“바퀴 달린 정보 수집 장치” 中 커넥티드카 보안 위협 현실화, 군사시설부터 산업 현장까지 출입 통제 확산

독일·미국·영국·폴란드 등 주요국 군대, 中 커넥티드카 통제 심화
정보 수집 및 전송·원격 해킹 위험 가시화, 취약점 잇달아 확인
민간 기업도 중국산 차량 출입 제한 나서, 경계심 확산 전망

독일군이 첨단 센서를 탑재한 중국산 차량의 군사시설 출입을 제한하기로 했다. 차량에 장착된 카메라·레이더·마이크와 통신 모듈을 통해 시설 내 민감한 정보가 수집·전송될 수 있다는 우려에서다. 이러한 통제 기조는 미국·영국·폴란드 등 주요국에서도 빠르게 확산하고 있다. 다수의 보안 조사와 실험을 통해 중국산 커넥티드카의 데이터 외부 전송 및 원격 접근 가능성이 확인되자, 각국의 경계 수위 역시 나날이 높아져 가는 모습이다.

독일·미국, 中 차량 군사시설 출입 제한

11일(현지시각) 블룸버그통신은 관계자를 인용, 독일 연방군이 첨단 카메라, 레이더, 마이크 등 센서를 탑재한 특정 중국산 차량의 출입을 금지했다고 보도했다. 군사 기지와 훈련장 내 중국산 상용 무인기(드론) 사용 역시 전면 중단됐다는 전언이다. 이는 독일 군사방첩국(MAD)이 앞서 진행한 비공개 보안 조사에서 '드론과 차량이 수집한 신호를 통해 민감한 군사 정보가 중국 정보기관으로 유출될 수 있다'는 우려가 제기된 데 따른 조치다. 해당 사안과 관련해 독일 국방부는 "보안 위험을 초래하는 센서를 장착한 대상을 중심으로 기지 진입과 주차를 통제하고 관련 세부 지침을 마련하고 있다"고 설명했다.

이처럼 군사시설 내 중국산 차량의 사용을 제한하는 국가는 독일뿐만이 아니다. 앞서 미 국방부는 지난 6월 비야디(BYD)를 중국군과 연계된 기업 명단에 올리며 경계 수위를 높인 바 있다. 지난달 26일에는 일본 오키나와 가데나 주일미군 공군기지에서 BYD 차량의 출입이 전면 차단되기도 했다. 차량에 탑재된 카메라와 각종 센서, 위치정보시스템(GPS) 등을 통해 기지 내부의 전투기·레이더·탄약 저장 시설 위치와 군사작전 관련 정보가 새어 나갈 수 있다는 이유에서다. 가데나 기지는 중국과 대만해협에 인접한 미군의 핵심 항공 작전 거점이다.

영국·폴란드군도 유사 조치 내놔

영국군도 일부 주요 군사시설에서 중국산 차량의 출입을 통제하고 있다. 영국 현지 언론 보도를 종합하면, 케임브리지셔에 위치한 영국 공군 정보기지 RAF 와이턴은 지난해 중국산 부품이 탑재된 전기차를 주요 군사 정보 시설에서 최소 2마일(약 3.2㎞) 떨어진 곳에 주차하도록 하는 자체 보안 지침을 시행했다. 영국 해군 특수부대 시설인 RM 풀과 육군 특수부대 주둔지 스털링 라인스에서도 중국산 차량의 출입이 금지된 것으로 전해진다. 영국 국방부는 중국산 전기차를 이용하는 군 관계자들에게 차량 내부에서 기밀 대화를 나누거나 업무용 휴대전화를 차량 시스템에 연결하지 말라는 지침을 전달하기도 했다.

폴란드군 역시 지난 2월 중국산 차량의 군사시설 출입을 금지하는 방안을 발표했다. 중국산 차량의 위치·영상·음성 기록 등 정보 수집 기능을 비활성화하고 시설별 보안 요건을 충족한 경우에만 예외적으로 진입을 허용하는 형태다. 군 관계자가 업무용 휴대전화를 해당 차량의 인포테인먼트 시스템에 연결하는 행위도 금지되며, 각 부대 지휘관에게는 출입 제한 차량을 위한 군사시설 외부 주차 공간을 가능한 범위에서 확보하라는 지시가 내려졌다. 다만 군 병원, 진료소, 도서관, 군 검찰청, 주둔지 내 사교 시설 등 일반인에게 개방된 시설은 통제 대상에서 제외된다.

표1. 주요국 군사시설의 중국산 차량·드론 통제 현황

中 커넥티드카 위험성 부각

각국이 중국산 차량에 대한 경계를 강화하는 배경에는 실제 확인된 위험들이 자리하고 있는 것으로 풀이된다. 일례로 지난달 8일 노르웨이 경제지 다겐스 네링슬리브(DN)는 노르웨이군이 지난 9월 수도 오슬로와 인근 공항 일대에서 실시한 군사훈련 '외벨세 호베드스타드(Øvelse Hovedstad)'에서 중국산 전기차의 카메라가 군사시설 출입 암호, 병력 이동 경로 등을 기록했다고 보도했다. 문제의 차량은 렌터카 업체 허츠를 통해 임차한 것으로, 최소 2대가 중국 창안자동차 산하 전기차 브랜드 딥알의 제품이었다. 군 당국은 해당 영상을 삭제했으나, 데이터가 중국 등 외부로 전송됐는지는 확인하지 못했다.

