facts

전 세계 약 3만 8,000대의 H96 스트리밍 기기가 휴대전화로 위장해 AI 생성 웹사이트의 광고를 클릭하고, 사용자의 인터넷 연결을 외부에 빌려주는 네트워크에 동원된 사실이 Bitsight의 조사를 통해 확인됐다. 이 네트워크를 운영한 주체는 2019년 중국에서 설립된 Zhejiang Fengwo IoT Technology(Fengwo Group)로, 이들은 기기에 사전 설치된 앱을 통해 광고 사기 매출만 하루 약 5만 달러를 벌어들인 것으로 추산된다.

기기에 설치된 앱은 구글의 시각적 프로그래밍 언어인 Blockly를 자체 구현해 사용한다. 운영자는 복잡한 코딩 없이 블록을 끌어다 놓는 방식으로 브라우저 실행, 페이지 탐색, 탭 관리, 광고 클릭으로 이어지는 사기 루틴을 구성할 수 있다. 이렇게 만들어진 루틴은 JavaScript로 변환되어 S3 버킷에 업로드되며, 선택된 H96 기기에 전달되어 실행된다. 특히 Fengwo Group은 시각·추론 시스템 3개를 결합한 인터페이스를 통해 봇이 사람처럼 사이트를 탐색하고 광고를 식별하도록 설계했다.

HDMI 신호 감지 여부에 따라 기기의 역할이 전환되는 구조도 발견됐다. TV가 켜져 HDMI 신호가 있을 때는 사용자의 이용을 방해하지 않기 위해 주거용 프록시(Residential Proxy)로 작동하며, TV가 꺼지면 자원 소모가 큰 광고 사기 작업 모드로 전환된다. 이 과정에서 H96 기기들은 자신의 정체를 Samsung, Vivo, Huawei, Xiaomi 등 유명 스마트폰 모델로 위장해 광고 플랫폼의 필터링을 피했다.

market-flow

아마존이나 베스트바이 같은 대형 유통 채널에서도 공식 구글 안드로이드 인증을 받지 않은 수백 종의 저가형 스트리밍 기기가 계속 판매되고 있다. 이러한 무명 IoT 제품들은 구독료 없이 다양한 스트리밍 서비스를 볼 수 있다는 점을 내세워 인플루언서 등을 통해 홍보된다. 하지만 이들 제품의 상당수에는 사용자의 IP 주소를 익명의 유료 고객에게 빌려주는 주거용 프록시 소프트웨어가 기본적으로 설치되어 있다.

주거용 프록시 소프트웨어는 일반 가정집의 IP를 사용하는 특성상, 공격적인 콘텐츠 수집 업체나 티켓 되팔이, 사이버 범죄자들이 추적을 피하기 위해 선호하는 자원이다. 제조사는 기기 판매 수익 외에도 이러한 프록시 네트워크 운영을 통해 지속적인 수익을 창출하는 비즈니스 모델을 구축하고 있다. 이번 H96 사례는 단순한 프록시 제공을 넘어, AI 생성 콘텐츠와 시각적 프로그래밍 도구를 결합해 광고 사기라는 고부가가치 범죄로 영역을 확장한 흐름을 보여준다.

AI 생성 웹사이트의 활용 방식도 주목할 지점이다. 금융, 건강, 교육 등 다양한 분야의 기계 생성 뉴스와 그래픽을 게시한 사이트를 구축하고, 위조된 모바일 프로필과 일치하는 방문자에게만 선택적으로 광고를 노출함으로써 사기 탐지 시스템의 감시망을 정교하게 회피하고 있다.

reader-impact

공식 Android TV OS와 Play Protect 인증 여부를 확인하는 것이 무명 IoT 기기의 보안 리스크를 줄이는 가장 확실한 방법이다. 구글의 인증을 받지 않은 기기는 기본 보안 기능이 취약할 뿐만 아니라, 제조 단계에서부터 악성 앱이나 프록시 소프트웨어가 심어져 있을 가능성이 매우 높다. 특히 '무료 스트리밍'이나 '구독 우회'를 강조하는 저가형 TV 박스는 네트워크 전체를 위험에 노출시키는 진입점이 될 수 있다.

기업의 IT 관리자나 개발자는 사무실 네트워크 내에 인증되지 않은 IoT 기기가 연결되어 있는지 점검해야 한다. 주거용 프록시로 활용되는 기기는 외부 트래픽의 중계지로 쓰이기 때문에, 내부 네트워크의 보안 경계를 무너뜨리고 다른 기기에 대한 공격 경로를 제공할 수 있다. Synthient 등이 관리하는 주거용 프록시 및 악성 앱 사전 설치 IoT 기기 목록을 참고해 내부 자산의 안전성을 검증할 필요가 있다.

결국 이번 사건은 AI 생성 콘텐츠와 로우코드(Low-code) 도구가 결합했을 때 봇넷 운영의 진입 장벽이 얼마나 낮아지는지를 보여준다. AI 실무자들은 생성형 AI가 콘텐츠 제작뿐 아니라, 이를 소비하는 가짜 트래픽 생성과 자동화된 사기 루틴 구축에 어떻게 악용되는지 관찰하고, 이에 대응하는 탐지 모델의 정교화를 고민해야 한다.