한 번 결제하면 모든 채널을 무제한으로 볼 수 있다고 광고하는 저가형 안드로이드 TV 박스와 스트리밍 스틱은 오래전부터 보안 업계의 경고 대상이었다. 사용자의 인터넷 회선을 몰래 낯선 이들에게 임대하는 '주거용 프록시(residential proxy)' 소프트웨어가 기본 탑재돼 있다는 이유에서다. 그런데 보안 기업 비트사이트(Bitsight)의 위협 연구원 페드로 팔레가 크렙스온시큐리티에 공개한 새 분석은, 이 기기들이 프록시 임대를 넘어 스스로를 스마트폰인 것처럼 위장해 AI가 생성한 가짜 뉴스 사이트의 광고를 클릭하는 대규모 광고 사기에도 동원되고 있음을 보여준다.
팔레는 H96이라는 인기 브랜드의 스트리밍 기기들이 명령을 주고받는 데 쓰던 만료된 도메인을 직접 등록하면서 이 네트워크 내부를 들여다볼 수 있었다. 해당 도메인은 원래 전 세계 TV에 꽂힌 수만 대의 H96 스틱으로부터 하드웨어 정보와 설치된 앱 목록 전체를 주기적으로 수집하는 텔레메트리 용도였다. 그런데 흘러들어오는 트래픽을 살펴보니 거의 모든 TV 박스가 자신을 삼성, 비보, 화웨이, 샤오미 등 다양한 제조사의 휴대폰 모델이라고 보고하고 있었다. "뭔가 심각하게 잘못됐다는 걸 알아차렸다"고 그는 말했다. 공장 출하 시점부터 심어진 백도어에 보고를 올리는 기기들이 하나같이 '전화기'를 자처하고 있었던 것이다.
정체가 드러난 펑워 그룹
모든 기기에는 동일한 두 개의 앱이 깔려 있었고, 이 앱은 2019년 중국 본토에 설립된 저장 펑워 IoT 기술(Zhejiang Fengwo IoT Technology)이 만든 것이었다. 이 회사는 펑워 그룹이라는 이름으로 광고 퍼블리싱 사업을 운영하며, 앱의 내부 동작과 일치하는 특허를 여러 건 등록해 두고 있었다. 비트사이트는 수익 회수에 쓰인 홍콩·싱가포르의 1인 '법적' 유령 법인들을 추적해 그 배후를 펑워 그룹으로 지목했다. 이 앱들은 H96 기기를 언제든 동원할 수 있는 트래픽 공급원으로 삼아, 펑워 그룹이 직접 운영하는 AI 생성 웹사이트의 광고를 클릭하도록 조율하는 역할을 했다.
문제의 웹사이트들은 금융, 건강, 교육, 게임, 음악, 음식 등 다양한 주제로 기계가 써낸 뉴스 기사와 그래픽으로 채워져 있었다. 결정적인 단서는, 이 사이트들이 방문 기기가 H96이 위장한 특정 휴대폰 프로필과 일치할 때만 광고를 노출했다는 점이다. 즉 실제 사람이 아니라 봇 트래픽에만 광고를 띄우도록 설계돼 있었다. 펑워 그룹의 도메인 fwgcloud[.]com은 스스로를 "인간과 AI 상호작용의 경계를 재정의한다"고 소개하며 정서적 동반자부터 24시간 고객 서비스까지 대여 가능한 12만 개 이상의 'AI 디지털 휴먼'을 보유했다고 주장한다.
