커넥티드 차량은 더 이상 단순 자동차가 아니다. 바퀴 위에 있는 소프트웨어 플랫폼이다. 그 바퀴 위에 온갖 취약점과, 아직 우리가 미처 해결하지 못한 과제들이 전부 실려 있다.
[보안뉴스 문가용 기자] 자동차가 점점 더 스마트폰처럼 변하고 있다. 점점 ‘커넥티드화’ 되어가고 있다는 뜻이다. 그러면서 자동차를 노리는 공격의 수법들도 다양해지고 있다. 벽돌로 유리창을 깨거나 옷걸이로 도어락을 ‘따는’ 것에서 무선 자동차 도어락 시스템 해킹을 통한 각종 디지털 요소 익스플로잇이 점점 늘어나는 추세다.
지난 9월 뉴욕 경찰은 자동차 도난을 전문으로 하는 일당을 검거한 바 있다. 이 일당은 보안 코드들을 인터넷에서 구매하여 자동차 스마트키를 복제하는 방법으로 차량을 훔쳐내고 있었다. 또한 일반 기계 엔지니어들이 사용하는 스캔 도구를 사용해 차의 시동 장치를 재프로그래밍 하기도 했다. 전자, 디지털 기술을 응용하여 물리적을 물건을 훔쳐내는 범죄자들을 만난다는 게 그리 어렵지 않은 세상이 됐다.
보안 업체 업스트림(Upstream)의 부회장인 가이 몰호(Guy Molho)는 “커넥티드 소프트웨어와 하드웨어를 자동차 산업이 지나치게 빠르게 도입한 것의 부작용”이라고 설명한다. “자동차 업체들은 고객들에게 날마다 새로운 기능을 제공하려고 애쓰고 있습니다. 하지만 ‘보안 기능’에는 판매자나 소비자나 관심이 없습니다. 동시에 이들이 추가하는 새 기능들은 전부 공격자들의 침투 통로가 되고 있다.
“자동차가 이제는 그냥 차가 아닙니다. 바퀴 위에 만들어진 소프트웨어 플랫폼이죠. 공격의 변수가 급격히 늘어날 수밖에 없는 상황입니다.” 그의 이런 말은 미래에 대한 예언이 아니다. 위에서 언급한 뉴욕의 사례도 있지만 영국에서도 한 일당이 게임보이(Game Boy)와 똑같이 생긴 해킹 장비를 사용해 미쓰비시 아웃랜더 차량 30대를 훔쳐냈다가 덜미를 잡힌 바 있다. 30대가 도난당하는 데 걸린 시간은 불과 3개월이었다.
자동차만 문제인 것도 아니다. 차량이 ‘커넥티드화’ 되어서 생산되려며, 생산 시스템 역시 어느 정도 디지털화가 진행된 상태여야 한다. 그래서 생산 시스템과 사무소들이 공격을 받기도 한다. 랜섬웨어 공격으로 생산을 일시 중단해야 했던 르노와 혼다의 사례를 통해서도 잘 드러난 바다. 또한 첨단 차량으로 알려진 테슬라에서도 화이트햇 해커의 침투 및 차량 장악 사례가 있었다.
이는 자동차 산업의 판매자와 소비자 모두 ‘새로운 보안’에 대해 이해하기 시작해야 한다는 뜻이 된다. 이미 2020년만 해도 자동차 관련 해킹 및 도난 사고의 54.6%가 실제 범죄자들의 손에 의해 저질러졌다. 그 외 나머지는 화이트햇 해커들의 연구 행위와 관련된 것이었다고 업스트림 측은 설명한다. 극소수 자가 차량을 해킹한 사례도 있긴 하다. “그런 가운데 커넥티드 차량은 점점 늘어나고 있습니다. 이미 1/4이 커넥티드 기능을 가지고 있고, 2025년에는 8개 중 7개가 커넥티드 차량으로 분류될 것으로 전망됩니다.”
업스트림은 “자동차 보안은 운전자와 보행자의 생명과 직결된 문제이기 때문에 시급히 연구해야 할 분야”라고 강조한다. “여러 음주운전 사례에서 보듯 차량은 하나의 살상무기입니다. 음주운전자들이 잠재적 살인자이듯, 해킹 공격 가능성을 알고도 조치하지 않는 건 업계 전체가 살인을 방조하겠다는 것과 다름이 없습니다.”
