렌터카, 오슬로 공항 노르웨이 군사훈련 중 군 시설 출입문 코드 촬영

군인들, 차량 화면에서 민감한 영상 발견

노르웨이 군사훈련 중 사용된 딥알(Deepal) 렌터카 최소 2대가 군인들이 차량에 탑승하는 모습, 군 시설로 향하는 경로, 출입문이나 문을 여는 데 쓰이는 코드 등 민감한 활동을 녹화했다. 해당 녹화물은 9월 14일부터 18일까지 오슬로 공항에서 진행된 ‘오퍼레이션 캐피털’(노르웨이어로 Operasjon Hovedstad) 중 발견됐다.

차량에서 대기하던 향토방위군 병사들은 차량 내 화면을 살펴보다 영상을 찾았다. 대체 차량이 부족해 군은 훈련이 끝날 때까지 해당 차량을 계속 사용했다. 병사들은 녹화물을 발견한 뒤 삭제했다.

노르웨이 향토방위군 대변인인 페르 군나르 그로스베르그하우겐 중령은 차량 내부에서 녹화물이 발견된 사실을 확인했다.

네, 향토방위군 병사들이 차량 센서로 촬영돼 차량 시스템에 저장된 영상을 발견했습니다.

녹화물이 차량 외부로 전송됐는지는 알려지지 않았다. 그로스베르그하우겐은 중국을 포함한 제3자와 공유됐을 가능성을 배제할 수 없다고 말했다. 차량을 공급한 허츠 노르웨이는 고객 정보를 보호하고 노르웨이 및 유럽 법률을 준수한다고 밝혔다.

이번 사건은 현실적인 보안 문제 두 가지를 드러낸다. 일반 차량 카메라가 출입 제한 정보를 포착할 수 있고, 군 관계자들은 훈련 중 문제를 발견해도 다른 교통수단을 구하기 어려울 수 있다는 점이다. 노르웨이 군은 중국산 차량을 일괄 금지하기보다 특정 시설과 차량 성능에 맞춘 제한 조치를 선호한다고 밝혔다.

카메라에 포착된 내용

프레드리크 블랑크 중위는 누가 차량에 타고 내렸는지, 누가 운전했는지, 어디로 이동했는지, 동승자는 누구였는지, 특정 장소에 얼마나 머물렀는지를 보여주는 영상이 있었다고 설명했다. 일부 녹화물에는 군 시설에 들어가는 인원이 출입 코드를 입력하는 모습도 담겼다.

출입문 코드는 열쇠 역할을 하므로 특히 민감한 정보다. 출입구를 향한 카메라는 위치뿐 아니라 누군가 안으로 들어갈 때 사용하는 코드도 기록할 수 있다. 사람들의 출입 영상은 특정 인물과 특정 시설, 시간대를 연결해 일상적인 동선을 드러낼 수도 있다.

카메라는 계속 켜져 있던 기본형 대시보드 카메라로 설명됐다. 딥알은 차량 주변을 보여주는 카메라를 일반적으로 홍보하지만, 훈련에 사용된 정확한 차종은 공개되지 않았다. 이런 장비는 교통사고 상황을 기록하거나 운전자가 주변을 확인하는 데 도움이 될 수 있지만, 출입 제한 구역 주변의 활동까지 포착할 수 있다.

훈련이 끝난 뒤 약 3주가 지나 사건이 공개됐다. 주요 경과는 다음과 같다.

• 9월 14~18일: 노르웨이 관계자들이 오슬로 공항에서 진행된 오퍼레이션 캐피털 중 렌터카를 이용했다.
• 훈련 중: 차량 메뉴를 살펴보던 병사들이 민감한 활동이 담긴 저장 영상을 발견했다.
• 훈련 종료 전: 대체 차량이 부족해 관계자들은 녹화물을 삭제한 뒤에도 해당 차량을 계속 이용했다.
• 약 3주 후: 녹화물 관련 내용이 공개됐고, 향토방위군이 이를 확인했다.

차량 제조사와 공급사는 어디인가

중국 국영 자동차 제조사 창안이 딥알 차량을 생산한다. 렌터카 공급사는 퍼스트 렌터카 노르웨이 AS가 운영하는 허츠 노르웨이다. 볼보자동차가 해당 렌터카 사업을 지배하고 있으며, 볼보자동차는 지리 그룹의 지배를 받는다.

소유 관계가 중요한 이유는 제조사와 렌터카 운영사가 서로 다른 사업체이기 때문이다. 창안은 딥알 차량을 만들었다. 허츠 노르웨이는 지리와 연관된 회사를 통해 렌터카를 공급했다. 따라서 차량 장비, 대여 계약, 정보 처리와 관련해 각 사업체의 책임은 서로 다르다.

