티피링크(TP-Link)는 사용자가 제품 설정 페이지에 손쉽게 접근할 수 있게 전용 도메인명을 검색할 수 있게 제품에 기재하고 있다. 그런데 티피링크가 도메인명 갱신을 게을리 한 탓에 다른 사람이 도메인명을 가져가버렸고 새 도메인 보유자가 반환 받으려면 250만 달러를 내라고 요구하는 상황이 발생했다고 한다.

티피링크가 도메인명 등록을 깜박해 새로운 소유자 손에 도메인이 넘어갔다는 걸 알게 된 건 보안 업체인 사이버문(Cybermoon) CEO)인 아미태이 단(Amitay Dan). 그는 티피링크의 도메인명을 다른 사람이 취득한 걸 공개하고 자신의 트위터 계정에도 티피링크의 가정용 무선 랜 라우터 사진을 올렸다.

티피링크의 라우터 초기 설정에는 ‘tplinklogin.net’라는 주소와 로그인 사용자명, 암호가 적혀 있다. 초기 설정을 할 때에는 제품이 인터넷에 연결되지 않은 상태에서도 손쉽게 라우터 설정 페이지로 이동할 수 있는 구조를 취하고 있는 것. 티피링크에 따르면 이 정도는 2014년까지 판매된 티피링크 제품에 기재되어 있다.





하지만 이 시스템은 주소를 해결하기 위해 DNS를 사용, 공격자에게 납치되기 쉽다는 약점이 있다. 또 티피링크가 무선랜 기기에 사용 중인 ‘tplinkextender.net’라는 도메인 역시 비슷한 취약점이 있다. 웹사이트 순위를 분석하는 알렉사 순위에 따르면 ‘tplinklogin.net’ 도메인은 한 달에 440만, ‘tplinkextender.net’은 월 80만 액세스가 발생한다. 티피링크가 소유권을 잃은 두에도 계속 사용되고 있는 것.

https://twitter.com/popshark1/status/748863268932943872

이들 도메인 소유자가 누구인지는 알려지지 않았다. 하지만 아미태이 단 CEO에 따르면 새로운 소유자가 도메인명을 티피링크에 반환하는 조건으로 250만 달러를 요구했다고 한다. 하지만 티피링크 측은 이전 모메인명을 버리고 새로 ‘tplinkwifi-net’과 ‘tplinkrepeater.net’라는 새로운 도메인을 등록했다. 이에 따라 2015년 이후 판매된 제품에선 설정 페이지 주소도 새로운 도메인명을 이용한다.

외신에 따르면 티피링크가 도메인명을 되찾는 걸 포기한 건 상대방의 요구가 너무 비쌌기 때문일 것으로 추정하고 있다. 하지만 기존 도메인을 방치한 채 새로운 도메인을 취득하고 설명서만 바꾸는 조치를 해도 이미 판매된 기기에는 여전히 기존 도메인명이 남아 있다. 또 티피링크 공식 사이트에서도 오래된 도메인명에 대한 링크가 방치되어 있다. 이에 따라 아미태이 단 CEO는 ISP가 이전 도메인명을 차단해야 한다고 밝히고 있다. 관련 내용은 이곳에서 확인할 수 있다.

이석원 기자  lswcap@techholic.co.kr

<저작권자 © 테크홀릭, 무단 전재 및 재배포 금지>