업스트림의 수석 분석가인 토머 포랏(Tomer Porat)은 “앞으로는 차량 한 대 한 대의 해킹과 도난이 아니라 한꺼번에 다량의 차들을 침해하는 공격도 등장할 것”이라고 경고한다. 이미 이론적 가능성은 입증된 내용이다. “OEM 기업들의 IT 인프라를 통해 서버에 접근해 취약점을 익스플로잇 할 경우 일종의 공급망 공격 같은 게 가능하게 되고, 이 때문에 대량 침해도 일어날 수 있습니다.”
보안 업체 포인트프리딕티브(Point Predictive)의 수석 전략가이자 공동 창립자인 프랭크 맥켄나(Frank McKenna)는 “금융 사기의 가능성도 무시해서는 안 된다”고 말한다. “자동차는 값이 높은 제품입니다. 자동차 구매를 위한 각종 금융 상품과 대출 프로그램이 존재하기도 하고, 보험 상품도 수없이 많죠. 자동차 산업은 금융 업계와 깊숙하게 연결되어 있습니다. 자동차 해킹과 조작, 침해가 금융 사고로 이어지는 공격 시나리오도 충분히 현실적입니다.”
몰호는 “요즘 생산되는 커넥티드 차량은 대단히 많은 데이터를 생성한다는 것도 기억해야 한다”고 설명한다. “데이터를 많이 생성하면서 보유한 플랫폼이 통신망과 연결된 채로 바퀴를 타고 돌아다닌다니, 생각만 해도 위험한 게 느껴지지 않습니까? 우리는 데이터 사고도, 통신망 사고도, 심지어 차량 사고도 다 막지 못하고 있는 상태인데 말이죠. 기술 발전이라고 좋아만 할 게 아닙니다. 아직 해결하지 못한 과거의 과제들이 다시 한 번 엄청난 속도로 우리에게 다가오고 있는 것이기 때문입니다.”
3줄 요약
1. 커넥티드 차량 늘어나면서 자동차 범죄도 점점 디지털화.
2. 차량 도둑들 사이의 디지털화는 이미 막을 수 없는 물결.
3. 생산자와 소비자 모두 커넥티드 카의 위험성에 대해서도 이해해야 함.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 자동차가 점점 더 스마트폰처럼 변하고 있다. 점점 ‘커넥티드화’ 되어가고 있다는 뜻이다. 그러면서 자동차를 노리는 공격의 수법들도 다양해지고 있다. 벽돌로 유리창을 깨거나 옷걸이로 도어락을 ‘따는’ 것에서 무선 자동차 도어락 시스템 해킹을 통한 각종 디지털 요소 익스플로잇이 점점 늘어나는 추세다.
[이미지 = utoimage]
지난 9월 뉴욕 경찰은 자동차 도난을 전문으로 하는 일당을 검거한 바 있다. 이 일당은 보안 코드들을 인터넷에서 구매하여 자동차 스마트키를 복제하는 방법으로 차량을 훔쳐내고 있었다. 또한 일반 기계 엔지니어들이 사용하는 스캔 도구를 사용해 차의 시동 장치를 재프로그래밍 하기도 했다. 전자, 디지털 기술을 응용하여 물리적을 물건을 훔쳐내는 범죄자들을 만난다는 게 그리 어렵지 않은 세상이 됐다.
보안 업체 업스트림(Upstream)의 부회장인 가이 몰호(Guy Molho)는 “커넥티드 소프트웨어와 하드웨어를 자동차 산업이 지나치게 빠르게 도입한 것의 부작용”이라고 설명한다. “자동차 업체들은 고객들에게 날마다 새로운 기능을 제공하려고 애쓰고 있습니다. 하지만 ‘보안 기능’에는 판매자나 소비자나 관심이 없습니다. 동시에 이들이 추가하는 새 기능들은 전부 공격자들의 침투 통로가 되고 있다.
“자동차가 이제는 그냥 차가 아닙니다. 바퀴 위에 만들어진 소프트웨어 플랫폼이죠. 공격의 변수가 급격히 늘어날 수밖에 없는 상황입니다.” 그의 이런 말은 미래에 대한 예언이 아니다. 위에서 언급한 뉴욕의 사례도 있지만 영국에서도 한 일당이 게임보이(Game Boy)와 똑같이 생긴 해킹 장비를 사용해 미쓰비시 아웃랜더 차량 30대를 훔쳐냈다가 덜미를 잡힌 바 있다. 30대가 도난당하는 데 걸린 시간은 불과 3개월이었다.
