보안 업데이트와 취약점 관리를 의무화하고, 위반 시 최대 1500만유로 또는 전세계 매출액의 2.5% 중 더 큰 금액을 과징금으로 부과한다. 

보고서는 국내에서도 모든 IoT 기기에 적용할 수 있는 최소 보안기준부터 마련해야 한다고 제언했다. 범용 기본 비밀번호 사용 금지, 제조업체의 보안 신고 연락처 공개, 보안 업데이트 지원 기간 표시 등이 우선 도입 가능한 기준으로 제시됐다. 

김다솜