BYD 차량 소프트웨어에 사이버 보안 무방비

중국 전기차 업체 BYD는 국내 자동차 사이버보안 관리체계(CSMS) 인증을 통과했지만, 씨라이언 7과 돌핀 등 개별 차량의 보안 수준은 검증되지 않았다. 현행 제도가 제조사의 보안 관리체계만 심사할 뿐 실제 차량의 해킹 취약점이나 데이터 처리 실태는 확인하지 않기 때문이다. 해외 커넥티드카 판매가 확대되면서 차량 보안과 데이터 관리에 대한 정부의 감독체계를 강화해야 한다는 요구가 잇따르고 있다.

BYD코리아는 지난해 12월 한국교통안전공단으로부터 CSMS 인증을 취득했다. CSMS는 자동차 제조사가 차량의 개발부터 운행까지 전 과정에서 사이버보안 위협을 관리하고 대응할 수 있는 체계를 갖췄는지 심사하는 제도다. 국내에서 신규 차종을 판매하려는 완성차 업체는 의무적으로 해당 인증을 받아야 한다.

CSMS는 소프트웨어 중심 자동차(SDV) 전환과 커넥티드카 확산에 따른 사이버보안 위협에 대응하기 위해 도입됐다. 커넥티드카는 차량 위치와 운행 정보 등 이용자 데이터를 수집·활용하며 다양한 서비스를 제공한다. 차량과 외부 네트워크 간 데이터 교환이 늘어나면서 개인정보 유출에 대한 우려도 커지고 있다.

현행 CSMS 심사 대상은 제조사 보안 관리체계에 한정돼 개별 차량의 사이버보안 수준은 검증하지 않는다. 각 차종의 통신망에 해킹 취약점이 있는지, 수집된 정보가 외부로 유출될 위험은 없는지 등을 실차 검증을 통해 확인하지 않은 채 인증이 이뤄지는 구조다. 국토교통부에 따르면 CSMS 인증 이후 실제 차량을 대상으로 사이버보안 요소를 검증한 사례도 아직 없다.

국토부 관계자는 동행미디어 시대와의 통화에서 "BYD나 테슬라 등도 제조사 인증만 거친 케이스"라며 "자율주행차와 커넥티드카에 대한 실차 검증을 강화하고 관련 법령을 개선하는 방안을 검토하고 있다"고 말했다.

엄태영 국민의힘 의원도 지난달 8일 국정감사에서 한국교통안전공단에 BYD 차량의 사이버보안 실차 검증을 요구했다. 엄 의원은 미국이 중국·러시아와 연계된 커넥티드카 기술을 공급망과 국가안보 차원에서 관리하는 데 비해 한국은 제조사 설명만 믿고 있다고 지적했다. 이에 정용식 한국교통안전공단 이사장은 "매년 20건 정도 실시하는 자기인증 적합조사에 포함해 실차 조사를 진행하려고 준비하고 있다"고 답했다.

차량 데이터 관리·감독에도 사각지대가 존재한다. 해킹 등 사이버보안은 국토부가, 개인정보의 국외 이전은 개인정보보호위원회가 각각 담당하고 있다. 국토부는 CSMS 인증을 주관하지만, 실제 차량 데이터의 해외 전송 여부를 점검할 법적 권한이나 제도적 근거가 없다. 중국을 비롯한 해외 본사가 국내 차량의 정보를 무단으로 수집하거나 접근하더라도 이를 파악하기 어렵다.

개인정보위의 차량 데이터 국외 이전 점검도 초기 단계다. 개인정보위는 현재 지커를 포함한 국내외 커넥티드카 업체 7곳의 개인정보 처리 실태를 조사하고 있다. 국내에서 보안 인증을 거쳤더라도 제조사의 개인정보 처리방침과 실제 데이터 처리 내역이 일치하는지는 별도로 확인해야 한다.

정부가 차량 데이터 보안 강화에 나섰지만 실효성에는 한계가 있다는 평가가 나온다. 지난달 23일 국토부가 발표한 자율주행 규제 합리화 방안에는 자율주행 서비스 사업자에 데이터 국내 보관 의무를 부과하고, 국외 이전 시 별도 허가를 받도록 하는 내용이 담겼다. 일반 소비자에게 판매되는 커넥티드카는 이번 의무화 대상에서 빠져 실차 검증 확대와 데이터 관리체계 보완 필요성이 제기된다.

전문가들은 자동차 사이버보안에 대한 사회적 인식 부족과 부처별로 분산된 권한이 위기 대응을 가로막고 있다고 짚었다. 박춘식 아주대 사이버보안학과 교수는 "자동차의 전자제어장치(ECU)가 해킹되면 차량 위치와 카메라 영상 등 개인정보가 유출될 위험이 있지만, 자동차 사이버보안에 대한 사회적 인식은 아직 부족하다. 정부 정책에도 이러한 영향이 반영되고 있는 것으로 보인다"고 말했다.

이호근 대덕대 자동차학과 교수 역시 자동차 해킹 피해 사례가 많지 않아 안일한 대응이 이어지고 있다고 봤다. 이 교수는 "차량 데이터 관리와 관련한 국토부와 개인정보위의 권한을 일원화하고, 자동차 특성에 맞는 관리 기준을 강화해야 해킹 피해를 예방할 수 있다"고 설명했다.