자동차만 문제인 것도 아니다. 차량이 ‘커넥티드화’ 되어서 생산되려며, 생산 시스템 역시 어느 정도 디지털화가 진행된 상태여야 한다. 그래서 생산 시스템과 사무소들이 공격을 받기도 한다. 랜섬웨어 공격으로 생산을 일시 중단해야 했던 르노와 혼다의 사례를 통해서도 잘 드러난 바다. 또한 첨단 차량으로 알려진 테슬라에서도 화이트햇 해커의 침투 및 차량 장악 사례가 있었다.
이는 자동차 산업의 판매자와 소비자 모두 ‘새로운 보안’에 대해 이해하기 시작해야 한다는 뜻이 된다. 이미 2020년만 해도 자동차 관련 해킹 및 도난 사고의 54.6%가 실제 범죄자들의 손에 의해 저질러졌다. 그 외 나머지는 화이트햇 해커들의 연구 행위와 관련된 것이었다고 업스트림 측은 설명한다. 극소수 자가 차량을 해킹한 사례도 있긴 하다. “그런 가운데 커넥티드 차량은 점점 늘어나고 있습니다. 이미 1/4이 커넥티드 기능을 가지고 있고, 2025년에는 8개 중 7개가 커넥티드 차량으로 분류될 것으로 전망됩니다.”
업스트림은 “자동차 보안은 운전자와 보행자의 생명과 직결된 문제이기 때문에 시급히 연구해야 할 분야”라고 강조한다. “여러 음주운전 사례에서 보듯 차량은 하나의 살상무기입니다. 음주운전자들이 잠재적 살인자이듯, 해킹 공격 가능성을 알고도 조치하지 않는 건 업계 전체가 살인을 방조하겠다는 것과 다름이 없습니다.”
업스트림의 수석 분석가인 토머 포랏(Tomer Porat)은 “앞으로는 차량 한 대 한 대의 해킹과 도난이 아니라 한꺼번에 다량의 차들을 침해하는 공격도 등장할 것”이라고 경고한다. 이미 이론적 가능성은 입증된 내용이다. “OEM 기업들의 IT 인프라를 통해 서버에 접근해 취약점을 익스플로잇 할 경우 일종의 공급망 공격 같은 게 가능하게 되고, 이 때문에 대량 침해도 일어날 수 있습니다.”
보안 업체 포인트프리딕티브(Point Predictive)의 수석 전략가이자 공동 창립자인 프랭크 맥켄나(Frank McKenna)는 “금융 사기의 가능성도 무시해서는 안 된다”고 말한다. “자동차는 값이 높은 제품입니다. 자동차 구매를 위한 각종 금융 상품과 대출 프로그램이 존재하기도 하고, 보험 상품도 수없이 많죠. 자동차 산업은 금융 업계와 깊숙하게 연결되어 있습니다. 자동차 해킹과 조작, 침해가 금융 사고로 이어지는 공격 시나리오도 충분히 현실적입니다.”
몰호는 “요즘 생산되는 커넥티드 차량은 대단히 많은 데이터를 생성한다는 것도 기억해야 한다”고 설명한다. “데이터를 많이 생성하면서 보유한 플랫폼이 통신망과 연결된 채로 바퀴를 타고 돌아다닌다니, 생각만 해도 위험한 게 느껴지지 않습니까? 우리는 데이터 사고도, 통신망 사고도, 심지어 차량 사고도 다 막지 못하고 있는 상태인데 말이죠. 기술 발전이라고 좋아만 할 게 아닙니다. 아직 해결하지 못한 과거의 과제들이 다시 한 번 엄청난 속도로 우리에게 다가오고 있는 것이기 때문입니다.”
3줄 요약
1. 커넥티드 차량 늘어나면서 자동차 범죄도 점점 디지털화.
2. 차량 도둑들 사이의 디지털화는 이미 막을 수 없는 물결.
3. 생산자와 소비자 모두 커넥티드 카의 위험성에 대해서도 이해해야 함.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-10-02] 