관련 위험성을 보여주는 조사 결과도 잇따르고 있다. 호주에서는 지난 9월 공영방송 ABC의 탐사보도 프로그램 '포 코너스(Four Corners)'가 BYD의 플러그인하이브리드 차량 '샤크 6'에 대한 해킹 실험 결과를 공개했다. 사이버보안 업체 포티파이랩스의 댄 흐레슈추크 연구원은 차량 시스템에 접근한 뒤 외부 노트북을 이용해 주행 중인 차량의 전조등을 끄거나, 와이퍼를 작동시키고 문을 잠그는 데 성공했다. 차량의 실시간 이동 경로를 추적하고 내부 마이크를 통해 탑승자의 대화를 청취하는 기능도 시연했다. 다만 연구진은 사전에 차량에 직접 접근해 별도 소프트웨어와 장비를 설치했으며, BYD의 자체 통신망을 통한 원격 침입을 입증한 것은 아니라고 밝혔다.

데이터 외부 전송·원격 접근 가능성

스웨덴에서도 유사한 위협이 확인됐다. 2022년 10월 현지 자동차 전문 매체 비빌레가레(Vi Bilägare)와 스웨덴 왕립공과대학(KTH)이 공동 실시한 조사에서는 중국 상하이자동차(SAIC) 산하 MG의 전기 스포츠유틸리티차량(SUV) '마블 R'이 중국 텐센트 소유 서버와 지속적으로 통신하며 데이터를 전송했다는 사실이 드러났다. MG 측은 전송된 것이 차량 인포테인먼트 시스템에 탑재된 음악 애플리케이션의 오류 진단용 로그 데이터일 뿐이라고 해명했으나, 연구진은 전송된 자료의 구체적인 내용을 검증하지 못했다. 같은 해 11월 추가 조사에서는 해당 차량의 통신 포트 6개가 외부에 개방돼 있는 보안 취약점이 포착됐으며, MG 역시 포트가 열려 있다는 점을 인정하고 소프트웨어 업데이트를 통한 개선 방침을 공개했다.

노르웨이에서는 차량 운행 자체에 영향을 미칠 수 있는 원격 접근 기능이 발견되기도 했다. 지난해 10월 노르웨이 오슬로 대중교통 운영사 루터는 중국 위퉁의 전기버스와 네덜란드 VDL 전기버스를 비교한 보안 시험을 실시하고, 위퉁 차량에 제조사가 원격으로 소프트웨어를 업데이트하고 진단하는 기능이 탑재돼 있다고 발표했다. 제조사가 차량 제어 시스템에 디지털 방식으로 접근해 배터리, 전력 공급, 운행 등에 개입할 잠재적 위험이 존재한다는 분석이다. 반면 비교 대상인 VDL 차량에는 같은 방식의 원격 업데이트 기능이 없었다.

민간 시장도 '예의주시'

중국산 커넥티드카의 보안 위험이 점차 부각되는 가운데, 이에 대한 경계는 군사시설을 넘어 민간 기업의 생산 시설까지 확산하고 있다. 지난 3월 폴란드 에너지 기업 오를렌의 체코 자회사 오를렌 유니페트롤이 중국에서 생산된 모든 차량의 자사 산업시설 출입을 금지한 것이 대표적이다. 오를렌 유니페트롤 측은 내부 공지를 통해 중국산 차량의 첨단 데이터 수집 시스템, 센서, 통신 모듈이 국가 핵심 기반 시설에서 보안상 위험을 초래할 수 있다고 설명했다. 지난달에는 아셀산·로켓산·하벨산·TEI 등 4곳의 튀르키예 방산기업이 사업장 내부 시설의 촬영·지도화 가능성을 이유로 외국산 전기차의 출입을 제한하기도 했다.

시장에서는 향후 이러한 통제가 첨단 반도체 공장, 기업 연구소, 데이터센터 등으로 확대될 가능성도 거론된다. 커넥티드카는 주변 환경을 지속적으로 인식하는 데다, 통신망을 거쳐 수집한 정보를 전송하는 기능을 갖춘 만큼 대다수 시설에서 잠재적인 보안 위험 요소로 분류될 수밖에 없다는 진단이다. 여기에 제조사 서버나 차량 소프트웨어의 보안 취약점이 악용될 경우 차량 자체가 해킹의 경로로 활용될 수 있다는 점도 리스크 요인으로 꼽힌다. 차량에 대한 무단 접근이 이뤄지면 카메라·마이크를 통한 실시간 정보 수집은 물론, 저장된 데이터 탈취와 차량 기능의 원격 조작까지 가능해질 수 있다.