허츠 노르웨이의 마케팅·커뮤니케이션 책임자인 할바르드 네르보비크는 다음과 같이 밝혔다.

고객의 데이터는 안전하게 보호되고 있습니다.

네르보비크는 개인정보 공유에 관한 회사 규정도 설명했다.

명확한 법적 근거가 없는 한, 렌터카 이용과 관련된 개인정보를 자동차 제조사나 소유주, 기타 제3자와 공유하지 않습니다.

그의 답변에는 차량 내부 영상이 어떻게 처리됐는지, 전송됐을 가능성이 있는지에 대한 구체적인 설명은 없었다. 창안은 이번 사건에 관한 질문에 답하지 않았다.

노르웨이가 개별 시설별 제한을 선호하는 이유

노르웨이 군은 중국산 차량을 전면 금지하면 예상되는 보안상 이점에 비해 지나치게 큰 영향을 미칠 것이라고 밝혔다. 군이 선호하는 방식은 시설별로 위험을 평가하고, 필요하면 제조국과 관계없이 카메라와 센서가 장착된 차량의 출입을 제한하는 것이다.

이 접근법에서는 출입 허용 여부를 결정할 때 녹화 장비를 핵심 요소로 고려한다. 키패드를 촬영할 수 있는 카메라는 렌터카든 개인 차량이든 군용 차량이든 보안 출입문 주변에서 문제가 될 수 있다.

오퍼레이션 캐피털 중 대체 차량이 부족했던 점은 교통수단의 가용성이 보안 결정에 어떤 영향을 미치는지도 보여준다. 관계자들은 민감한 녹화물을 발견했지만, 훈련을 마치려면 해당 차량이 여전히 필요했다. 영상은 삭제했지만 차량은 계속 사용하는 방식으로 대응했다.

노르웨이의 전반적인 안보 평가를 보면 중국과 관련한 우려의 배경을 알 수 있다. 노르웨이 경찰보안국(PST)의 2026 국가위협평가는 중국 정보·보안 기관이 디지털 접근과 인적 정보원을 포함해 노르웨이에서 작전을 수행할 역량을 강화했다고 밝혔다. 정책 관련 보도에 따르면 이스라엘도 전년도에 중국산 차량의 군 기지 출입을 금지했다.

해당 평가에서 노르웨이 경찰보안국(PST)은 사이버 영역을 중국으로부터의 가장 큰 정보 위협으로 꼽았다. PST는 2026년 중국 정보기관이 정보를 수집하고 노르웨이의 디지털 기반 시설을 파악하며, 중국 공산당에 대한 비판을 억제하기 위해 노르웨이 내 집단과 개인을 위협할 것이라고 밝혔다.

PST는 노르웨이에서 중국의 정보 활동이 상업 사이버 업체와 개인을 통해 더 많이 이뤄질 것으로 전망한다. 중국의 보안·정보 기관은 사이버 작전을 직접 수행할 뿐 아니라 상업 업체에 비용을 지불해 대리 활동을 하게 한다. 이 업체들의 역할은 더 중심적인 위치를 차지하게 됐으며, 자체 정보원 네트워크를 모집하도록 장려받는 사례도 늘어 기관의 역량을 확대하고 있다.

중국 정보기관은 민감·기밀 정보를 얻기 위해 노르웨이 시민을 직간접적으로 포섭하려 하기도 한다. 학업이나 직장, 친구 또는 가족을 통해 중국과 연고가 있는 사람들은 정보기관이 보상을 제안하거나 압박을 가할 여지가 더 크기 때문에 더욱 노출될 수 있다. PST는 다른 서방 국가의 정보원을 통해 노르웨이 시민을 포섭하려는 시도도 예상한다.

노르웨이 북부 지역에서는 중국의 활동에 대한 감시와 정부의 국가안보 전략으로 중국 측 행위자들의 활동 여지가 좁아졌다. 그럼에도 PST는 중국 연구기관과 중국 보안·정보 기관을 대리하는 인물들의 은밀한 접근을 중심으로, 이 지역에 발판을 마련하려는 시도가 이어질 것으로 본다. PST는 연구·교육 분야를 이 지역에서 접촉과 협력을 모색할 수 있는 몇 안 되는 영역으로 평가한다.

평가 보고서는 중국이나 이란이 연구 시설과 전문가 공동체에 접근해 노르웨이의 연구개발 환경에서 기술을 확보하려 할 가능성도 경고한다. 중요 기반 시설에 중국 기술을 사용하면 정보 수집의 기회가 생긴다. 중국 기업은 중국 당국과 정보기관에 협조할 의무가 있기 때문이다.

노르웨이가 선택한 대응은 기술적 범위가 더 넓다. 현지 제한 조치는 특정 시설이 보호해야 하는 정보를 수집할 수 있는 장비를 갖춘 모든 차량에 적용될 수 있다.

