미네소타에 사는 변호사 다니엘 스웬슨은 TV를 보고 있던 중 그의 로봇 청소기가 갑자기 오작동을 일으켰다고 한다. 그는 처음에는 무전기처럼 끊어지는 소리가 들렸고, 어딘가에서 음성이 나오고 있었다고 설명했다. 스웬슨은 에코백스 앱을 통해 낯선 사람이 청소기의 카메라와 원격 제어 기능에 접속한 것을 발견했다.
처음에는 일시적인 오류로 생각한 그는 비밀번호를 변경하고 청소기를 재부팅했다. 하지만 다시 소파에 앉자마자 청소기가 또다시 움직였고, 이번에는 분명하게 인종차별적인 욕설이 스웬슨의 13세 아들 앞에서 크게 울려 퍼졌다. ‘F’와 ‘N’으로 시작하는 비속어가 반복되며 청소기를 통해 계속 흘러나왔다. 스웬슨은 해커가 아마도 장난삼아 기기를 해킹한 청소년일 거라고 추측했다.
그는 로봇 청소기 작동을 즉시 멈췄다. 다행히 해커들이 공개적으로 나타났기에 더 큰 피해를 입진 않았지만, 스웬슨은 자신의 가족이 의도치 않게 감시당할 수 있었다는 생각에 큰 충격을 받았다. 특히 욕실 가까이 있었던 로봇 청소기가 옷을 입지 않은 가족을 촬영할 수도 있었다면서 두려움을 느꼈다.
스웬슨 집에서만 이런 문제가 벌어진 건 아니다. 미국 내 여러 도시에서도 같은 모델의 로봇 청소기가 해킹돼 유사한 일이 벌어졌다. 앞서 지난 5월 24일 로스앤젤레스에 사는 한 사용자의 디봇 X2가 욕설을 하면서 그의 반려견을 쫓아다니는 일이 벌어졌다. 5일 후인 5월 29일엔 엘파소에서 한 로봇 청소기가 주인에게 인종차별적 욕설을 퍼붓는 일이 발생했다.
당시 이런 일이 발생하기 약 6개월 전 보안 연구자들이 에코백스의 로봇 청소기와 이를 제어하는 앱에서 심각한 보안 결함을 발견하고 회사에 이를 알렸다. 가장 심각한 문제는 블루투스 연결에서 나타났다. 해당 결함을 통해 해커가 100m 이상의 떨어진 곳에서도 기기에 접근할 수 있다는 사실이 드러났다. 또 다른 문제는 로봇 청소기의 영상 스트림을 보호하는 PIN 코드 시스템이 제대로 작동하지 않는다는 점이었다. 카메라가 작동할 때 경고음을 내는 기능도 원격으로 비활성화될 수 있었다.
스웬슨은 사건 이후 에코백스에 피해 사실을 알렸으나 회사가 자신이 제공한 정보에 대해 확신하지 못하는 모습을 보였다고 주장했다. 그는 회사와의 대화에서 "해킹된 장면을 찍은 영상이 있냐"는 질문을 몇 번이나 들었다고 했다. 하지만 스웬슨은 "영상을 남길 여유가 없었고, 그보다는 가족이 해킹당하는 상황 자체가 더 중요했다"고 답했다.
에코백스는 이후 보안 조사 결과를 발표하면서 스웬슨의 계정과 비밀번호가 허가되지 않은 사람에게 노출됐다고 밝혔다. 또한 해커의 IP 주소를 추적해 차단했으며, 스웬슨의 계정이 '자격 증명 무단 도용' 공격에 의해 영향을 받았을 가능성이 높다고 설명했다. 이는 사용자가 여러 사이트에서 동일한 비밀번호와 아이디를 사용했을 때 발생하는 사이버 공격 유형이다.
하지만 이 같은 공격이 발생했더라도, 로봇 청소기의 영상 스트림이나 원격 제어 기능에 접근하려면 별도의 PIN 코드가 필요했어야 했다고 뉴욕포스트는 지적했다.
매체는 보안 연구자들이 지난해 12월 해킹 컨퍼런스에서 PIN 코드 시스템이 앱에서만 확인되고 서버나 로봇 자체에서는 확인되지 않는다고 발표한 바 있다면서 “누구든지 기술적 지식을 갖춘 사람이라면 PIN 코드를 우회할 수 있었다”고 지적했다.
에코백스는 다음달 중으로 X2 시리즈 소유자들에게 보안 업데이트를 제공할 예정이라고 발표했다.
스웬슨은 에코백스가 자신에게 PIN 코드 결함에 대해 전혀 알리지 않았다고 불만을 토로했다.
에코백스는 중국 현지에서 올인원 로봇청소기 시장 점유율 1위 브랜드를 차지할 정도로 인지도가 높다. 최상위 프리미엄 모델 에코백스 디봇 X2는 한국 오픈마켓에서 100만 원이 넘는 값에 팔린다. 렌털 상품까지 나와 있을 정도로 인기를 끄는 것으로 알려졌다.