자동차 해킹은 연구 보고서에만 존재하는 것? 이미 실제 범죄 여러 건 발생해
자동차 문 열고 훔쳐내는 행위보다는 서버 노리는 공격이 더 많아질 것으로 보여

[보안뉴스 문가용 기자] 2020년, 커넥티드 자동차 시장은 크게 성장세를 보일 것으로 예상된다. 미국 시장에 국한된 얘기지만 이미 꽤 많은 자동차들이 인터넷에 연결된 채로 거리를 달리고 있기도 하다. 사이버 보안 회사인 업스트림 시큐리티(Upstream Security)에 의하면 이러한 현상 때문에 사이버 공격자들의 공격 표면이 광범위해지고 있다고 한다.


[이미지 = iclickart]

업스트림은 2019년 스마트카라고 불리는 ‘커넥티드 자동차’를 겨냥한 사이버 공격 176건에 대한 정보를 수집하고 분석을 마쳤다고 한다. 참고로 2018년도에는 이러한 공격이 총 78건 일어났다. 한 해 만에 2배 이상 늘어난 것이다. 자동차의 전자 잠금 장치를 해킹해 차량 자체를 훔친 사건부터 온라인 운송 현황 서비스를 해킹해 트럭을 추적한 사건까지, 깊이와 내용 모두 다양했다고 업스트림의 부회장인 댄 사하르(Dan Sahar)는 평한다.

“자동차 해킹이 연구실에서만 일어나던 시절은 오래 전에 지나갔습니다. 이제 진짜 해커들이 자동차를 뒤좇기 시작했거든요.” 업스트림은 2010년부터 자동차들을 겨냥한 사이버 공격을 조사해왔고, 여태까지 총 388번의 사건이 있었다고 한다. “그런데 그 중 절반 가까이(45%)가 작년 한 해 동안에만 일어났습니다. 지난 4월에는 한 해커가 프로트랙(ProTrack)과 아이트랙(iTrack)이라는 GPS 서비스를 해킹해 2만 7천여 개의 계정에 접근하기도 했었습니다. 만약 그가 좀 더 일을 진행했더라면 멀리서 자동차의 엔진을 갑자기 끌 수도 있었습니다.”

공격은 점점 더 심해졌다. 30초도 되지 않아 테슬라를 훔치는 영상이 등장하는가 하면(실제 상황), 베트남과 관련이 있는 국가 지원 해킹 단체는 310만 명의 도요타 고객들의 개인정보를 훔쳐내기도 했다. 차량을 중심으로 한 각종 사이버 공격이 활발하게 일어나기 시작한 것이다. 사하라는 “차량 한 대를 훔쳐내는 것부터 고객의 정보를 대량으로 빼가는 것이 현재 나타나고 있는 자동차 관련 해킹 범죄의 가장 빈번한 형태”라고 설명한다.

“아마도 차량을 훔쳐내거나 폭파시킨다거나 교통사고를 일으키는 것을 목적으로 한 해킹 공격은 당분간 빈번하지 않을 것입니다. 자동차 제조사가 제공하는 각종 서비스를 받지 못하게 하는 식의 공격이 당분간은 주류가 되지 않을까 합니다. 즉 안전과 생명에 직접적인 위협을 끼치는 공격보다는 불편하게 만드는 공격이 어느 정도 먼저 자리를 잡을 거라는 뜻입니다. 특정 모델의 차량 전체가 시동이 걸리지 않는다든가, 아침에 차 문을 열 수 없다든가 하는 식의 공격을 예상합니다.”

공격이 2019년 한 해 동안 급작스럽게 늘어난 건 커넥티드 차량이 늘어나고, 자동차 해킹 연구가 어느 정도 궤도에 올라왔기 때문이다. 미국 시장에서 세 손가락에 꼽히는 자동차 제조사인 GM, 도요타, 포드의 경우, 올해 커넥티드 차량만 생산하겠다는 계획을 세우고 있기도 하다(컨슈머 왓치독(Consumer Watchdog)이 발표한 내용). 이 세 회사는 미국 자동차 시장의 절반을 차지한다. 그 외 다른 자동차 회사들도 5년 안에 인터넷과 연결된 차만 생산할 계획이다.

현재까지 일어난 차량 해킹 공격의 대부분(30%)은 무열쇠 잠금 장치를 통해서 발생했다. 그 다음은 애플리케이션 서버(27%), 모바일 애플리케이션(13%), 온보드 차량 점검 포트가 뒤를 이었다. 무열쇠 시스템을 공격하는 데 성공할 경우 차를 직접 훔치고 꽤나 큰 돈을 벌 수 있다는 장점이 있지만, 공격자가 차량에 직접 접근해야 한다는 단점도 있다. 또한 한 번 공격 성공으로 단 한 대에만 영향을 줄 수 있어 보기에 따라 효율성이 높다고 말하기 힘들 수도 있다. 하지만 서버를 공격하는 데 성공하면 한 번에 수많은 차량에 영향을 줄 수 있다.

“해커가 텔레매틱스 정보가 담긴 서버에 접근하는 데 성공했다고 하면, 그 서버에 연결된 모든 것들에 접근할 수 있게 됩니다. 앱, 데이터, 차량까지 전부요.” 업스트림 측이 강조하는 내용이다. “이렇게 되면 차량 한 대가 아니라 모델 전체가 다 영향을 받을 수 있어요. 회사나 사용자 모두에게 어마어마한 손해와 피해를 끼칠 수도 있죠. 심지어 OEM 회사들과 텔레매틱스 서비스 업체 등 파트너사들과 서드파티들에까지 피해가 갑니다.” 그래서 차량 한 대 훔치는 공격보다 서버를 공격하는 경우가 더 많아질 거라고 업스트림은 예상하는 것이다.

자동차 해킹 사고의 가장 큰 문제는 소비자들 편에서 할 수 있는 일이 거의 없다는 것이다. 자동차 생산 회사에서 보안 강화에 앞장서야 한다. 하지만 여태까지 자동차 산업에서는 보안의 진보가 한없이 느리게만 이뤄졌다. 2014년에 테슬라가 버그바운티를 시작했고, 2016년에서야 겨우 산업 내 정보 공유 및 분석 센터(ISAC)가 신설됐다. 2016년에는 GM이, 2018년에는 도요타, 2019년에는 포드가 버그바운티를 시작했다.

사하르는 “자동차 제조사들이 보안에 신경을 쓰지 않는 건 아니”라고 설명한다. “또한 최근에는 보안 예산을 늘리기도 했죠. 그럼에도 아직까지는 공격 가능성과 루트가 너무 많습니다. 소비자들은 자동차 회사만 온전히 믿어야 하는 상황이고요. 아직 커넥티드 자동차라는 것에 대한 불신이 말끔히 사라지지 않고 있습니다. 회사들이 이 부분에 있어 좀 더 혁신적인 모습을 보여주어야 할 것입니다.”

3줄 요약
1. 스마트카 해킹 사고, 작년 한 해 동안 일어난 것만 역대 사고의 절반 차지.
2. 스마트카 늘어나고 해킹 연구 충분히 이뤄지면서 2020년에도 자동차 해킹 늘어날 것 예상됨.
3. 자동차 직접 훔치는 공격보다는 서비스 이뤄지는 서버 노리는 공격이 더 많아질 듯.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>