사람을 들이받은 로봇 잔디깎이 Yarbo, 진짜 문제는 인증 없는 서버였다

대부분의 보안 사고는 화면 안에서 끝난다. 데이터가 새고, 계정이 털리고, 통장 잔고가 줄어든다. 나쁘지만 추상적이다. Yarbo 사건이 특이한 건, 그 취약점이 마당을 돌아다니는 수십 킬로그램짜리 쇳덩이를 움직였다는 점이다. The Verge 기자는 해킹된 로봇 잔디깎이에 직접 들이받혔다. 버그 리포트가 멍 자국으로 남은 셈이다.

인증 없는 서버라는 한 줄짜리 원인

사고의 화려함에 비해 원인은 허무할 만큼 단순하다. Yarbo의 서버는 아무 인증 없이 접근 가능했고, 특정 포트로 요청만 보내면 로봇의 거의 모든 기능을 만질 수 있었다. 잠금장치를 빼먹은 금고가 아니라, 애초에 문을 달지 않은 금고에 가깝다. 그 안에는 GPS 좌표, Wi-Fi 비밀번호, 이메일 주소가 들어 있었다. 누군가 마음만 먹으면 사용자가 어디 사는지 알아내고, 집 네트워크에 들어오고, 마당의 기계를 움직일 수 있었다는 뜻이다.

흥미로운 지점은 이게 정교한 공격이 아니라는 거다. 제로데이를 사들이거나 암호를 깨야 했던 게 아니라, 잠기지 않은 문을 밀고 들어가면 되는 수준이었다. IoT 업계에서 이런 패턴은 지겹도록 반복돼 왔다. 출시 일정과 기능 경쟁에 밀려 보안이 후순위로 떨어지고, 클라우드 백엔드는 “어차피 주소를 모르면 못 찾겠지”라는 안일함 위에 세워진다. Yarbo는 그 안일함이 잔디깎이라는 무거운 물리적 형태를 입었을 뿐이다.

사후 약속이 가리는 진짜 교훈

논란이 커지자 Yarbo는 원격 접근 제한, 제3자 보안 감사, 버그 바운티 도입을 약속했다. 다 맞는 처방이다. 문제는 순서다. 이 모든 게 외부에서 취약점을 지적당한 다음에 나왔다는 것. 버그 바운티는 출시 전에 깔아두는 안전망이지, 사람을 들이받고 나서 급조하는 사과문이 아니다.

로봇 청소기, 스마트 도어록, 잔디깎이처럼 현실 공간을 직접 움직이는 기기가 늘어날수록 보안 결함의 출력값도 데이터에서 운동에너지로 바뀐다. 소프트웨어 버그가 멍을 남기는 시대에, “일단 출시하고 나중에 패치”라는 IoT 관행은 더 이상 통하지 않는다. Yarbo가 운이 나빴던 게 아니다. 그 관행을 따른 모든 제조사가 같은 사고를 기다리고 있을 뿐이다.