현대 자동차에는 센서가 200개 이상

노르웨이 국가안보국(NSM)은 2025년 2월 5일 발표한 리시코 2025 평가에서 이미 차량 감시에 대해 경고했다. 현대 자동차에는 정보를 수집하는 센서와 기능이 200개 넘게 탑재될 수 있다.

이 평가는 차량 문제를 휴대전화, 스마트워치, 전력량계, 전자식 도어록, 드론의 전자 센서에 관한 광범위한 경고의 일부로 다뤘다. 이런 센서는 일상생활과 업무를 편리하게 해주지만, 도청과 감시, 추적에 악용될 수도 있다. 민감한 자산이나 보호가 필요한 자산을 책임지는 기관은 이러한 보안 문제를 인식하고 자신들이 관리하는 대상을 보호하기 위한 예방 조치를 취해야 한다.

NSM은 운전자의 주의 상태를 감시하고 동승자를 촬영할 수도 있는 실내 카메라를 설명했다. 마이크는 전화 통화와 음성 명령에 사용된다. 외부 카메라와 센서는 차량 주변의 사람과 사물을 관찰한다. 이 시스템들이 함께 작동하면 평범한 이동 중에도 영상과 소리, 움직임 정보를 수집할 수 있다.

실내 카메라는 운전자가 졸거나 주의가 산만해지거나 어두운 곳에서 운전하다 눈부심을 겪는 일을 방지하기 위한 것이다. 많은 카메라 센서가 도로 안전을 높이지만 다른 목적으로도 이용될 수 있다. NSM은 소유자가 모르는 사이에 소리와 영상이 정보 수집에 악용될 수 있다고 경고했다. 위협 행위자가 차량 센서 데이터에 접근하거나 차량 기능을 원격으로 제어할 수 있다면 다양한 보안 위협이 발생할 수 있다고도 밝혔다.

인터넷 연결은 위험을 한층 더한다. 차량과 외부 시스템 사이에 정비 정보와 소프트웨어 업데이트를 주고받을 수 있지만, 다른 데이터도 전송될 수 있다. NSM은 자동차의 센서나 제어 시스템에 접근한 사람이 이를 감시 목적으로 이용하거나 차량 기능을 방해할 수 있다고 경고했다.

현대 차량에는 공용 인터넷을 통한 연결을 포함해 여러 네트워크가 있다. NSM은 이 때문에 차량 전자 장치가 외부에서 영향을 받거나 제어될 수 있는 취약한 접점이 생긴다고 밝혔다. 이런 연결을 통해 정비와 소프트웨어 업데이트에 필요한 범위를 넘어서는 데이터가 전송될 수도 있다.

차량 구매 계약에는 제조사가 차량 수집 데이터에 대한 권리를 갖는 경우가 많다. 해당 정보는 재판매되거나 빅데이터로 활용되거나 다른 데이터와 결합돼 분석될 수 있다. 정보가 차량 밖으로 나가면 이후 어떻게 처리되는지 파악하기 어려워 개인정보 보호와 보안 문제가 생긴다.

NSM은 센서와 소셜미디어에서 수집한 방대한 정보에 음성·얼굴 인식 및 위치 데이터를 결합하면 보호 대상이나 기타 중요 자산에 접근할 수 있는 사람들을 추적할 수 있다고도 경고했다. 같은 정보로 해당 자산의 위치와 주변 환경, 취약 지점을 알아낼 수도 있다. 따라서 센서 데이터는 국가 자산을 표적으로 삼는 데 악용될 가능성이 있다.

NSM 관계자 안드레아스 스욜드로랑은 현대 차량을 다음과 같이 표현했다.

정보를 수집하는 움직이는 컴퓨터

그는 차량이 수집하는 정보의 불확실성도 설명했다.

정보가 어디로 전송되고 무엇에 사용되는지 확실히 알 수 없습니다.

NSM의 권고는 구체적이다. 현대 차량 내부를 포함해 카메라나 센서가 있는 장비 근처에서는 민감한 대화를 피해야 한다. 민감한 자산을 보호하는 기관은 주변 차량의 관찰과 도청, 위치 파악으로부터 해당 자산을 어떻게 지킬지도 고려해야 한다.

이러한 예방 조치는 비슷한 센서가 장착된 다른 제품에도 적용되며, 휴대전화에도 이에 상응하는 조치를 취해야 한다.

오슬로 버스에서는 다른 보안 우려 제기

오슬로 대중교통 당국 루터(Ruter)가 실시한 시험에서 중국 제조사 위퉁은 소프트웨어 업데이트를 제공하는 시스템을 통해 전기버스를 원격으로 운행 불능 상태로 만들 수 있는 것으로 이론상 확인됐다.

