[단독] 한화비전 보안 카메라 펌웨어에 깃허브 접속 토큰 노출 작성일 07-28 25 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">해외 보안 연구자, 3개 펌웨어서 동일 토큰 확인 <br>한화 “즉시 파기·차단…비정상 접근·유출 없어”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="4PuHsIsAJ2"> <p contents-hash="2a71139a2e7f3088973139a7bd139a13c3079359371711cb48e8078f65c810b9" dmcf-pid="8Q7XOCOcn9" dmcf-ptype="general">한화그룹의 영상보안 전문 계열사 한화비전의 일부 보안 카메라 펌웨어에 내부 개발 조직이 사용하는 깃허브(GitHub) 개인 액세스 토큰(PAT)이 포함돼 배포된 사실이 확인됐다. PAT는 비밀번호 대신 깃허브 저장소에 접근할 때 사용하는 인증 수단으로, 공격자가 악용하면 내부 시스템 침투와 펌웨어 변조를 통한 공급망 공격으로 이어질 수 있다.</p> <p contents-hash="eb5be677a727adfa1af6fce889f2bb6fd71c1ade60ad58224729ec19fe73eeca" dmcf-pid="6xzZIhIkLK" dmcf-ptype="general">한화비전은 관련 사실을 제3자로부터 제보받은 뒤 해당 토큰을 즉시 파기·차단했고, 비정상 접근이나 데이터 유출은 없었다는 입장이다.</p> <div contents-hash="a54ce40e60e55e450139ef2c26800772f9dc7f4ef040d2aa2d9aafedf6ecc8e8" dmcf-pid="PMq5ClCEeb" dmcf-ptype="general"> 지난 24일(현지시각) 한 해외 보안 연구자는 한화비전 홈페이지에서 카메라 펌웨어 500개쯤을 내려받아 조사한 결과 3개 펌웨어에서 동일한 토큰을 발견했다고 자신의 블로그를 통해 밝혔다. 다만 해당 파일이 각각 다른 카메라 모델용인지, 같은 모델의 다른 버전인지는 공개되지 않았다. </div> <figure class="figure_frm origin_fig" contents-hash="70d155dcf7b2e3d0a2bb9bdabcc50ff5a4ebadbc30dfa64fea259ada5c920e3a" data-idxno="448687" data-type="photo" dmcf-pid="QRB1hShDnB" dmcf-ptype="figure"> <p class="link_figure"><img alt="한화비전 CI / IT조선 DB" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/28/552810-SDi8XcZ/20260728153511775exbh.jpg" data-org-width="600" dmcf-mid="fx0WwmwaeV" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/28/552810-SDi8XcZ/20260728153511775exbh.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 한화비전 CI / IT조선 DB </figcaption> </figure> <p contents-hash="8c63fd2f36669129249c9be190e269e1e55cb990d4aaafe9027f8a2bb6a54a02" dmcf-pid="xebtlvlwdq" dmcf-ptype="general">이 연구자는 "해당 토큰에 한화비전 깃허브 조직 소속 수백개 저장소의 관리자 권한이 부여돼 있었다"고 설명했다. 다만 저장소의 코드나 자료를 실제로 열람하거나 내려받았다는 내용은 언급하지 않았다.</p> <p contents-hash="96b36f842d4f2c8bbf5264868edc1b0efc3a0af58db1d62cb2d270f82f4cc3ea" dmcf-pid="yGro8P8Biz" dmcf-ptype="general">연구자에 따르면 해당 토큰은 카메라 웹 관리 화면을 만드는 과정에서 개발 환경 정보가 펌웨어 내부 파일에 함께 기록되면서 포함된 것으로 보인다. 연구자가 문제를 알린 뒤 한화비전은 12시간 안에 토큰을 폐기한 것으로 전해졌다.</p> <p contents-hash="037d5f648f20c714a687d5967931310738c34fa8f461f9dcc9a0f993a5dbcc29" dmcf-pid="WHmg6Q6be7" dmcf-ptype="general">이번 사안은 소스코드 유출에 그치지 않고 회사 시스템 전반의 침해로 번질 수 있었다는 점에서 위험성이 크다. 공격자가 관리자 권한으로 코드와 빌드·배포 설정을 변조하고 그 과정에서 추가 인증정보를 확보했다면, 사내 서버와 클라우드 등으로 침투 범위를 넓힐 수 있다.</p> <p contents-hash="aebf889ae577741e2d995332ed4488c91bf6949f02be1c2e2ddffb9c2d0d48ab" dmcf-pid="YXsaPxPKMu" dmcf-ptype="general">변조된 펌웨어가 업데이트로 배포될 경우 고객이 사용하는 카메라까지 영향을 받는 공급망 공격으로 이어질 가능성도 있다. 다만 실제 악용 정황은 확인되지 않았으며, 해당 토큰만으로 회사 전체 시스템에 직접 접근할 수 있었는지는 확인되지 않았다.</p> <p contents-hash="475258e0d89cabd9c7d82cc542e4e5a093f717bfbfebbf87d5d04a6aaa6a936c" dmcf-pid="GXsaPxPKeU" dmcf-ptype="general">한화비전 관계자는 "일부 카메라 프로그램에 개발용 접근 토큰이 포함된 사실을 인지한 후 해당 토큰을 즉시 파기 및 차단했다"며 "접속 기록 전수 조사 결과 비정상 접근이나 데이터 유출은 없는 것으로 확인됐다"고 말했다.</p> <p contents-hash="128140307f736d79c748e8a5cfe72ad6d5a3e96abba6c652eaf45ad1aa57e4d1" dmcf-pid="HZONQMQ9np" dmcf-ptype="general">보안 전문가들은 개발자의 주의에만 의존하지 않고 커밋·병합·배포 단계에서 자격 증명을 자동으로 검사해야 한다고 조언한다. 소스코드나 설정 파일에 토큰이 남거나 빌드 과정에서 환경변수가 결과물에 포함되면 같은 사고가 반복될 수 있기 때문이다. 윤종원 스패로우 최고기술책임자(CTO)는 "예방의 핵심은 소프트웨어 개발 프로세스에 보안 테스팅을 자동으로 편입하는 것"이라며 "자격 증명이 검출되면 배포가 자동으로 차단돼야 한다"고 말했다.</p> <p contents-hash="4255c4355b5c508138d36001b1d5fd4885c226018f357b9c7cdeba9ca85681a6" dmcf-pid="X5IjxRx2e0" dmcf-ptype="general">자격 증명 노출이 확인되면 토큰 폐기뿐 아니라 권한 범위와 접근 기록, 코드·빌드 설정의 변경 여부도 점검해야 한다. 윤 CTO는 "개발 저장소에 접근할 수 있는 토큰이 노출됐다면 공격자가 코드나 빌드 설정을 바꿔 배포되는 애플리케이션을 변조했을 가능성도 살펴야 한다"며 "노출 기간의 커밋 이력과 파일 변경 여부를 확인해야 한다"고 설명했다.</p> <p contents-hash="374d2c22614bf4daacdafa6921aba45bcf54b22f8efdd42b66f97205eb33f077" dmcf-pid="Z1CAMeMVM3" dmcf-ptype="general">정종길 기자<br>jk2@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 AI는 샀는데 쓸 줄 모른다…'AI 구축팀' 보내는 MSP 07-28 다음 복싱대회 의식불명 사고에 대한복싱협회 관계자 등 8명 송치 07-28 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
