객실에 남겨진 PC: FrontierStack이라면 잡아냈습니다

게시일 2026-10-16

NHK 보도를 인용한 이번 주 Tokyo Reporter 기사에 따르면, 두 사람이 지난해 8월 고베의 한 호텔에 체크인하여 객실 Wi-Fi에 컴퓨터를 연결하고 방 구석에 숨긴 채 체크아웃했습니다. 경찰은 공범이 이 컴퓨터를 원격으로 조종한 것으로 보고 있습니다. 이 컴퓨터는 최소 수십만 통의 피싱 메일 발송에 사용되었습니다. 메일은 피해자를 신용카드 정보를 빼내기 위한 가짜 사이트로 유도했고, 호텔의 인터넷 회선을 거쳐 발송되어 실제 발신지가 감춰졌습니다. 호텔이 경찰에 상담했고, 경찰이 객실을 수색했을 때 컴퓨터는 여전히 연결되어 있었습니다. 두 사람은 이후 기소되었습니다.

정교한 공격은 전혀 필요하지 않았습니다. 게스트 Wi-Fi는 낯선 사람의 기기를 인터넷에 연결하기 위해 존재하며, 그 일을 그대로 했을 뿐입니다. 빠져 있던 것은 연결된 기기 하나가 회선으로 무엇을 하는지 지켜보는 눈이었습니다. 이것은 모니터링의 공백이며, 호텔, 서비스드 아파트, 코워킹 스페이스, 사무실 어디서나 메울 수 있습니다.

FrontierStack이라면 잡아냈습니다. 스팸 봇처럼 다른 회사의 메일 서버로 메일을 직접 보내는 컴퓨터는 첫 발송 후 10분 안에 의심 기기 감시 알림을 울리며, 알림은 해당 기기를 특정합니다. 어떤 방식으로 메일을 보냈든, 소유자가 체크아웃하고 일주일이 지나도 게스트 Wi-Fi에 남아 있는 컴퓨터는 게스트 네트워크 점검이 찾아냅니다.

숨은 메일 발송기는 네트워크에서 어떻게 보이는가

• 다른 회사의 메일 서버로 메일을 직접 보냅니다. 휴대폰과 노트북은 자신의 메일 제공업체를 통해 암호화된 포트 587이나 465로, 또는 웹메일로 메일을 보냅니다. 포트 25로 수십 개의 메일 서버에 접속하지 않습니다. 게스트 네트워크의 기기가 그렇게 한다면 스팸 봇의 전형적인 징후입니다.
• 떠나지 않습니다. 게스트는 왔다가 떠납니다. 체크아웃이 몇 번이나 지나도 몇 주씩 게스트 네트워크에 머무는 기기는 게스트가 아닙니다.
• 자사 주소가 차단 목록에 오릅니다. 메일 제공업체는 스팸 발신지를 Spamhaus, SpamCop 같은 목록에 보고합니다. 목록에 오르는 것은 여러분의 공인 IP 주소이며, 예약 확인 메일을 포함한 자사의 정상적인 메일까지 전달되지 않을 수 있습니다.
• 회선이 바빠집니다. 수십만 통의 메일은 밤낮없는 지속적인 트래픽을 뜻하며, 그것도 빈 객실에서 나오고 있을 수 있습니다.

FrontierStack은 어떻게 잡아내는가

FrontierStack 2.6에는 이러한 징후마다 대응하는 점검이 추가되었습니다. 모두 라우터와 인터넷 쪽에서 확인하므로 게스트 기기에 아무것도 설치할 필요가 없습니다(어차피 설치할 수도 없습니다).

• 의심 기기 감시(Full Fleet)는 OPNsense, pfSense, MikroTik RouterOS 또는 OpenWrt 라우터의 연결 테이블을 10분마다 읽습니다. 승인된 메일 서버가 아닌 기기가 1시간 안에 포트 25로 5곳 이상의 외부 메일 서버에 접속하면, 라우터의 DHCP 임대 정보에서 기기의 IP 주소, MAC 주소, 호스트 이름을 찾아 알림을 발생시킵니다. 자사 메일 서버로 들어오는 메일은 세지 않으며, 임계값은 조정할 수 있습니다.
• 같은 패널에서 떠나지 않는 기기도 찾아낼 수 있습니다. 게스트용 네트워크를 지정해 두면 7일(조정 가능)을 넘게 계속 연결된 기기에 대해 알림을 발생시킵니다. 스마트 TV, 객실 컨트롤러 같은 비품은 한 번 확인 처리하면 더 이상 알리지 않습니다. 이 점검은 켜기 전까지 꺼져 있습니다.
• 스팸 차단 목록 점검은 선택한 주기에 따라 도메인, 메일 서버, 라우터의 공인 IP 주소를 주요 차단 목록에서 조회합니다. 목록에 오르면 알림을 발생시키고 해당 목록의 조회 및 삭제 페이지 링크를 제공합니다. 목록이 응답을 거부하면 결과는 “판정 불가”로 표시되며 “등재”로 취급하지 않습니다.
• 라우터 사용량 알림은 라우터마다 요일과 시간대별 평소 트래픽을 학습합니다. 급증이 계속되면 알림을 발생시키고, 4주 중앙값을 크게 웃도는 날이 며칠 이어지면 “무단 사용 가능성”이라는 알림을 발생시킵니다. 후자는 연결된 기기 수도 평소와 비교합니다.
• 정기 속도 테스트를 켜 두면 같은 이야기의 느린 형태를 잡아냅니다. 같은 조건으로 비교했을 때 회선 속도가 일주일 내내 평소보다 크게 낮다면, 회선에 문제가 있거나 무언가가 회선을 많이 쓰고 있는 것입니다.

