보안2026. 11. 3. 오후 12:53 UTC·2 분 소요

러시아 Li Auto 차주 마스터 계정 대량 탈취 피해 확산

러시아 Li Auto 차주들의 마스터 계정이 대량 탈취됐다. 시동이 걸리지 않고 화면이 꺼지며, 범인은 3만 5천~4만 5천 루블을 요구한다.

A Li Auto electric SUV parked on a street with a dark dashboard screen, illustrating a car locked after a master account takeover. — 이미지: Хабр

SUMO

Dialo

ediviewer

러시아의 Li Auto(리샹) 차주들이 마스터 계정이 대량으로 탈취되고 있다고 알렸다. 유통사 Sinomach Auto에 따르면 피해 차량은 시동이 걸리지 않고, 실내 화면이 꺼지며, 공조 장치 등 여러 기능이 작동하지 않는다.

범인은 마스터 계정을 장악한 뒤 차주에게 연락해 계정 접근권을 돌려주는 대가로 몸값을 요구한다. 러시아와 CIS 국가의 Lixiang 차주 클럽 공동 창립자 알렉산드르 랏스카조프는 현재 확인된 피해자가 최소 20명이라고 밝혔다. 그는 범인들이 유출된 보험 데이터베이스로 VIN을 추적하는 것으로 추정한다.

작년과 달라진 수법

마스터 계정은 차주의 핵심 디지털 프로필로, 차량의 열쇠 역할을 한다. Li Auto 앱으로 잠금장치, 공조, 엔진, 지능형 기능, 안전 시스템을 제어할 수 있다.

지난여름에도 계정 탈취가 급증했는데, 당시에는 WeChat에서 Esender로 등록한 SIM 카드의 만료가 원인이었다. 이 SIM은 차주의 해외여권에 연결되며, 차량 구매 시 마스터 계정이 여기로 전달된다. 랏스카조프는 "이제는 Esender를 정면으로 노린다. 요금을 제대로 낸 번호의 계정도 Li Auto의 정식 기능만으로 탈취된다"고 설명했다. 몸값은 작년 20만~~25만 루블에서 3만 5천~~4만 5천 루블로 내려갔다. 그는 일회성 협박이 아니라 물량을 노린 컨베이어식 범죄라고 지적했다.

침입 경로로는 무차별 대입 방식의 비밀번호 추측, 중국 내 차주 정보 유출, 앱 설치·러시아어화·펌웨어 변경을 해 주는 수상한 업체에 아이디와 비밀번호를 넘기는 경우가 꼽힌다.

제조사 대응

Sinomach Auto는 Li Auto가 이 문제에 특별한 관심을 기울일 것이라고 밝혔다. 양사는 계정 보호와 정당한 차주의 접근 복구 방안을 함께 마련 중이며, 차주 인증과 안전한 복구 절차도 개발하고 있다. 중국 전화번호에 묶인 계정을 이메일 주소로 옮기는 절차로, 2026년형 Li Auto 차주에게는 이미 도입됐다. 공식 수입 차량과 병행수입 차량에도 확대하겠다고 약속했다.

랏스카조프는 몸값을 내지 말고 경찰에 신고하라고 권고했다. 확실한 방어책은 없지만 마스터 계정의 번호 연결 상태 확인, Esender 비밀번호 변경, SMS 코드 비공개, 앱의 이상 동작 기록을 조언했다.