노르웨이 버스 시험이 덴마크에 경보를 울린 이유
노르웨이에서 진행된 통제 시험을 통해 중국산 전기버스에 운행 중인 차량을 원격으로 끌 수 있는 데 악용될 수 있는 연결 기능이 있다는 사실이 드러나자, 덴마크는 대중교통 버스망을 보호하기 위해 발 빠르게 대응하고 있다. 이 연결 기능은 주로 소프트웨어 업데이트와 진단 등 정당한 목적으로 마련됐다. 그러나 보안 검토자들은 악용될 경우 같은 통신 경로가 운행을 방해할 수 있다고 말한다. 덴마크 당국과 운수업체들은 코펜하겐과 주변 지역에서 모비아가 운행하는 유퉁 차량 262대를 포함해 매일 운행되는 버스 수백 대를 조사하며, 관리되지 않는 원격 제어가 운행에 영향을 미치지 않는지 확인하고 있다.
목차
노르웨이 대중교통 운영사 루테르는 격리된 환경에서 유퉁 버스 두 대를 시험했다. 엔지니어들은 제조사가 업데이트와 진단, 에너지 관리를 지원하는 시스템에 연결할 수 있음을 확인했다. 조사팀은 SIM 카드를 빼면 외부와의 통신이 차단된다는 사실을 확인했다. 그러나 이 조치로 실시간 도착 정보, 원격 고장 감지, 예측 정비 등 중요한 서비스도 중단됐다. 루테르는 중앙정부와 지방 당국에 이 사실을 알렸으며, 향후 조달에 더 엄격한 보안 요건을 적용할 준비를 하고 있다.
유퉁은 공급업체가 멀리서 버스의 조향·제동·가속을 제어할 수 있다는 주장을 부인한다. 회사는 데이터 연결이 정비용이며, 유럽에서 수집된 데이터는 프랑크푸르트의 아마존웹서비스 시설에 저장되고 암호화와 접근 통제로 보호된다고 밝혔다. 노르웨이나 덴마크에서 버스를 원격으로 정지시킨 사례는 기록된 바 없다. 그럼에도 운수업체들은 핵심 장비에 대한 통제되지 않는 접근 경로는 용납할 수 없는 위험으로 보고 있다.
노르웨이는 버스 시험에서 무엇을 발견했나
루테르는 자사 기술팀이 버스와 외부 서버 간 보안 모바일 연결을 가능하게 하는 내장형 SIM 및 저장장치 모듈을 발견했다고 밝혔다. 이 연결은 원격 진단과 소프트웨어 업데이트를 지원했다. 엔지니어들은 악의적인 사용자나 계정이 탈취된 공급업체 직원이 전원 공급이나 버스 운행을 유지하는 다른 기능을 중단시킬 수 있다고 결론 내렸다. 시험에서 원격 조향이나 제동이 가능하다는 점이 확인된 것은 아니다. 다만 구동력이나 전원을 차단해 버스를 멈추게 할 가능성이 제기됐다.
운영사는 비슷한 연식의 유럽 제조업체 버스도 조사했다. 해당 차량에는 원격 업데이트 기능이 없었다. 이로써 공격에 노출될 수 있는 경로는 줄었지만, 유연성과 정비 효율성도 제한됐다. 이 차이와 유퉁 버스 조사 결과를 종합한 노르웨이 당국은 커넥티드 서비스를 이용하는 모든 브랜드에 더 명확한 조달 요건이 필요하다고 판단했다.
SIM 카드 제거의 효과와 대가
SIM 카드를 빼면 원격 연결이 즉시 끊기지만, 여러 대중교통 기관이 의존하는 도구도 사용할 수 없게 된다. 실시간 도착 안내판과 모바일 앱의 도착 예측은 차량 연결에 의존한다. 원격 진단과 소프트웨어 정비 계획도 마찬가지다. 연결을 영구적으로 끊으면 고장 발생 시 서비스 복구가 늦어지고, 정비 기술자가 상세한 원격 측정 데이터와 사전 경고를 받지 못해 비용이 늘어날 수 있다. 운수업체들은 필수 데이터 흐름은 유지하면서 명시적으로 승인되고 감독되지 않은 공급업체 접근은 차단할 수 있는 표적형 보호 조치를 검토하고 있다.
실제로 버스가 장악당했나
당국자들은 버스를 실시간으로 원격 조작한 사례는 없다고 말한다. 유퉁은 조향·구동·제동 등 안전에 중요한 기능은 외부 네트워크에서 명령을 받지 않는다고 밝혔다. 루테르의 시험과 전문가들의 설명이 가리키는 위험의 범위는 더 좁다. 연결 채널을 통해 전원이나 배터리 관리 기능이 변경되면 버스가 움직이지 못하게 될 수 있다. 운행 중 운전자가 차량을 완전히 제어할 수 있더라도 이런 장애는 운영에 심각한 영향을 줄 수 있다.
