美 차량 200만대, 카르 알람 블루투스로 문 열고 시동까지 꺼진다

미국에서 판매된 차량 약 200만 대에 설치된 애프터마켓 알람 시스템 카르 시큐리티 시스템(KARR Security System)에서 블루투스 취약점이 발견됐다. UC샌디에이고(UC San Diego) 연구팀은 블루투스 범위 안에 있는 누구나 이 알람에 무선 명령을 보내 차량 문을 몰래 열고, 경적을 울리거나 조명을 켜고, 심지어 시동을 꺼버릴 수 있다는 사실을 확인했다. 문제는 이 알람이 차량 소유주가 직접 구매하지 않았는데도 딜러가 미리 설치해둔 경우가 많다는 점이다. 이 제품을 판매하는 아크리슈어 프로텍션 그룹(Acrisure Protection Group)은 월요일(현지시각) 취약점을 해결하는 펌웨어 업데이트를 배포했다고 밝혔지만, 신고 이후 패치가 나오기까지는 18개월이 걸렸다.

블루투스 범위 안이면 누구나 차량을 조종

UC샌디에이고 연구팀이 발견한 취약점은 카르 시큐리티 시스템의 블루투스 통신 방식에 있다. 이 연구를 이끈 아론 슐먼(Aaron Schulman) UC샌디에이고 컴퓨터공학 교수는 와이어드(Wired)에 “이 시스템은 딜러들이 차량에 추가로 장착하는 것인데 불행히도 심각한 취약점이 있어 누구나 이 차량들에 접근할 수 있게 됐다”고 말했다. 그는 “차량을 더 안전하게 만들기 위해 설계된 장치가 오히려 취약점을 만들어냈고, 수백만 대의 차량에서 즉시 패치돼야 하는 상황”이라며 “자신의 차에 이 장치가 있는지 확인하고 직접 패치를 진행해야 한다”고 강조했다.

와이어드에 따르면 해커가 카르(Karr) 알람이 설치된 차량 인근 블루투스 범위에 들어오면 문을 몰래 열거나 알람을 끄고, 경적을 울리거나 조명을 깜빡이게 만들 수 있다. 더 심각한 것은 시동 자체를 꺼버려 운전자를 도로 한복판에 멈춰서게 만들 수도 있다는 점이다. 더 드라이브(The Drive)는 UC샌디에이고의 한 교수가 이 취약점을 지금까지 나온 것 중 “가장 심각한(probably the worst)” 차량 해킹 위협으로 평가했다고 전했다.

산 적 없어도 내 차에 설치돼 있다

카르 알람은 원래 자동차 제조사나 차주가 아니라 딜러가 매장 재고 차량의 도난을 막기 위해 설치하는 애프터마켓 장비다. 와이어드는 이 알람이 딜러 매장에 있는 동안 도난 방지용으로 쓰이지만, 실제 차량이 판매된 뒤에도 대부분 제거되지 않는다고 전했다. 구매자가 알람 기능에 별도 요금을 내지 않기로 해도 장치 자체는 차량에 그대로 남아있는 경우가 많다는 얘기다.

결국 미국 전역의 많은 차주가 자신이 구매하지 않았고 존재조차 몰랐던 해킹 가능한 장치를 차량 깊숙한 곳에 지닌 채 운전하고 있는 셈이다. 더 드라이브는 차량에 카르 장치가 있는지 확인하는 방법으로 운전석 쪽 창문에 “Karr” 또는 “SWDS”라고 적힌 스티커가 붙어 있는지 살펴보라고 안내했다. 스티커가 없어 확신이 안 서면 차량을 구매한 딜러에게 직접 문의하는 것도 방법이라고 덧붙였다.

회사는 “위험 낮다”지만 패치엔 18개월

아크리슈어 프로텍션 그룹 측은 이번 취약점이 실제로는 큰 위협이 아니라는 입장이다. 회사 관계자는 와이어드에 “UC샌디에이고 연구에서 설명된 취약점은 매우 복잡하며 실제 환경에서 고객에게 미치는 위험은 낮다”면서 “그럼에도 신속하게 대응해 이 문제를 해결하는 펌웨어 업데이트를 개발했다”고 말했다.

다만 더 드라이브는 이 “신속한” 대응이 실제로는 신고 이후 패치가 나오기까지 18개월이나 걸렸다는 점을 짚었다. 연구팀은 아직 업데이트를 설치하지 않은 카르 장착 차량을 상대로 적절한 소프트웨어만 있으면 얼마나 쉽게 조작할 수 있는지 와이어드에 직접 시연해 보이기도 했다. 회사는 패치가 나온 이후에도 딜러들과 협력해 영향을 받는 차주들에게 개별적으로 알릴 계획이라고 밝혔다.

차주가 지금 해야 할 일

패치는 누구나 내려받을 수 있는 전용 스마트폰 앱을 통해 설치할 수 있다. 유료 구독 여부와 관계없이 앱을 내려받아 업데이트를 진행할 수 있다는 점이 특징이다. 더 드라이브는 알람 기능을 유료로 구독하지 않은 차주라도 앱을 통해 패치를 받을 수 있다고 전했다.

전문가들은 차량 소유자들에게 운전석 창문의 스티커부터 확인하라고 권고한다. 카르 장치가 설치돼 있다면 곧바로 앱을 내려받아 펌웨어를 최신 버전으로 업데이트해야 한다. 슐먼 교수의 지적대로 차량이 갈수록 소프트웨어로 움직이는 만큼, 차주들도 스마트폰이나 노트북처럼 보안 업데이트를 직접 챙겨야 하는 시대가 됐다는 점을 이번 사례가 보여준다.