한눈에 보기
IP카메라는 작은 컴퓨터라서, 인터넷과 연결되는 순간 다른 컴퓨터처럼 공격 대상이 됩니다. 집 밖에서 영상을 보는 방법은 크게 제조사 P2P·클라우드 앱, 포트포워딩, VPN 세 가지이고, 어느 쪽이든 "카메라를 인터넷 전체에 직접 보이게 하느냐"가 안전성을 가르는 핵심입니다. 이 글은 방식별 차이, 공식 기관이 권고하는 기본 수칙, 실제 사건에서 배울 점, 점검 체크리스트를 다룹니다. (일반 정보이며 특정 제품·제조사를 추천하지 않습니다. 제품별 설정은 설명서를 따르세요.)
- 기본(초기) 비밀번호를 바꾸지 않은 기기는 자동 스캔의 표적이 됩니다.
- 포트포워딩은 카메라 포트를 외부에 여는 일이라 가장 노출이 큽니다.
- 펌웨어 업데이트와 UPnP·텔넷 같은 불필요한 기능 끄기는 기관 권고에 공통으로 나옵니다.
- VPN은 카메라를 직접 노출하지 않고 집 네트워크로 들어가는 방식입니다.
세 가지 방식 비교
| 방식 | 공유기 설정 | 카메라 포트 노출 | 주의점 |
|---|---|---|---|
| P2P·클라우드 앱 | 대체로 불필요 | 직접 열지 않음 | 제조사 서버와 계정 보안에 의존, 계정 비밀번호 강화 |
| 포트포워딩(+DDNS) | 필요 | 인터넷에 직접 노출 | 스캔·무작위 로그인 시도의 대상이 됨 |
| VPN | VPN 서버 설정 필요 | 직접 노출하지 않음(VPN 포트만) | VPN 자체의 비밀번호·업데이트 관리 |
실제 사건 하나: 2016년 미라이(Mirai) 봇넷
무슨 일이 있었나
미국 CISA(당시 US-CERT)의 경보 TA16-288A는 미라이를 라우터, 네트워크 카메라, 디지털 영상 녹화기 같은 IoT 기기로 봇넷을 만드는 자가 전파 악성코드로 설명합니다. 이 악성코드는 인터넷을 계속 훑으며 보안이 약한 기기를 찾고, 흔한 기본 사용자명·비밀번호 62쌍의 짧은 목록으로 로그인을 시도합니다. 감염된 기기는 DDoS(분산 서비스 거부) 공격에 쓰였고, 경보는 2016년의 기록적인 공격으로 보안 블로그에 대한 620Gbps 초과 공격을 들며, 소스코드가 2016년 9월 말 온라인에 공개되어 새로운 봇넷의 위험이 커졌다고 적습니다. 학술 연구(Antonakakis 외, USENIX Security 2017, 위키백과 정리 기준)는 Telnet 포트 23과 2323으로 무작위 IPv4 주소를 탐색한 뒤 무작위 대입 로그인을 했다고 분석합니다.
배울 점
CISA가 제시한 예방책은 기본 비밀번호를 강한 것으로 바꾸기, 보안 패치가 나오면 바로 설치하기, 꼭 필요하지 않으면 라우터의 UPnP 끄기, 보안 이력이 알려진 제조사 제품 고르기입니다. 감염이 의심될 때는 기기를 네트워크에서 분리해 재부팅한 뒤(미라이는 메모리에 상주하므로 재부팅으로 지워짐) 비밀번호를 바꾸고 재연결하라고 안내합니다. 비밀번호를 바꾸기 전에 다시 연결하면 빠르게 재감염될 수 있다는 점도 같은 경보에 나옵니다. 이 사건은 "공격자가 특별한 기술을 쓴 것이 아니라 기본 비밀번호가 바뀌지 않은 기기를 자동으로 찾아낸 것"이라는 점에서, 이 가이드의 보안 수칙이 형식적이지 않음을 보여 줍니다. (이 사건의 피해 규모·기관 대응 수치는 자료마다 달라 여기에는 적지 않았습니다.)
직접 해보는 보안 점검 체크리스트
- 카메라와 앱 계정의 비밀번호가 제조사 기본값이 아닌지 확인하고, 다른 서비스와 겹치지 않는 값으로 바꿉니다.
- 제조사 공식 경로(앱·공식 사이트)에서 펌웨어 버전을 확인하고 최신으로 올립니다. 지원이 끝난 기기는 교체를 고려합니다(CISA는 일반적으로 지원 종료 제품의 퇴출을 권고).
- 공유기와 카메라 설정에서 UPnP, 텔넷 등 쓰지 않는 원격 기능을 끕니다.
- 공유기 관리자 페이지를 외부에서 열어 두지 않았는지 확인합니다.
- 포트포워딩 항목이 남아 있다면 정말 필요한 것만 두고, 관리자 페이지 포트는 열지 않습니다.
- 침실·욕실처럼 민감한 공간을 비추는 카메라는 렌즈 방향과 녹화 저장 위치를 다시 점검합니다.
