- Air 3S·Matrice 4E 5개월 검증…데이터 해외 전송·백도어 정황 확인 안 돼
DJI가 미국 사이버보안 기업 온디펜드(OnDefend)가 수행한 독립 보안 평가 결과를 공개했다. 온디펜드는 약 5개월 동안 DJI Air 3S와 Matrice 4E를 대상으로 소프트웨어와 하드웨어, 무선주파수(RF) 영역 전반을 검증했으며 중대(Critical)·고위험(High)·중위험(Medium) 수준의 보안 취약점을 발견하지 못했다고 평가했다. 평가에서는 미국 외 지역으로의 데이터 전송 정황과 백도어(Backdoor), 비인가 원격 접근 메커니즘 여부를 함께 점검했다. 온디펜드는 DJI 비행 제어 애플리케이션에서 확인된 연결이 미국 내 인프라를 대상으로 이뤄졌으며 컨트롤러 대상 탈옥(Jailbreak)과 펌웨어 변조 시도 역시 차단됐다고 설명했다.
데이터 전송·백도어 여부 검증
온디펜드는 일반 소비자용 제품을 DJI 사전 제공이 아닌 미국 내 일반 판매처에서 직접 구매해 평가를 진행했다. 산업용 제품 역시 기존 유통 재고를 확보해 시험했으며 미국 시장에서 실제 판매되는 제품과 동일한 사양으로 검증했다고 밝혔다. 무선주파수 분석 과정에서는 설명되지 않은 송신 신호와 은닉 통신 채널(Covert Channel) 여부도 점검했다. 탐지된 신호는 확인 가능한 시스템 기능에서 발생한 것으로 분석됐으며 공급망 변조 정황이나 비인가 하드웨어 변경 사례 역시 발견되지 않았다.
저위험 항목 10건 확인
평가 과정에서는 저위험(Low-Risk) 항목 10건과 관찰 사항 13건이 확인됐다. 온디펜드는 애플리케이션 보안 설정과 세션 관리, 무선 통신 보안 강화와 관련된 일반 수준의 항목으로 드론 운용이나 기밀 정보 노출로 이어질 현실적 위험은 낮다고 평가했다. DJI는 온디펜드와 함께 개선 방안을 검토했으며 남아 있는 사항은 소프트웨어 업데이트를 통해 순차 반영할 계획이다. 온디펜드는 향후 펌웨어와 소프트웨어 업데이트, 하드웨어 및 칩 무결성에 대한 지속 검증도 권고했다.
FCC 보안 논란 기술 검증 주목
이번 평가는 2025년 10월부터 2026년 3월까지 데이터 주권(Data Sovereignty)과 하드웨어 취약점, 드론 시스템 악용 가능성 등 국가안보 관점의 우려 사항을 중심으로 진행됐다. 온디펜드는 DJI Fly와 Pilot 2 애플리케이션 정적·동적 분석과 중간자 공격(Man-in-the-Middle), 인증서 우회, 권한 상승, 탈옥 시도 등 실제 공격 시나리오 기반 검증도 수행했다.
온디펜드는 보고서에서 “Air 3S와 Matrice 4E 시스템에서 숨겨진 백도어 존재를 뒷받침할 명확한 증거와 미국 외 지역 데이터 전송 정황은 확인되지 않았다”며 “중대 또는 고위험 수준 취약점도 발견되지 않았다”고 밝혔다.
DJI 아담 웰시(Adam Welsh) 글로벌 정책 총괄은 “이번 평가는 DJI 제품을 대상으로 수행된 가장 포괄적인 독립 보안 검증”이라며 “DJI 제품 보안성과 데이터 처리 방식 투명성을 다시 확인한 결과”라고 밝혔다.
#DJI #드론보안 #온디펜드 #사이버보안 #Air3S #Matrice4E #드론보안평가 #FCC #데이터주권 #무선주파수 #드론산업