각 점검은 하나만으로도 알림을 울리기에 충분하며, 함께 보면 같은 네트워크를 가리킵니다.

예방: 먼저 문을 닫으십시오

• 게스트 네트워크의 외부 포트 25 송신을 차단하십시오. 게스트에게는 필요 없고, 필요한 것은 자사 메일 서버뿐입니다. OPNsense와 pfSense에서는 의심 기기 감시가 방화벽 규칙을 읽어 게스트 네트워크가 아직 포트 25에 도달할 수 있는지 알려 주고, 라우터의 해당 페이지 링크를 제공합니다. 규칙 자체는 변경하지 않습니다.
• 게스트 기기를 서로 분리하십시오. 게스트 Wi-Fi에서 클라이언트 격리를 켜서 게스트의 기기가 다른 게스트, 직원 네트워크, 사내 시스템에 접근하지 못하게 하십시오.
• 게스트 Wi-Fi 암호를 정기적으로 바꾸십시오. 바뀌지 않는 암호는 몇 달이면 사실상 공개된 것이나 다름없습니다. Wi-Fi 암호 변경(Full Fleet)은 하나의 네트워크 암호를 이를 송출하는 모든 라우터와 액세스 포인트에서 한 번에 바꿉니다. OpenWrt와 MikroTik 라우터, UniFi 콘솔은 직접 변경하고, 그 밖의 기기는 웹 페이지 링크가 있는 체크리스트로 관리합니다. 프런트용 QR 코드도 표시합니다. 새 암호로 바꾸면 이전 암호만 아는 기기는 연결할 수 없게 됩니다. 옷장 뒤에 숨겨진 기기도 마찬가지입니다.
• 공인 주소를 지켜보십시오. 라우터의 공인 IP 주소에 대해 차단 목록 점검을 켜십시오. 일주일에 한 번이면 충분합니다.

알림이 발생하면

1. 알림을 읽으십시오. 기기의 내부 IP 주소, MAC 주소, 라우터가 알고 있다면 호스트 이름과 함께 접속한 외부 메일 서버의 수가 표시됩니다.
2. 객실을 찾으십시오. 액세스 포인트 컨트롤러의 클라이언트 목록에서 기기가 어느 액세스 포인트에 연결되어 있는지 확인하면 층이나 동까지 좁힐 수 있습니다. 관리형 스위치를 사용하는 유선 네트워크라면 FrontierStack의 네트워크 경로 패널에서 MAC 주소가 있는 스위치 포트를 찾을 수 있습니다.
3. 전원이 아니라 접속을 끊으십시오. 라우터나 액세스 포인트에서 해당 MAC 주소를 차단하고, 그 네트워크의 Wi-Fi 암호를 바꾸십시오. 기기는 그 자리에 두고, 누군가 손대기 전에 경찰과 상의하십시오. 고베 사건에서도 호텔이 경찰에 상담한 것이 컴퓨터 발견으로 이어졌습니다.
4. 주소를 정리하십시오. 발송이 멈추면 차단 목록 결과에서 각 목록의 삭제 페이지를 열 수 있습니다. 많은 목록이 스팸이 멈추면 주소를 삭제합니다. 자동으로 삭제하는 곳도 있고 요청해야 하는 곳도 있습니다.
5. 정상 발신자는 승인하십시오. 발신자가 확인 메일을 직접 보내는 예약 관리 시스템처럼 정상적인 메일 서버로 밝혀지면 승인 목록에 추가하여 더 이상 알리지 않게 하십시오.

필요한 것

의심 기기 감시와 Wi-Fi 암호 변경은 FrontierStack Full Fleet 기능입니다. 스팸 차단 목록 점검, 라우터 사용량 알림, 정기 속도 테스트는 Standard에 포함됩니다. 메일 발송기 점검은 OPNsense, pfSense, MikroTik RouterOS, OpenWrt 라우터를 읽습니다. OPNsense에서는 API 키에 방화벽 상태, DHCP 임대, 방화벽 규칙을 볼 수 있는 권한이 필요합니다.

자세한 내용은 매뉴얼을 참조하십시오: 의심 기기 감시, 스팸 차단 목록, 라우터 사용량 알림, 정기 속도 테스트, 여러 라우터의 Wi-Fi 암호를 한 번에 변경하기.