스피커가 도청 장치로 변한다? SPEAKE(a)R 연구가 보여준 충격적 보안 취약점

스피커로 도청이 가능하다고요?

이스라엘 벤구리온 대학 사이버보안 연구센터에서 발표한 SPEAKE(a)R이라는 연구가 있어요. 제목 그대로 "스피커를 마이크로 바꿔서 재미도 보고 돈도 벌자"는 아주 도발적인 제목의 논문인데요, 내용을 들여다보면 정말 섬뜩해요. 우리가 음악 들을 때 쓰는 헤드폰이나 이어폰, 심지어 외장 스피커까지도 공격자가 마음만 먹으면 도청 장치로 둔갑시킬 수 있다는 거거든요.

이게 왜 지금 이야기하냐면, 많은 사람들이 프라이버시 걱정 때문에 노트북 웹캠에 테이프를 붙이잖아요? 심지어 마크 저커버그도 그렇게 하는 걸로 유명하죠. 그런데 이 연구는 "웹캠만 막아봐야 소용없다, 당신 책상 위의 스피커도 당신을 엿듣고 있을 수 있다"는 충격적인 사실을 실험으로 증명했어요.

어떻게 스피커가 마이크가 되는 걸까

원리를 쉽게 설명드릴게요. 스피커와 마이크는 사실 물리적으로 거의 똑같은 구조를 가지고 있어요. 마이크는 공기 진동(소리)이 들어오면 얇은 막(다이어프램)이 떨리고, 그 떨림이 코일을 움직여서 전기 신호로 바뀌는 장치예요. 반대로 스피커는 전기 신호가 들어오면 코일이 움직여서 막을 떨게 만들고, 그 떨림이 공기 진동으로 나와 소리가 되죠. 완전히 반대 방향으로 작동하는 거예요.

그런데 여기서 중요한 포인트가 있어요. 이 과정은 물리적으로 양방향으로 작동해요. 즉, 스피커에 소리를 쏘면 막이 떨리고, 그 떨림으로 코일이 움직여서 미약하지만 전기 신호가 생겨요. 스피커가 마이크 역할을 할 수 있다는 뜻이죠.

연구진은 이 특성을 이용해서 리얼텍 같은 일반 오디오 칩셋의 내장 기능을 파고들었어요. 현대 오디오 칩셋에는 출력 잭을 입력 잭으로, 혹은 그 반대로 소프트웨어만으로 바꿀 수 있는 재지정(retasking) 기능이 들어있거든요. 원래는 사용자 편의를 위해 만든 기능인데, 이걸 악용하면 사용자가 헤드폰을 꽂고 있는 동안 조용히 마이크 입력으로 전환해서 방 안의 대화를 녹음할 수 있어요.

실험 결과도 꽤 놀라워요. 일반 헤드폰으로 최대 6미터 떨어진 곳의 대화를 알아들을 수 있는 수준으로 녹음했고, 패시브 스피커도 기대 이상의 성능을 보였어요. 물론 전용 마이크만큼 선명하진 않지만, 음성 인식이나 대화 내용 파악에는 충분한 품질이 나왔죠.

업계에서는 어떻게 받아들이고 있나

사실 이런 부류의 사이드 채널 공격은 하드웨어 보안 연구에서 꾸준히 나오는 주제예요. 팬 소음으로 데이터를 빼내는 Fansmitter, 모니터에서 나오는 전자파로 화면을 재구성하는 TEMPEST, 전원선 잡음으로 암호키를 추출하는 연구들까지, 벤구리온 대학의 Mordechai Guri 교수 연구팀은 이 분야에서 유명한 선구자예요.

비슷한 맥락에서 보면 올해 초에 있었던 AirTag 스토킹 악용 사례나, 노트북 가속도계를 이용한 키보드 입력 추정 같은 연구도 같은 결의 이야기예요. 우리가 "입력 장치"라고 생각하지 않는 주변 기기들이 사실은 훌륭한 센서가 될 수 있다는 거죠.

한국 개발자에게 주는 시사점

업무용 노트북에서 기밀 회의를 많이 하는 분들, 특히 보안 민감한 도메인(금융, 국방, 헬스케어)에서 일하신다면 이 연구는 실무적으로 의미가 커요. 기업 보안팀이 엔드포인트 보안 정책을 짤 때 웹캠과 마이크만 비활성화하는 걸로 충분하다고 생각하면 안 된다는 뜻이거든요. 오디오 드라이버 수준에서 재지정 기능을 막거나, HIPS 같은 도구로 오디오 장치 설정 변경을 감지하는 정책이 필요해요.

또 임베디드 개발자나 IoT 기기를 만드는 분들도 참고할 만해요. 스마트 스피커, 차량용 인포테인먼트, 회의실 오디오 시스템 같은 제품을 설계할 때 "이 장치가 의도치 않은 방향으로 작동할 가능성"을 처음부터 고려하는 시큐어 바이 디자인 관점이 중요하다는 걸 보여주거든요.

마무리

결국 이 연구가 우리에게 주는 교훈은 "디지털 프라이버시를 지키려면 소프트웨어뿐 아니라 하드웨어의 물리적 특성까지 이해해야 한다" 는 거예요. 여러분은 업무용 장비를 쓸 때 어떤 물리적 보안 대책을 하고 계신가요? 혹시 회사에서 오디오 장치 관련 보안 정책을 운영하는 사례가 있다면 공유해주세요.