무선 업데이트는 정비소에서 케이블을 연결하는 대신 네트워크 연결을 통해 차량에 전달된다. 이 방식은 수리와 소프트웨어 변경 사항을 더 쉽게 배포할 수 있다. 동시에 차량 운행에 영향을 주는 변경 사항이 들어오는 통로도 생긴다.

루터는 업데이트를 통제할 수 있도록 들어오는 신호를 감시하고 지연하는 장치를 도입했다고 밝혔다. 이를 통해 대중교통 운영사는 변경 사항이 버스에 적용되는 시점을 관리할 수 있다.

이 문제는 민방위와 직접 관련이 있다. 노르웨이는 비상사태 때 사람들을 대피시키는 데 버스를 사용할 수 있다. 그 시점에 차량을 이용할 수 없게 되면 단순히 운행이 취소되는 데 그치지 않고 사람들을 위험에서 벗어나게 하는 능력에도 문제가 생긴다.

렌터카 사건은 군사 활동 중 수집된 정보와 관련이 있다. 버스 시험은 차량 운행 여부를 통제할 수 있는지에 관한 문제다. 두 사건 모두 일상적인 교통수단을 국가안보 판단의 대상으로 만든다. 당국은 차량이 무엇을 관찰할 수 있는지, 누가 차량의 작동 방식을 바꿀 수 있는지 파악해야 한다.

운동 기록 앱도 군사 이동 경로 노출

운동 기록 앱 스트라바는 개인 기술이 군사 활동을 드러낼 수 있음을 이미 보여줬다. 2018년 공개된 스트라바 데이터로 특히 아프가니스탄과 시리아에서 군사 시설과 병사들의 이동 경로를 파악할 수 있었다.

지난 3월에는 한 프랑스 해군 수병이 앱을 사용한 기록으로 항공모함 샤를 드골호가 지중해 동부에서 거의 실시간으로 위치가 드러났다. 운동을 추적하려던 기록이 군함의 위치를 노출한 것이다.

노르웨이 차량 사건과의 연관성은 현실적이다. 익숙한 용도로 사용하는 기기도 사용 장소에 따라 민감해지는 정보를 수집할 수 있다. 달리기 경로가 함정의 위치를 드러낼 수 있고, 대시보드 녹화가 출입 코드를 노출할 수 있다. 따라서 관계자들은 기기를 사용하는 목적뿐 아니라 주변에서 어떤 정보를 수집하는지도 고려해야 한다.

의존성이 취약성을 더한다

NSM의 경고는 개별 녹화물에 그치지 않는다. 전략적·디지털 위험을 줄이는 업무를 담당하는 NSM은 한 국가의 제품이나 서비스에 크게 의존하면 노르웨이가 취약해질 수 있다고 밝혔다. 특히 그 국가가 안보 문제에서 노르웨이와 협력하지 않는 경우 더욱 그렇다.

스욜드로랑은 특정 공급국에 한정되지 않는 우려를 다음과 같이 설명했다.

특정 국가의 서비스나 제품에 지나치게 의존하면, 그 국가가 어디든 우리는 취약해집니다.

오퍼레이션 캐피털은 의존성이 선택지를 제한하는 상황을 작지만 구체적으로 보여준다. 대체 차량이 부족해 영상 발견 후에도 해당 차량을 계속 운행해야 했다. 루터의 대응은 지역 운영사에 들어오는 소프트웨어 변경을 더 많이 통제할 권한을 부여해 문제의 다른 측면을 다룬다.

군인과 교통 운영자, 그리고 이들에게 의존하는 사람들에게 당면한 문제는 통제권이다. 훈련이나 비상사태 때 당국에는 차량이 필요하지만, 동시에 출입 코드와 이동 경로를 보호하고 차량을 계속 운행할 수 있어야 한다.

핵심 내용

• 9월 14일부터 18일까지 오슬로 공항에서 진행된 오퍼레이션 캐피털 중 사용된 렌터카가 군의 이동 경로와 출입 코드를 녹화했다.
• 차량 최소 2대는 창안이 제조하고 허츠 노르웨이가 공급한 딥알 차량이었다.
• 병사들은 녹화물을 삭제했지만 대체 차량이 부족해 훈련이 끝날 때까지 차량을 사용했다.
• 녹화물이 차량 외부로 전송됐는지는 알려지지 않았다.
• 노르웨이 군은 중국산 차량을 일괄 금지하기보다 개별 시설과 녹화 성능에 맞춘 제한 조치를 선호한다.
• NSM은 차량 센서와 원격 접근, 공급업체 의존성에 대해 경고했으며 루터는 버스에 들어오는 소프트웨어 업데이트를 통제하는 조치를 도입했다.