ONVIF가 하는 일과 하지 않는 일
ONVIF는 위키백과에 따르면 2008년 11월 Axis, Bosch, Sony가 설립한 산업 포럼으로, IP 기반 보안 제품이 제조사가 달라도 함께 동작하도록 표준 인터페이스를 정합니다. 프로파일 S는 영상 스트리밍, G는 녹화·저장, T는 고급 스트리밍을 다룹니다. 호환성을 위한 표준이지 보안을 보장하는 인증은 아닙니다. ONVIF 지원 기기라도 비밀번호와 펌웨어 관리는 똑같이 필요합니다.
흔한 오해와 정정
- 오해: 공유기 뒤에 있으니 안전하다. 실제: 포트포워딩이나 UPnP로 포트가 열려 있으면 외부에서 접근할 수 있습니다. 미라이도 인터넷에서 열린 Telnet 포트를 탐색했습니다.
- 오해: DDNS를 쓰면 안전해진다. 실제: DDNS는 주소를 이름으로 바꿀 뿐 인증 강도를 높이지 않습니다.
- 오해: 비밀번호만 바꾸면 끝이다. 실제: 펌웨어 업데이트와 불필요한 기능 비활성화가 함께 필요하다는 것이 CISA 예방책입니다.
- 오해: P2P면 무조건 안전하다. 실제: 포트를 직접 열지 않는다는 장점은 있지만, 제조사 서비스와 계정 보안에 의존합니다.
한계와 더 알아볼 점
이 글은 CISA 경보 TA16-288A(원문은 현재 아카이브 상태), 위키백과의 미라이·ONVIF 항목을 확인해 작성했습니다. 국내 제조사별 P2P 서비스의 보안 수준이나 한국 기관(KISA 등)의 최신 권고는 확인하지 못해 적지 않았으니, 구체적 기준은 KISA 등 공공기관 자료를 확인하세요. 또한 카메라 설치는 타인의 사생활을 촬영하지 않도록 관련 법령을 확인해야 합니다.
공유기 자체를 처음 설정하는 단계라면
아직 공유기 초기 설정을 하지 않았다면 인터넷 공유기 초기 설정하는 방법부터 확인한 뒤 카메라를 연결하는 것이 순서에 맞습니다.
통신사 공유 IP(CGNAT) 환경이라면
외부 접속이 유독 안 된다면 CGNAT 가이드도 확인해 보세요.
DDNS를 직접 설정하고 싶다면
DDNS 방식을 선택했다면 DDNS 설정하는 방법을 참고해 도메인 이름을 발급받을 수 있습니다.
VPN으로 집 네트워크에 접속하는 방법
더 안전한 VPN 방식을 원한다면 가정용 VPN 서버 만드는 방법을 확인해보세요.
자주 묻는 질문
포트포워딩을 꼭 해야 하는 카메라도 있나요?
일부 구형 카메라나 전문가용 NVR 시스템은 클라우드 앱을 지원하지 않아 포트포워딩이나 VPN이 필수인 경우가 있습니다. 이런 경우라도 관리자 페이지 포트 대신 카메라의 영상 스트림 포트만 최소한으로 열고, 반드시 강력한 비밀번호와 HTTPS를 함께 적용하는 것이 안전합니다.
카메라가 해킹당했는지 의심될 때 어떻게 하나요?
CISA의 미라이 경보 기준으로는 기기를 네트워크에서 분리하고 재부팅한 뒤, 비밀번호를 바꾸고 나서 다시 연결하는 것이 안내되어 있습니다. 이후 펌웨어 업데이트도 확인하세요.
UPnP는 꼭 꺼야 하나요?
CISA 경보는 꼭 필요한 경우가 아니라면 라우터의 UPnP를 끄라고 권합니다. 끈 뒤 일부 기기 연결이 안 되면 필요한 포트만 수동으로 지정하는 방법을 제조사 설명서에서 확인하세요.
카메라 비밀번호는 어떻게 정하나요?
제조사 기본값이 아닌 길고 고유한 값으로 바꾸는 것이 기본입니다. 미라이가 62쌍의 흔한 기본 조합으로 로그인을 시도했다는 점을 생각하면 흔한 단어 조합은 피해야 합니다.
와이파이만 연결되고 외부 접속이 안 되면 포트포워딩이 필요한가요?
P2P 앱 방식이면 대개 필요하지 않습니다. 앱 안내대로 계정에 등록했는지, 카메라가 인터넷에 연결돼 있는지 먼저 확인하세요. 포트포워딩은 마지막 수단으로 생각하는 편이 안전합니다.
스마트폰 앱에서 "P2P"라고 표시되는데 안전한가요?
제조사가 운영하는 정상적인 P2P 클라우드 서비스라면 카메라를 직접 인터넷에 노출하지 않아 포트포워딩보다 안전한 편입니다. 다만 어떤 서비스는 제조사가 아니라면 신뢰하기 어려운 경우도 있으므로, 잘 알려진 제조사의 정식 앱인지 확인하고 이용하는 것이 좋습니다.