이미지 크게보기 게티이미지뱅크

■ What - 커넥티드카

차-집-회사-도로시스템 연결
내비·자율주행 기능 등 제공

지프·테슬라 해킹 사건 발생
유엔 사이버 보안 기준 수립
한국은 SW 관리 의무 법제화
미국은 중국·러시아산 금지령

미국 상무부가 연초부터 중국·러시아산 소프트웨어나 부품을 사용하는 자동차의 판매를 단계적으로 금지하는 최종 규제를 발표하며 소위 ‘움직이는 스마트폰’으로 불리는 커넥티드카에 대한 관심이 높아지고 있다.

커넥티드카란 무선인터넷으로 주변과 정보를 주고받으며 내비게이션·자율주행·운전자보조시스템 등의 기능을 제공하는 차량을 말한다. 미국은 오래전부터 중국산 부품을 사용한 커넥티드카가 국가 안보에 위협이 될 수 있다는 이유로 관련 부품의 수입을 제한하는 방안을 추진해 왔다. 중국이 해킹을 통해 자국산 소프트웨어와 하드웨어를 사용한 커넥티드카를 원격 조종하거나, 미국의 인프라·운전자에 대한 정보를 수집할 가능성을 우려한 것이다.

이번 최종 규제에 따라 중국·러시아산 소프트웨어가 장착된 차량은 2027년식 모델부터, 하드웨어가 들어간 차량은 2030년식 모델부터 미국 내에서 판매가 금지된다. 중국·러시아 관련 기업이 커넥티드카를 미국에서 생산하더라도 판매할 수 없다.

이미지 크게보기

◇모든 것과 연결되는 ‘똑똑한 차’ 커넥티드카 = 커넥티드카는 V2X(Vehicle-to-Everything) 교류를 위한 차량인터넷이 가능한 자동차를 뜻한다. 세부적으로 보면 차량과 차량(V2V), 차량과 인프라(V2I), 차량과 집·사무실(V2H·V2O), 차량과 광대역 클라우드·센서(V2B·V2S), 차량과 모바일 디바이스(V2D) 간 정보 교류를 통해 이용자에게 사고·충돌 발생 경고, 교통 인프라·날씨 정보, 인포테인먼트 서비스 등의 기능을 제공한다. 최근 출시되는 차량 중 이런 기능을 일부라도 탑재하지 않은 차량은 사실상 없다고 볼 수 있다. 커넥티드카의 역사는 일반적으로 1996년 제너럴모터스(GM)가 사고 발생 시 응급 지원 요청을 무선통신으로 하는 기능을 차량에 넣으며 시작된 것으로 알려졌다. 이후 굴지의 자동차 제조사들이 에어컨·엔터테인먼트내비게이션을 넘어 원격 운행·사고 방지·자율주행 등의 분야로 영역을 확대하며 자동차는 소프트웨어 중심 차량(SDV)으로 진화하고 있다.

◇영화 속 장면 아닌 현실이 된 ‘차량 해킹’ 위험 = 자동차 관련 영화 중 널리 알려진 ‘분노의 질주’ 시리즈에는 ‘좀비 타임’으로 불리는 장면이 등장한다. 악당들이 자율주행차를 해킹해 주인공들을 공격하자 도로는 순식간에 아비규환으로 변한다. 과거에는 이 같은 장면이 영화 속 연출 정도로 여겨졌지만 이제는 현실에서도 얼마든지 일어날 수 있다. 자동차업계에 큰 충격을 안긴 동시에 차량 사이버 보안 시장의 문을 연 ‘2015년 지프 체로키 해킹 사건’이 대표적이다. 당시 미국의 화이트 해커 2명이 노트북을 이용해 체로키를 해킹하자 무려 16㎞ 떨어진 곳에 있던 차량이 그들에 의해 조작됐다. 해당 장면은 공개 시연을 통해 전 세계로 퍼져나갔고, 이로 인해 크라이슬러는 해킹 방지 차원에서 자동차 140만 대를 리콜했다. 해킹 대회와 시연 등을 통해 전기차 시장을 선도하고 있는 테슬라의 차량이 해킹된 사례도 잇따라 보고되고 있다.

시연이 아닌 보안 관리 소홀로 차량이 해킹된 사건도 있다. 2010년 미국 텍사스주 오스틴의 자동차딜러였던 오마르 라모스 로페스는 실적 저조로 해고되자 회사 온라인 시스템을 해킹해 약 100대의 고객 차량을 시동이 걸리지 않게 만들었다. 당시 해당 딜러사는 할부로 차량을 구매한 이용자가 장기 연체를 하거나 채무를 이행하지 않으면 원격으로 시동을 못 걸게 하는 시스템을 고객 동의하에 설치했는데, 로페스가 이 시스템을 해킹해 차량을 조작한 것이다.

2012년 영국에서는 신형 BMW 차량이 절도범 3명에게 해킹돼 3분 만에 도난당하는 사건이 발생했다. 절도범은 차량의 자가진단장치(OBD-Ⅱ)에 스마트폰과 노트북을 연결해 스마트키를 복제한 후 차를 훔친 것으로 확인됐다. OBD는 엔진을 포함한 자동차 부품 상태를 확인하고 스스로 진단하는 시스템인데, 오히려 해킹의 표적이 된 것이다.

이미지 크게보기

◇차량 사이버 보안 위한 글로벌 대응은 = 한국·일본·유럽연합(EU)·영국 등 주요국은 유엔유럽경제위원회(UNECE) 산하 자동차기준 국제조화 회의체 ‘WP.29’에서 제정한 사이버보안 관련 기준을 채택하고 있다. 구체적으로 사이버보안 관리체계(CSMS) 요구사항인 ‘UNR155’와 소프트웨어 업데이트 관리체계(SUMS) 요구사항인 ‘UNR156’이 2021년 1월에 발효됐다. 이에 따라 지난해 7월부로 사이버보안 관리체계 인증을 받은 조직으로부터 생산돼 사이버보안에 관한 차량형식승인(VTA)을 확보한 차량만이 유럽 시장에 수출이 가능하다.

사이버보안 기준의 핵심은 자동차 제조·생산·관리·폐기에 이르는 전 주기에 걸쳐 철저한 관리 체계 운영을 요구한다는 점이다. 이는 과거와는 달라진 자동차 제품의 특성을 반영한 것이다. 기존 자동차는 차량 출시 이후 기능 업그레이드가 거의 없어 소모품만 교환해주면 생명주기를 다했지만, 커넥티드카로 불리는 최신 차량은 소프트웨어 업데이트를 통해 차량의 기능을 추가·변경할 수 있는 구조다.

우리나라는 2020년 12월에 UNR155를 기반으로 ‘자동차 사이버보안 가이드라인’을 제정했고, 지난해 ‘자동차관리법’을 개정했다. 자동차 제작사의 사이버보안 관리체계 수립·인증과 소프트웨어 업데이트 안전관리를 의무화하는 조항을 신설해 UNR의 사이버보안 요구사항을 법제화했다. 임강빈 순천향대 정보보호학과 교수는 “자동차를 중심으로 하는 양방향 사이버보안 위협은 기술의 발전과 함께 계속해서 진화할 것”이라며 “한국 자동차산업의 경쟁력을 더욱 강화하기 위해서는 글로벌 규제를 넘어서서 사이버보안 위협 발굴·대응 기술에 대한 보다 선제적이고 다각적인 접근이 필요하다”고 말했다.

이근홍 기자 lkh@munhwa.com