회사 화상 회의, 누군가 몰래 엿듣는다?

[아이뉴스24 최은정 기자] 원격 화상회의 플랫폼 '줌(Zoom)'에서 발견된 취약점이 여전히 해커의 공격 대상이 되고 있다는 지적이 나왔다.

줌은 클라우드 기반 화상회의 플랫폼으로 모바일, PC 등에 설치돼 회의, 협업, 채팅, 웨비나(Webinar, 웹+세미나) 등을 지원한다. 각종 기업·단체 이사회를 포함해 사무실과 교실에서 사용되고 있다.

29일 체크포인트에 따르면, 회의 세션 입장 페이지 HTML에서 미리 만들어 놓은 줌 회의 ID와 인터넷주소(URL)를 무작위로 조합, 로그인이 가능한 것으로 나타났다.

통상 줌 이용자들은 9~11자리 숫자로 이뤄진 고유 ID로 세션에 입장할 수 있다. 문제는 회의 주최자가 비밀번호 입력 옵션을 비활성화 하거나 대기실(Waiting Room) 기능을 활성화하는 경우. 이 때 고유 ID만 생성하면 누구나 세션에 참여할 수 있게 된다.

체크포인트 연구원들은 실험을 통해 줌 입장 페이지 HTML에서 ID와 URL을 조합해 입력할 경우 해당 계정이 올바른 계정인지 확인 과정을 거친다. 그러나 만약 해커가 자동화 툴을 이용해 이런 과정을 거치면 단시간 내 고유 ID를 만들고, 진행중인 회의에 몰래 끼어들 수 있게 된다는 것. 다만 특정 세션을 골라 들을 수는 없었다.

체크포인트는 이 같은 취약점을 지난해 7월 줌에 알렸고, 줌은 한달 후인 지난해 8월 관련 보안 패치를 배포했다. 현재는 체크포인트가 발견한 취약점으로는 더이상 공격이 불가하다는 게 줌 측 설명이다.

하지만 일각에서는 줌이 배포한 패치만으로는 높은 수준의 보안을 담보할 수 없다고 보고 있다. 회의별로 비밀번호를 따로 설정하는 등 사용자 차원의 노력이 필요하다는 얘기다.

야니브 발마스 체크포인트 사이버연구 총괄은 "민감한 이슈를 다루는 미팅의 경우 비밀번호를 설정해야 하나 이를 지키는 사용자는 거의 없다"며 "영상회의 참석자 모두의 신원을 증명하는 것도 한 가지 방법이나 비밀번호 만큼 확실한 방법은 없다"고 설명했다.

한편, 이를 포함 최근 원격 회의 플랫폼에서 취약점들이 잇따라 발견되고 있는 상황이다. 지난 2018년에는 '시스코 웹엑스' 도구와 서버 등에서 관련 취약점이 나와 이에 대한 추가 패치가 배포된 바 있다.