보안 뚫린 BMW, 어떻게 폭로되었나

BMW는 커넥티드 드라이브(ConnectedDrive)라는 이름으로 자동차와 IT 결합을 선도적으로 진행했던 기업입니다. 인터넷과 자동차가 연결될 수 있음을 실제로 보여줬고, 운전자가 입력하는 각 종 정보를 통해 최적의 운전환경을 만들어주는 재밌는 기능들이 포함돼 있죠. 

현재 도로 상황이 어떤지 읽어주는 내비게이션 기능부터 응급전화 서비스, 그리고 사회관계망 서비스와 이메일을 확인할 수 있는 기능 등이 가능하게 됐습니다. 특히 스마트폰이 등장하면서 운전자는 차 안 뿐만 아니라 차 밖에서도 자신의 자동차 상태를 파악할 수 있게 되었죠. 심지어 스마트폰으로 차 문을 열고 닫으며 에어컨과 난방 장치를 켜고 끌 수 있게 됐습니다. 

여러분이나 저는 자동차가 기계적 사물에서 로봇화 되어가는 과정을 목격하고 있는 겁니다. 하지만  IT화 되고 있는 자동차는 '보안'이 필수적 해결 과제가 됐습니다. 많은 사람들이 이구동성 이야기하고 있는 부분이고, 제조사들 역시 IT 최고 인재들을 데리고 안전한 차를 만들기 위해 노력하고 있습니다. 하지만 100% 안심할 수 없음이 이번 BMW 커넥티드 드라이브 해킹 위험 노출 사건으로 다시금 확인됐습니다.

사진=BMW

▶우연히 찾아낸 구멍

최근 독일의 운전자클럽 아데아체(ADAC)는 깜짝 놀랄 만한 소식을 자신들의 홈페이지에 올렸습니다. BMW의 네트워킹 서비스 커넥티드 드라이브가  해킹을 당할 수 있는 취약점이 발견되었다는 내용이었는데요. 2010년 3월부터 2014년 12월까지 생산된 BMW, 미니, 그리고 롤스로이스 등 그룹 내 모든 브랜드 약 220만대 차량이 이에 해당된다고 밝혔습니다. 

BMW 커넥티드 드라이브는 심카드와 소프트웨어를 이용해 정보를 주고 받는데 이 심카드 정보가 해커들에 의해 탈취될 수 있었던 거죠. 특히 스마트폰을 이용할 때 해킹이 일어날 수 있는 상황이었습니다. 실제로 아데아체가 제공한 동영상에 보면 IT 전문가가 키보드 몇 번 두드리니 닫혀 있던 차 문이 열렸습니다. 이 작업을 위해선 우리 돈 100만 원 정도의 프로그램만 구입하면 된다는 게 아데아체의 얘기였습니다.

독일 언론들은 이 문제를 심각하게 다뤘고, 보안과 관련한 다양한 기사들이 올라왔습니다. 우리 언론에서도 이 해킹 위협 소식을 전하기는 했지만 몇 가지 추가해야 할 뒷 얘기가 있어 그 점도 이야기를 해드리겠습니다. 사실 아데아체는 처음부터 커넥티드 드라이브 보안 테스트를 하던 게 아니었습니다. 어떤 정보를 자동차와 스마트폰이 주고 받는지를 분석하던 중우연히 보안의 구멍이 있다는 걸 찾아낸 겁니다. 

그리고 이 정보를 아데아체는 이미 작년 7월 BMW 측에 전달을 했습니다. 물론 BMW는 아데아체가 알려주기 전까지는 보안에 구멍이 이렇게 있으리라곤 전혀 생각 못하고 있었죠. 부랴부랴 대응팀을 가동했고, 1월 말까지 소프트웨어 업그레이드를 통해 이 문제를 해결했다고 밝혔습니다. 

해킹 위협에 해당되는 BMW 그룹 내 차량들을 아데아체는 홈페이지에 올려 놨습니다. 자료=아데아체 홈페이지 캡쳐

하지만 오랫동안 인터넷 연결이 어려운 지하 주차장에 세워진 차량이나, 아니면 배터리가 분리되어 있는 자동차의 경우는 제조사의 자동 업그레이드 조치를 받을 수 없기 때문에 회사측에 연락을 취해 후속 조치를 받아야 한다고 BMW 측에선 안내를 한 상태입니다. 

▶BMW의 아쉬운 대응

이런 문제는 사실 제조사 입장에선 조용히 처리를 하고 싶었을 겁니다. 운전자가 어떤 조치를 취하지 않아도 되는 자동 업그레이드 방식으로 해결할 수 있는 문제였으니 더 그랬겠죠. 하지만 아데아체가 어떤 이유에선지 이 문제를 공개해 버렸고, 결과적으로 BMW는 숨길 의도가 없었더라도 몰래 처리하려다 문제가 폭로된 모양새가 되어 버렸습니다. 

아데아체는 BMW가 문제 해결책을 마련했기 때문에 공개를 한 것인지, 아니면 BMW가 이 사실을 숨긴 채 조용히 해결하려고 한 것이 못 마땅해 공개를 해버린 것인지는 정확히 모르겠지만 좀 더 솔직하게 제조사가 '어떤 문제가 있었는데 현재 해결이 된 상태다. 죄송하다' 라고 했으면 더 좋지 않았을까 싶네요.

'현재까지 이런 해킹 방식으로 차량이 도난되었다는 보고는 없다'라고 언론들이 전하고는 있지만 과연 이를 어떻게 장담할 수 있을까요. 보안 취약점이 제조사의 입을 통해 드러난 게 아니라 아데아체를 통해 공개가 됨으로써 운전자들의 BMW를 향한 불신은 더 커질지도 모릅니다. 첨단 기술력도 중요하지만 적극적이고 솔직한 대응이 얼마나 중요한 것인지를 생각했어야 합니다.

어쨌든 BMW는 이번 일을 통해 더 보안 문제에 힘을 쓸 것으로 보입니다. 또, 다른 제조사들 역시 자동차 보안을 강화하는 계기로 삼을 것입니다. 당연히 그래야 하겠고요. 자동차가 우리의 삶을 풍요롭고 즐겁고 편리하게 발전하는 것 만큼, 그와 비례해 안전한 자동차가 되어 주어야 한다는 되씹어 봤음 합니다 편리함과 안전이라는 바퀴가 함께 구르지 못한다면 그 차는 결국 사고가 날 수밖에 없겠죠? (아데아체 같은 자동차 클럽을 가지고 있는 독일이 새삼 부럽게 느껴집니다)

사진=BMW