베른트 레이탄 옌센 루테르 최고경영자는 방해 시도가 발생할 가능성은 여전히 낮지만, 노출을 줄이기 위한 조치를 촉구했다.
위험을 심각하게 받아들여야 합니다.
덴마크의 대응
덴마크 시민보호·비상관리청은 자국에서 원격 비활성화가 확인된 사례는 없다고 밝혔다. 당국은 인터넷에 연결된 하위 시스템과 센서의 보안 통제가 허술하면 이를 악용해 운행을 방해할 수 있다고 경고했다. 상황을 주시하며 현행 지침이 충분한지 평가하고 있으며, 예방과 대응에 관해 운수업체에 조언할 준비가 돼 있다고 밝혔다.
덴마크 최대 대중교통 회사인 모비아는 셸란섬 전역에서 중국산 전기버스 469대를 운행하며, 이 가운데 262대가 유퉁 차량이다. 옙 가르드 모비아 최고운영책임자는 소프트웨어 시스템이 개방형 네트워크에 연결돼 있으면 커넥티드 차량이 원격 간섭에 노출될 수 있다고 인정했다. 그는 이런 우려가 다양한 커넥티드 차량과 기기에 해당하며 중국산 버스에만 국한되지 않는다고 덧붙였다. 모비아는 신규 입찰에서 사이버 보안 요건을 강화하고 현재 운행 중인 차량에 적용할 보호 조치를 검토할 계획이다.
정치권 인사와 시민사회단체들은 대중교통을 핵심 기반시설로 다루는 국가 표준을 마련하라고 요구하고 있다. 외국 공급업체에 대한 과도한 의존은 위기 상황에서 회복력을 약화시킨다고 이들은 주장한다. 의원들은 통일된 입찰 기준, 공급업체 위험 심사, 데이터 저장 위치 규정, 관리되지 않는 원격 접근 제한 등의 방안을 검토하고 있다. 어떤 조치든 운수업체가 운행을 계속할 실질적인 수단을 확보하는 동시에 덴마크와 유럽연합의 조달법을 준수해야 한다.
접근 권한과 데이터에 관한 유퉁의 입장
유퉁은 자사 버스에서 안전에 중요한 기능을 원격으로 제어하는 것은 불가능하다고 밝혔다. 회사에 따르면 주 제어 장치는 조향·구동·제동 시스템과 분리돼 있다. 데이터 연결은 진단과 성능 모니터링, 실내 사전 냉난방 같은 쾌적성 기능을 지원한다. 업데이트는 운영자의 명시적인 승인이 있어야 한다. 또 유럽연합 내 데이터는 프랑크푸르트에 저장되며 암호화와 엄격한 접근 통제로 보호된다고 밝혔다. 루테르는 조사 결과가 이론적인 위험을 설명하는 것이며 안전 관련 사고는 발생한 적이 없다고 설명했다.
기술적 위험 설명
현대 버스에는 이동통신망에 연결된 텔레매틱스 장치가 탑재돼 있다. 이 장치는 클라우드 플랫폼과 통신해 상태 데이터를 전송하고 소프트웨어 패키지나 설정 변경 사항을 수신한다. 차량 내부에서는 컨트롤러 영역 네트워크가 구동 장치, 배터리, 문, 난방 장치, 운전석 디스플레이 등 하위 시스템을 연결한다. 제대로 설계된 시스템은 안전에 중요한 제어 회로를 별도 경로에 두고 강력하게 격리한다. 하지만 실제로는 지원팀이 고장을 진단하고 문제를 해결할 수 있도록 네트워크 간 인터페이스가 존재한다. 신원 확인이나 접근 규칙이 허술하면 이런 인터페이스가 공격자들의 표적이 될 수 있다.
현실적인 위험은 할리우드 영화 같은 원격 탈취가 아니다. 가장 큰 우려는 구동력이나 전원을 차단하는 원격 명령, 또는 부품을 손상시켜 버스가 움직이지 못하게 만드는 소프트웨어 업데이트다. 수백 대 차량이 동일한 설정과 공급업체 계정을 공유한다면 조향이나 제동을 건드리지 않더라도 한 번의 침해로 광범위한 운행 차질이 발생할 수 있다. 당국은 원격 연결이 기본적으로 비활성화돼 있고, 역할 기반 접근 통제가 적용되며, 오용이 의심될 경우 운영자가 외부 연결을 즉시 끊을 수 있다는 점을 입증하길 원한다.
