--- title: "싸구려 TV 스트리밍 스틱, 꺼져 있을 때 광고 사기 봇으로 돈 벌고 있었다" published: 2026-07-30T17:04:53.000Z canonical: https://jeff.news/article/5249 --- # 싸구려 TV 스트리밍 스틱, 꺼져 있을 때 광고 사기 봇으로 돈 벌고 있었다 저가형 안드로이드 TV 박스 H96 계열이 주거용 프록시와 광고 사기 네트워크에 동원된 정황이 Bitsight 분석으로 드러났어. 기기들은 TV가 켜져 있을 때는 인터넷 회선을 남에게 빌려주고, TV가 꺼지면 모바일폰인 척 광고를 클릭하는 작업을 수행한 것으로 분석됐어. - 싸구려 TV 스트리밍 박스가 단순히 ‘수상한 앱이 깔린 기기’ 수준이 아니었다는 분석이 나옴 - 보안 업체 Bitsight 연구원 Pedro Fale가 H96 스트리밍 스틱 관련 만료 도메인을 등록했다가, 대규모 광고 사기 네트워크 내부 트래픽을 들여다보게 됨 - 이 도메인은 원래 전 세계 수만 대 H96 기기에서 하드웨어 정보와 설치 앱 목록을 주기적으로 받던 텔레메트리용 도메인이었음 - 이상한 점은 TV 박스들이 자기 자신을 TV 박스가 아니라 휴대폰이라고 신고했다는 것 - 트래픽 대부분이 삼성, 비보, 화웨이, 샤오미 같은 모바일폰 모델로 위장돼 있었음 - 연구원은 “Android TV Box 백도어에 보고하는 여러 기기가 ‘폰’이었다”는 식으로 표현했는데, 이쯤 되면 냄새가 꽤 진함 - 공통으로 깔려 있던 앱 2개는 Zhejiang Fengwo IoT Technology, 즉 Fengwo Group 쪽과 연결됐어 - 이 회사는 2019년 중국 본토에서 설립됐고 광고 퍼블리싱 포트폴리오를 운영하는 것으로 분석됨 - Bitsight는 홍콩, 싱가포르, 개인 명의 법인 껍데기까지 추적해 수익화 구조가 Fengwo Group으로 이어진다고 봄 > [!WARNING] > 이런 TV 박스는 ‘내가 보는 콘텐츠가 불법인가’만의 문제가 아님. 내 집이나 사무실 인터넷 회선이 광고 사기, 스크래핑, 범죄 트래픽의 출구가 될 수 있다는 게 진짜 리스크임. - 광고 사기 방식도 꽤 공장화돼 있었음 - Fengwo Group이 운영하는 AI 생성 뉴스/블로그 사이트에 기기들이 접속함 - 금융, 건강, 교육, 게임, 음악, 음식 같은 카테고리의 기계 생성 글과 이미지가 깔려 있었지만, 광고는 아무 기기에게나 보이지 않았음 - H96 박스가 위장한 특정 모바일 프로필과 맞을 때만 광고가 표시됐다는 게 포인트임 ```mermaid sequenceDiagram participant 티비박스 as H96 TV 박스 participant 도메인 as 제어 도메인 participant 사기사이트 as AI 생성 사이트 participant 광고망 as 광고 네트워크 participant 운영자 as Fengwo 운영자 티비박스->>도메인: 기기 정보와 설치 앱 보고 도메인->>티비박스: 광고 사기 작업 모듈 전달 티비박스->>사기사이트: 모바일폰으로 위장해 접속 사기사이트->>광고망: 광고 요청 티비박스->>사기사이트: 페이지 이동과 광고 클릭 광고망->>운영자: 가짜 클릭 수익 정산 ``` - 운영 도구로 Blockly까지 쓴 정황이 나옴 - Blockly는 구글이 만든 시각적 프로그래밍 언어로, 원래는 아이들이 코딩을 배우기 쉽게 만든 도구에 가까움 - Bitsight 보고서에 따르면 운영자는 블록을 끌어다 붙여 사기 루틴을 정의하고, 저장하면 JavaScript로 export돼 S3 버킷에 올라가는 