자동차 해킹, 취약점은 줄었지만 공격은 앱·클라우드로

자동차 소프트웨어의 알려진 보안 취약점은 2019년 이후 줄고 있습니다. 그러나 예테보리대와 찰머스공대 연구진은 안심할 상황이 아니라고 지적합니다. 공격이 들어오는 경로의 성격이 달라졌기 때문입니다.

연구진은 2022~2024년에만 문서화된 취약점 413건을 확인했습니다. 많아 보이지만, 이전 조사에서는 2019년 한 해에만 363건이 기록됐습니다.

차량 밖 서비스가 표적

제1저자 스리지타 바수는 10년 전에는 취약점 대부분이 차량 자체 시스템에서 발견됐다고 설명합니다. 지금은 앱, 웹사이트, 클라우드 서비스에서 발견되는 비중이 거의 3배로 늘었다는 것입니다. 이런 데이터에서는 거주지, 직장, 취미, 자녀의 학교 같은 개인정보가 드러날 수 있습니다. 2024년 Volkswagen에서도 비슷한 사례가 있었습니다.

논문에 따르면 그동안 중요도가 낮다고 여겨진 인포테인먼트와 텔레매틱스 시스템이 차량 내 민감한 네트워크로 가는 다리 역할을 하는 경우가 많습니다. 원인은 대체로 서드파티 소프트웨어입니다. 2015년 Jeep Cherokee 해킹에서는 연구자들이 인포테인먼트를 통해 브레이크, 가속 페달, 도어록을 원격 조작했습니다.

바수는 설치 후 한 번도 바꾸지 않은 비밀번호처럼 기초적인 취약점이 많아 놀랐다고 밝혔습니다. 가장 취약한 제품은 오픈소스 도구 Grafana였고, 가장 흔한 공격 방식은 SQL 인젝션과 크로스사이트 스크립팅이었습니다. ingenieur.de는 근본 문제가 권한 검증 부재라고 짚었습니다. 로그인은 신원 확인일 뿐, 해당 사용자가 그 차량에 접근하고 기능을 실행할 권한이 있는지는 확인하지 않는다는 것입니다.

앞으로의 과제

영상 스트리밍이나 충전소와의 통신처럼 차량 연결이 늘수록 공격 표면도 커집니다. 바수는 이런 취약점이 오래전부터 알려진 웹·IT 업계에서 배우라고 제조사에 권고합니다. 운전자에게는 강력한 비밀번호 사용과 정기적인 소프트웨어 업데이트를 권합니다.