주행 중 갑자기 ‘쿵’ 멈추고 원격 조종… 자동차 해킹 현실로 [모빌리티&라이프]

[편집자주] ‘모빌리티&라이프’는 자동차, 항공기 등 전통적인 이동수단부터 도심항공모빌리티(UAM), 마이크로모빌리티 등 새로운 이동수단까지 다양한 탈 것을 다루는 코너입니다. 차에 대한 다양한 궁금증과 트렌드를 알려드리고, 모빌리티에서 누릴 수 있는 새로운 경험을 전해드립니다. 

지난달 29일 서울 강남구 아우토크립트 미래 모빌리티센터에서 노트북으로 차량을 해킹해 조종하는 모습. 백소용 기자

지난달 29일 서울 강남구 아우토크립트 미래 모빌리티센터에서 열린 차량 해킹 시연 현장에서는 영화속에서나 볼법한 장면이 펼쳐졌다. 운전자가 타지 않은 차량이 혼자 주행하고 운전대도 좌우로 돌아갔다. 자율주행이 아니라 해킹 공격으로 차량을 무선 조종한 것이다. 

다른 차량은 해킹 공격을 받아 시스템이 강제 종료(셧다운)되기도 했다. 아우토크립트 관계자의 “자 공격하겠습니다”라는 말이 떨어지자마자 주행하던 차량에 급제동이 걸렸다. 차량은 정상적인 제동 소리와는 다른 ‘쿵’ 하는 기계음이 섞인 굉음을 내면서 멈춰섰고 디스플레이에는 경고 표시가 떴다.

김덕수 아우토크립트 사장은 “제어기의 취약점을 공격해 제어권 하나만 가져와도 차 전체를 통제할 수 있다”며 “시연에 사용된 차량은 이미 취약점 보고와 조치가 완료된 상태”라고 설명했다. 

◆차량 진화하며 해킹 위협도 증가

아우토크립트는 이같은 차량 해킹으로 발생할 수 있는 피해를 막기 위한 자동차 소프트웨어를 개발·제공하는 업체다. 2007년 차량용 보안 솔루션 분야에 진출했으며, 해킹 분야에서는 업계 최대 규모인 45명의 해킹팀을 자체 운영하고 있다. 21개 완성차 제조사를 고객사로 두고 있다.

자동차 보안이 갈수록 중요해지며 관련 산업도 급성장하고 있다. 글로벌 시장조사기관 글로벌 마켓 인사이트는 ‘자동차 사이버 보안 시장 규모 및 전망 보고서’에서 사이버 보안 시장이 2024년 35억달러(약 4조8000억원)에서 2034년까지 연평균 11.6% 성장해 105억 달러(약 14조4000억원)에 이를 것으로 예측했다. 

이는 자동차가 SDV(소프트웨어 중심 차)로 진화하는 것과 흐름을 같이 한다. 단순한 기계장치에서 벗어나 전자제어장치(ECU)를 기반으로 점점 더 데이터 통신을 통해 외부와 많이 연결되고 스스로 움직이는 방향으로 발전되고 있는 것이다. 

자동차 시스템이 외부 위협에 노출되면 단순한 정보 유출에 그치지 않고 다른 차량과의 충돌 등 다수의 생명을 위협하는 결과를 가져올 수 있다는 점에서 더욱 위험하다.

앞서 2015년 미국의 화이트 해커들이 지프 체로키 차량 시스템을 원격 해킹해 브레이크와 가속기 등을 조작하는 장면을 공개하며 140만대 차량 리콜로 이어졌다.

2018년에는 중국의 보안 업체가 BMW의 최신차종을 해킹해 원격으로 차량을 제어하는 모습을 시연했고, BMW는 긴급 소프트웨어 업데이트를 진행했다.

미국의 화이트 해커가 테슬라의 모델X를 2분30초 만에 해킹해 차량을 탈취해 운전했고, 또 다른 미국 보안 업체에서 기아 차량의 번호판 정보만으로 원격 제어할 수 있다고 시연한 사례도 있었다.

지난달 29일 서울 강남구 아우토크립트 미래 모빌리티센터에서 김덕수 아우토크립트 사장이 차량 해킹에 대해 설명하고 있다. 아우토크립트 제공

◆해킹 위협 막아라… 전세계 규제 강화

모든 해킹 공격에는 보안의 장벽을 미리 높여 대응하는 방법이 최선이다. 해킹 위협이 높아지며 전세계의 차량 소프트웨어 보안에 대한 규제 수준도 강화되고 있다.

유엔 유럽경제위원회(UNECE)는 새로운 법규인 ‘UN 규정 제155호’(UN R155)와 ‘제156호’(UN R156)을 통해 자동차 제조사들에 사이버 보안 관리 시스템(CSMS)과 소프트웨어 업데이트 관리 시스템(SUMS) 구축을 요구한다. 지난해 7월부터 신규 생산되는 모든 차량으로 적용대상이 확대됐다.

중국은 내년부터 신차에 사이버 보안과 소프트웨어 관리 의무화를 시행할 예정이다. 

우리나라도 올해 8월부터 신차종에 보안 관리체계 인증을 의무화하고, 2027년부터 이를 모든 차량으로 확대한다.

백소용 기자 [e-mail]