길거리 감시 카메라 뜯어보니 비번이 통째로 노출? 플록 카메라 보안 참사 수준

요약 미국 전역의 경찰과 사설 감시망에서 널리 쓰이는 차량 번호판 인식 카메라 '플록(Flock)'의 펌웨어가 해커 집단에게 털려 보안 실태가 완전히 까발려졌습니다. 해커 그룹 'stegan0gram'은 현장에 설치된 플록 카메라 하드웨어를 직접 수거·해체한 뒤 파티션 파일시스템 이미지를 추출해 공개 데이터베이스인 DDoSecrets에 배포했고, 404 Media와 Wired가 이를 공동 심층 보도했습니다. 이 공개 데이터를 보안 전문가가 직접 리버스 엔지니어링해 분석한 결과, 기기 내부 보안 상태는 충격적인 수준이었습니다. 2025년 6월 최신 빌드 날짜가 찍혀 있음에도 불구하고, 실제 구동되는 운영체제는 이미 2021년에 구글 지원이 종료된 2017년 산 '안드로이드 8.1'이었습니다. 심지어 안드로이드 보안 패치 수준은 2018년에 멈춰 있어 무려 8년 치 보안 업데이트가 누락된 상태였습니다. 기기가 탑재한 리눅스 커널 역시 2017년 출시된 3.18.71 버전으로, 마이너 패치조차 69개나 뒤처진 채 9년 넘게 방치되어 있었습니다. 이로 인해 GPU 드라이버 메모리 변조 취약점이나 커널 소켓 취약점 등 공개된 지 오래된 치명적 취약점에 무방비로 노출되어 있었습니다. 더 심각한 것은 플록 사의 실제 운영 인프라 서버로 통하는 자격 증명이 기기 코드 안에 그대로 박혀(하드코딩) 있었다는 점입니다. 카메라 펌웨어에 포함된 공용 라이브러리를 디컴파일하자 백엔드 통신용 API 키가 평문 문자열로 노출되어 있었습니다. 이 API 키와 기기 고유 MAC 주소만 있으면 서버로부터 Auth0 클라이언트 ID 및 비밀값을 발급받을 수 있으며, 기기 내부에도 이 인증 정보들이 평문으로 보관되어 있었습니다. 즉, 공격자가 카메라로 위장해 단기 토큰을 생성하고 플록 사의 백엔드 서버와 직접 통신할 수 있는 심각한 구멍이 뚫려 있던 셈입니다. 이에 대해 플록 측 대변인은 "자체 취약점 공개 프로그램을 운영 중이나 정식 보고를 받지 못했다"며 "근거가 제한적이어서 사실 여부를 판단할 수 없고, 합법적 취약점을 찾았다면 공식 절차로 제출하라"는 원론적인 답변을 내놓아 보안 커뮤니티의 냉소를 사고 있습니다.