[SDV시대 도래②] 편할수록 커지는 위험…미래차 성패 ‘사이버 보안'에 달렸다

[미디어펜=김연지 기자]SDV 전환이 빨라지면서 자동차 사이버보안이 완성차 업계의 핵심 과제로 떠오르고 있다. 차량이 OTA, AI, 차량용 애플리케이션과 연결될수록 소비자 편의는 커지지만 해킹과 소프트웨어 오류에 노출될 가능성도 커지기 때문이다.

29일 업계에 따르면 완성차 업체와 부품사, 보안업계는 SDV 확산에 맞춰 차량 사이버보안 대응 체계를 강화하고 있다. 차량이 단순 '이동수단'에서 '이동하는 컴퓨터'로 진화하면서 보안 리스크 역시 단순 정보 유출을 넘어 운행 안전과 직결되는 문제로 확대되고 있다는 판단에서다.

SDV로의 패러다임 전환은 운전자에게 스마트폰에 버금가는 디지털 편의성을 제공하고 있지만 동시에 SDV 전환이 빨라지면서 자동차 사이버보안이 완성차 업계의 핵심 과제로 떠오르고 있다. SDV 시대의 가장 큰 특징은 차량이 외부 네트워크와 상시 연결된다는 점이다. 내비게이션, 인포테인먼트, 원격 제어 앱, 충전 시스템, OTA 등이 하나의 생태계로 묶이면서 차량은 이전보다 훨씬 많은 접점을 갖게 됐다.

문제는 연결 지점이 늘어날수록 해커가 노릴 수 있는 공격면도 함께 넓어진다는 점이다. 과거 차량 보안이 물리적 도난 방지나 전자제어장치 보호에 가까웠다면, 이제는 통신 모듈과 차량용 앱, 클라우드 서버, 전기차 충전 인프라까지 관리 범위가 확장되고 있다. 과거의 차량 해킹이 문을 강제로 열거나 내비게이션 화면을 교란하는 수준에 그쳤다면, 고도화된 SDV 체계에서는 주행 중인 차량의 브레이크를 무력화하거나 조향 장치를 임의로 조작하는 등 대형 인명 사고와 직결될 수 있다는 실존적 공포로 다가오고 있다.

차량 보안 취약점으로 인한 대규모 리콜 사례는 과거에도 있었다. 지난 2015년 미국에서는 보안 연구자들이 지프 체로키의 인포테인먼트 시스템 취약점을 이용해 원격으로 차량에 접근할 수 있음을 시연했고, 이후 피아트크라이슬러가 미국에서 140만 대 규모의 리콜을 진행한 바 있다. 하드웨어와 소프트웨어가 밀접하게 결합될수록 보안 구멍이 미치는 파급력이 얼마나 큰지 보여주는 대표적 사례다.

최근에는 공격 범위가 차량 내부를 넘어 외부 인프라로도 확산되는 흐름이다. 전기차 충전기와 주유소, 카셰어링·택시 운영 시스템 등 차량과 연결된 서비스 인프라가 새로운 공격 경로로 지목되고 있다. 실제 SK쉴더스의 화이트해커 그룹 이큐스트는 올해 1월 일본 도쿄에서 열린 '폰투온 오토모티브 2026'에서 전기차 충전기 보안 취약점을 발견했다고 밝혔다.

공격의 형태가 이처럼 다변화되면서 완성차 제조사뿐 아니라 전장 부품을 공급하는 협력사들의 보안 역량도 시험대에 올랐다. 차량에 탑재되는 디스플레이, 디스플레이 구동 시스템, 반도체 칩셋 등 공급망 전체가 보안 인증을 갖추지 못하면 차량 전체가 위험해질 수 있는 구조다. 보안 전문가들은 차량이 네트워크와 주고받는 모든 데이터의 위·변조를 차단할 수 있는 보안 반도체와 방화벽 기술의 도입이 공급망 전반에 정착돼야 한다고 입을 모은다.

완성차 업계도 리스크 대응에 속도를 내고 있다. 현대차그룹은 그룹 차원의 사이버보안 전담 통합 대응팀을 출범시키고, 무선 업데이트 과정에서 발생할 수 있는 보안 취약점을 실시간으로 탐지·차단하는 관제 체계를 고도화 하고 있다. SDV 전환에 맞춰 차량 보안 역량을 강화하기 위한 움직임으로 풀이된다.

전장 부품 업계의 보안 인증 획득 행보도 빨라지고 있다. 차량용 디스플레이 등 핵심 부품사들은 차량용 사이버보안 인증을 확보하며 보안 대응 역량 강화에 나서고 있다. 보안 업계 역시 전기차 충전 인프라와 커넥티드카 플랫폼의 보안 취약점을 선제적으로 진단하고 방어할 수 있는 융합 보안 솔루션을 선보이며 완성차 업계의 기술 우군으로 가세하고 있다.

글로벌 규제도 강화되는 추세다. 유엔 유럽경제위원회(UNECE)는 자동차 사이버보안 관리체계(CSMS)를 규정한 UN R155와 소프트웨어 업데이트 관리체계(SUMS)를 규정한 UN R156을 마련했다. 유럽연합(EU)은 2024년 7월부터 신규 차량에 대한 관련 규정 적용을 확대하고 있다. 

국내에서도 자동차 사이버보안 제도화가 본격화됐다. 개정 자동차관리법은 지난해 8월부터 시행됐으며, 자동차 제작자 등이 자기인증을 하려는 경우 자동차 사이버보안 관리체계를 수립하고 국토교통부 장관의 인증을 받도록 했다. 인증을 받지 않았거나 인증이 취소·정지된 경우 제작·조립·수입 또는 판매 중지 명령도 가능하다.

정부 역시 대응 수위를 높이고 있다. 국토교통부와 한국교통안전공단 자동차안전연구원은 지난 27일 자동차 사이버보안 정책과 산업 발전 방향을 논의하는 자리를 마련했다. 자동차가 SDV로 빠르게 전환되는 만큼 보안 체계 역시 이에 맞춰 고도화해야 한다는 공감대가 형성되고 있다.

다만 안정적인 SDV 확산을 위해서는 인프라와 법적 가이드라인을 지속적으로 보완해야 한다는 지적도 나온다. 향후 해킹이나 시스템 오류로 사고가 발생할 경우 제조사와 소프트웨어 개발사, 통신사 등 관련 주체 간 책임 소재를 어떻게 나눌지에 대한 기준 마련도 과제로 꼽힌다.