구조였음 - 숙련 개발자는 템플릿 실행 이미지만 만들고, 낮은 숙련도의 작업자가 실행 유닛을 찍어내 운영 비용을 줄이는 식임 - TV가 켜져 있을 때와 꺼져 있을 때 역할이 달라지는 것도 흥미로운 디테일임 - TV에 HDMI 신호가 잡히면 기기는 대체로 주거용 프록시로 동작함 - TV가 꺼져 있으면 광고 사기 작업을 기다리는 상태로 돌아감 - 연구원은 광고 사기가 리소스를 더 많이 먹기 때문에, 실제 영상 스트리밍을 방해하지 않으려고 이렇게 나눴을 가능성이 있다고 봄 - 규모도 작지 않음 - Bitsight가 만료 도메인 하나로 관찰한 기기만 전 세계 약 3만8000대임 - 이 숫자를 바탕으로 광고 사기 네트워크 매출을 하루 약 5만 달러로 추정했음 - 다만 이건 Fengwo Group의 오래된 핵심 도메인 하나 기준이라, 연구원은 꽤 보수적인 추정치라고 강조함 - 문제는 이런 기기들이 여전히 대형 쇼핑몰에서 팔린다는 점임 - Amazon, Best Buy, Newegg 같은 곳에서도 비공식 안드로이드 기반 저가 TV 박스가 수백 종 판매되고 있음 - 인플루언서 마케팅으로 ‘구독 없이 여러 스트리밍을 볼 수 있다’는 식으로 팔리는 경우가 많음 - FBI와 보안 업계가 계속 경고해도, 유통 자체가 쉽게 끊기지 않는 구조임 - 결론은 꽤 단순함. 이름 모를 초저가 TV 박스를 업무망이나 홈오피스망에 꽂지 말 것 - Google 공식 Android TV OS와 Play Protect 인증 여부를 확인하는 게 최소선임 - 이미 설치했다면 같은 네트워크에 개발 장비, NAS, 사내 VPN 장비가 같이 있는지부터 봐야 함 - 싸게 산 스트리밍 박스 하나가 네트워크 전체의 신뢰 경계를 망가뜨릴 수 있음 --- ## 기술 맥락 - 이 사례의 핵심 선택은 기기를 직접 해킹하는 게 아니라, 이미 팔린 저가 TV 박스를 트래픽 인프라로 쓰는 방식이에요. 공격자 입장에선 데이터센터 IP보다 가정용 IP가 훨씬 자연스러워 보이기 때문에 광고망이나 사이트 차단을 피하기 좋거든요. - TV 박스가 휴대폰으로 위장한 이유도 광고 생태계와 맞물려 있어요. 모바일 광고 단가와 타기팅 조건이 따로 움직이기 때문에, 특정 휴대폰 프로필에서만 광고가 뜨게 만들면 가짜 클릭을 더 그럴듯하게 만들 수 있어요. - Blockly를 쓴 대목은 운영 자동화 관점에서 꽤 중요해요. 고급 개발자가 매번 사기 스크립트를 짜지 않아도, 낮은 숙련도의 운영자가 블록을 조립해 작업 루틴을 만들 수 있으니 조직 전체 처리량이 올라가거든요. - 방어 쪽에서 보면 이건 엔드포인트 보안보다 네트워크 자산 관리 문제에 가까워요. 공식 인증이 없는 IoT나 미디어 기기를 업무망에 섞어두면, 그 기기가 프록시 출구나 봇넷 노드가 돼도 한동안 알아차리기 어렵기 때문이에요. ## 핵심 포인트 - Bitsight는 만료된 도메인을 등록해 약 3만8000대의 H96 TV 박스가 보내는 텔레메트리와 광고 사기 트래픽을 관찰했어. - 기기들은 삼성, 비보, 화웨이, 샤오미 휴대폰 모델인 척 위장했고, Fengwo Group 관련 앱 2개가 공통으로 설치돼 있었어. - 분석팀은 이 광고 사기 네트워크가 하루 약 5만 달러 매출을 낼 수 있다고 추정했지만, 이는 오래된 핵심 도메인 하나만 본 보수적 계산이야. ## 인사이트 개발자 입장에선 ‘싸고 편한 기기’가 네트워크 경계 안으로 들어오는 순간 얼마나 귀찮은 보안 부채가 되는지 보여주는 사례야. 특히 사무실이나 홈오피스 공유망에 이런 기기를 꽂는 건 광고 사기보다 더 큰 침해 경로를 열어주는 선택일 수 있어.