비숙련 인력도 찍어내는 사기 공장
주목할 대목은 이 사기의 제작 방식이다. 펑워 그룹 직원들은 구글이 원래 어린이 코딩 교육용으로 만든 시각적 프로그래밍 언어 블록리(Blockly)의 자체 구현판을 이용해 가짜 사이트를 만든다. 블록 편집기에서 코드 조각을 끌어다 붙이면 각 사기 루틴이 정의되고, 이는 자바스크립트로 내보내져 S3 버킷에 업로드된다. 운영자는 밑단 코드가 어떻게 동작하는지 이해할 필요가 없다. 비트사이트가 인용한 한 개발자의 언급처럼, 소수의 숙련 개발자가 템플릿만 만들어 두면 나머지는 기술 요건이 크게 낮은 인력으로도 찍어낼 수 있어 운영 비용이 대폭 줄어든다. 저비용·저숙련으로 사기를 산업화한 구조인 셈이다.
특정 사기 작업에 선택된 스틱에는 그에 맞는 블록리 모듈이 내려간다. 웹 브라우저를 조용히 실행하고, 사이트를 방문해 페이지를 넘기고 탭을 관리하며 광고를 클릭하는 식이다. 휴대폰으로 위장한 TV 박스가 광고를 안정적으로 눌러 매출로 이어지도록, 펑워 그룹은 세 가지 시각·추론 시스템을 하나의 인터페이스로 융합해 봇이 페이지에서 광고를 정확히 식별하고 사람처럼 사이트를 탐색하게 만들었다고 보고서는 지적한다.
켜져 있을 때도, 꺼져 있을 때도
흥미로운 점은 이 기기들이 프록시 임대와 광고 사기를 동시에 하지는 않는다는 것이다. 비트사이트는 TV 박스가 연결된 TV에서 HDMI 신호를 감지하면, 즉 사용자가 영상을 보려 할 때는 주로 주거용 프록시로 동작하다가, TV가 꺼지면 광고 사기 작업을 기다리는 모드로 전환된다고 결론지었다. 팔레는 광고 사기가 훨씬 자원을 많이 쓰는 작업이라 스트리밍이라는 본래 용도를 방해하지 않으려는 설계로 본다. 그래서 "안 쓸 때 스틱을 뽑으면 된다"는 흔한 조언은 절반만 맞다. 오히려 TV를 끄고 스틱을 꽂아 둔 시간이 사기 봇으로 활동하기 좋은 시간이기 때문이다.
비트사이트는 만료된 펑워 도메인으로 신호를 보내오는 TV 박스를 전 세계 약 3만 8,000대로 집계했고, 이를 근거로 이 광고 사기 네트워크가 프록시 사업 매출을 빼고도 하루 5만 달러에 가까운 수익을 올리는 것으로 추정했다. 다만 팔레는 이 수치가 펑워의 오래된 핵심 도메인 하나의 텔레메트리에만 기반한 대단히 보수적인 추정이라고 강조했다. 12만 개의 '디지털 휴먼' 주장에 대해서는, 프록시나 디도스 사업자가 규모를 숨기려 그럴듯한 겉모습을 내세우던 전례처럼 마케팅 위장일 수 있다고 봤다. 실제로 크렙스온시큐리티가 회사 대표 주소로 보낸 문의는 "받은 편지함이 가득 찼다"며 반송됐다.
FBI와 보안 업계의 반복된 경고에도 아마존, 베스트바이, 뉴에그 같은 대형 유통업체는 구글의 비공식 안드로이드 변형을 얹은 수백 종의 기기를 여전히 판매한다. 실무 관점의 교훈은 명확하다. 스트리밍 기기는 평판 있는 제조사의 정품 브랜드를 쓰고, 설치하는 앱도 프록시 소프트웨어를 끼워 넣는 경우가 많으므로 최소한으로 신중하게 골라야 한다. 구글은 안내를 통해 기기가 공식 안드로이드 TV OS와 플레이 프로텍트 인증을 받았는지 확인하는 방법을 제공하며, 추적 서비스 신시언트(Synthient)는 프록시·악성 앱이 선탑재된 IoT 기기 목록을 관리한다. FBI 경고대로 이런 소프트웨어는 스트리밍 스틱뿐 아니라 디지털 액자 같은 일반 IoT 기기에서도 발견되고 있어, 가정과 사무실 네트워크 전반의 문제로 봐야 한다.