실제로 영향을 받을 수 있는 기능
- 충전·방전 한도를 포함한 배터리 관리 설정
- 충전 제어 로직과 일정
- 제어 장치와 센서에 전원을 공급하는 저전압 배전
- 난방·환기·조명 등 실내 시스템
보안팀은 안전하고 효율적인 운영에 필요한 데이터는 유지하면서 이러한 경로를 강화하는 데 주력하고 있다. 목표는 원격 진단과 안전에 중요하지 않은 업데이트를 유지하되, 현장 승인이 없으면 차량을 움직이지 못하게 할 수 있는 원격 조치는 모두 차단할 수 있는 강력한 통제를 마련하는 것이다.
새 규정은 어떤 모습일까
운수업체와 규제 당국, 공급업체는 커넥티드 차량 운용 환경에 맞는 보호 조치를 마련하고 있다. 원격 측정과 지원의 이점은 유지하면서 구동 시스템으로 이어지는 관리되지 않는 경로를 차단하는 것이 목적이다. 계약 조항과 인증, 기술 통제가 서로 맞물려야 운영업체가 버스 네트워크에 무엇을 언제 반입할지 최종 결정권을 갖게 된다.
- 공급업체 접근을 즉시 비활성화할 수 있는 연결 기능의 현장 통제
- 펌웨어와 설정 변경 사항을 설치 전에 검토하고 서명하는 업데이트 승인 절차
- 진단 네트워크와 안전에 중요한 네트워크의 엄격한 분리
- 모든 원격 접속에 대한 역할 기반 접근과 다중 인증
- 변경할 수 없는 로그 기록과 원격 연결에 대한 독립 감사
- 명확한 데이터 저장 위치 규정과 암호화 기준
- 안전한 개발 관행과 사고 대응 역량을 포함한 입찰 공급업체 위험 심사
- 커넥티드 차량 플랫폼에 대한 제3자 침투 시험과 인증
승객과 도시에 미치는 영향
승객들은 당장 운행이 바뀌지는 않을 것으로 보면 된다. 버스는 사람이 운전하며 차량 밖에서 조작할 수 없다. 운수업체들은 버스의 카메라가 인터넷에 연결돼 있지 않아 실시간 영상 전송 위험도 없다고 말한다. 운수업체가 차량을 격리하기 위해 SIM 카드를 제거하면 실시간 도착 예측, 차량 관리 대시보드, 원격 진단 기능이 저하된다. 이에 따라 당국은 서비스 정보는 계속 전달하면서 승인되지 않은 명령은 막는 다층 통제 방식을 선호한다.
도시는 원격 정비의 편리함과 현장 통제를 강화했을 때의 확실성 사이에서 선택해야 한다. 연결을 끊으면 위험은 줄일 수 있지만 신뢰성이 떨어지고 비용은 증가한다. 균형 잡힌 접근 방식은 강력한 관리 체계와 투명성, 검증 가능한 기술 통제를 통해 운영업체가 커넥티드 차량의 이점을 유지하면서 구동계가 외부 간섭에 노출되지 않도록 하는 것이다.
핵심 내용
- 노르웨이 시험에서 유퉁 차량의 원격 접근 경로가 드러난 뒤 덴마크가 중국산 전기버스 수백 대를 점검하고 있다.
- 루테르의 격리 시험에서는 SIM 카드를 제거하면 원격 접근이 차단되지만 실시간 정보와 진단 기능도 중단되는 것으로 나타났다.
- 유퉁은 조향·구동·제동 제어 능력을 부인하고, 유럽연합 데이터는 프랑크푸르트에 저장되며 암호화와 접근 통제로 보호된다고 밝혔다.
- 덴마크 시민보호 당국은 비활성화 사례를 파악하지 못했지만, 강력한 통제가 없으면 연결된 하위 시스템이 악용될 수 있다고 경고했다.
- 모비아는 중국산 전기버스 469대를 운행하며 이 가운데 262대가 유퉁 차량이다. 회사는 향후 입찰에서 사이버 보안 요건을 강화할 계획이다.
- 핵심 위험은 전원이나 배터리 관리 기능을 원격으로 교란해 운전자가 조향과 제동을 계속 제어하더라도 버스를 움직이지 못하게 만드는 것이다.
- 제안된 위험 완화책에는 연결 기능의 현장 비상 차단, 업데이트 승인 절차, 네트워크 분리, 다중 인증, 독립 감사 등이 포함된다.
- 운수업체들은 차량 전체의 연결을 끊기보다 관리되지 않는 원격 접근을 차단하면서 서비스 품질을 지키려 한다.
