키즈폰 보안 취약점 논란, 'HMD 퓨즈'가 드러낸 안전의 역설

안전하다던 폰에서, 왜 하필 위치정보가 샜을까

이 뉴스를 처음 봤을 때 좀 아이러니하다고 생각했다. 아이의 스마트폰 사용을 지키겠다고 나온 제품이, 정작 아이의 실시간 위치를 노출할 뻔했다는 얘기였기 때문이다.

주인공은 노키아 브랜드로 익숙한 HMD가 내놓은 아동용 스마트폰 ‘HMD 퓨즈’다. SafeToNet, 엑스플로라(Xplora)와 손잡고 만든 이 제품은 AI로 유해 이미지를 걸러내는 ‘하암블록’ 기능으로 주목받아왔다.

그런데 최근 보안 연구자가 이 폰의 취약점을 발견했다. 문제는 AI 콘텐츠 차단 기능이 아니라, 부모가 자녀를 관리하는 백엔드 시스템 쪽이었다고 알려졌다.

영국 파이낸셜타임스 보도를 인용한 외신 보도가 있었다. 이번 키즈폰 보안 취약점은 위치 정보를 포함한 민감한 데이터에 제3자가 접근할 수 있는 구조였던 것으로 전해졌다. 다만 실제 악용 사례가 있었는지는 아직 확인되지 않았다.

HMD 측은 조사가 진행되는 동안 해당 제품의 판매를 잠정 중단한 것으로 알려졌다. 다만 구체적인 원인 분석 결과나 재발 방지 대책에 대해서는 아직 상세한 공식 입장을 내놓지 않고 있다.

필자가 보기엔 이 대목이 핵심이다. 확인되지 않은 의혹을 사실처럼 단정할 수는 없지만, 판매 중단이라는 조치 자체가 문제의 무게를 보여준다.

이런 흐름은 낯설지 않다. GitLab 취약점 사례에서도 살펴봤듯, 취약점 공개나 발견 이후의 대응 속도가 피해 규모를 좌우한다.

여기서 눈에 띄는 건, 이 사건이 AI 기능 자체의 실패가 아니라는 점이다. 하암블록 AI는 제 역할을 했을 가능성이 높다. 문제는 그 AI를 둘러싼 인프라, 즉 부모용 앱과 서버 통신 구조에 있었던 것으로 보인다.

업계에서는 종종 두 개념을 혼동한다. 하나는 ‘무엇을 막을 것인가’를 결정하는 안전 기능이고, 다른 하나는 ‘그 시스템 자체를 어떻게 지킬 것인가’를 다루는 보안 설계다. 아래 표로 정리해봤다.

표를 보면 명확해진다. 아이를 지키겠다는 좋은 의도가, 그 의도를 구현하는 기술 스택 전체의 안전을 자동으로 보장하지는 않는다. 개인적으로는 이 지점이 이번 사안의 가장 중요한 교훈이라고 생각한다.

키즈폰이나 자녀 위치 추적 앱 시장은 ‘부모의 불안’을 파는 사업이다. 그만큼 신뢰가 무너지면 타격도 크다.

솔직히 이건 좀 아이러니한 구조다. 아이를 보호한다는 명분으로 더 많은 개인정보, 특히 위치정보를 수집할수록 사업 매력은 커진다. 하지만 그 데이터가 많아질수록 공격 표면도 함께 넓어진다.

이런 항목들은 사실 키즈 테크뿐 아니라 모든 IoT·모바일 서비스에 적용되는 기본기다. 다만 아동 대상 서비스라는 점에서 실패의 파장이 훨씬 크게 느껴질 뿐이다. 이번처럼 키즈폰 보안 취약점이 불거질 때마다 이 업계 전체의 신뢰도가 함께 흔들린다.

이번 키즈폰 보안 취약점 사태를 보면서 든 생각은, ‘아이 안전’이라는 마케팅 문구가 오히려 검증의 눈높이를 낮췄던 건 아닐까 하는 의문이다.

부모들은 ‘안전’이라는 브랜드를 믿고 지갑을 연다. 그런데 그 신뢰가 실제 보안 감사 수준으로 이어지지 않는다면, 오히려 일반 스마트폰보다 더 위험할 수 있다.

앞으로는 키즈폰이라는 카테고리 자체에 대해 제3자 보안 인증 같은 별도 기준이 필요하다고 본다. AI 필터링 성능만큼이나, 그 뒤를 받치는 인프라 보안 수준도 소비자에게 공개돼야 한다.

HMD가 이번 조사를 마친 뒤 어떤 개선안을 내놓을지, 그리고 다른 키즈 테크 기업들이 이를 반면교사로 삼을지 계속 지켜볼 일이다.