(인천= 임순석 기자 = 16일 오전 인천 중구 상상플랫폼에서 열린 '중국 BYD 승용 브랜드 런칭 미디어 쇼케이스'에서 전기차 아토 3 등 차량이 공개되고 있다. BYD 코리아는 올해 아토 3, 씰, 씨라이언 7 등 총 3개 모델을 출시할 계획이다. 2025.1.16

임성호 홍규빈 기자 = BYD(비야디)를 필두로 중국 자동차의 한국 진출이 본격화하면서 커넥티드카(Connected-Car)가 정보 보안의 사각지대로 떠올랐다.

국내 관련 법 제도가 미비한 틈을 타 중국산 커넥티드카가 개인정보 유출 통로로 활용될 수 있다는 우려에서다.

중국을 비롯한 해외 커넥티드카 기술·부품이 국내에서 얼마나 쓰이는지 정확히 파악하는 등 보안 문제를 전반적으로 점검해야 한다는 지적이 나온다.

현대차그룹이 고성능의 정보 처리 반도체인 '엔비디아 드라이브(NVIDIA DRIVE)'를 적용한 '커넥티드 카 운영 체제(CCOS)'를 2022년부터 출시하는 모든 차량에 확대 적용한다고 10일 밝혔다. 커넥티드 카는 차량이 주행하는 동안 발생하는 대량의 데이터를 실시간 교통정보, 공사구간, 뉴스, 음악, 날씨, 스포츠 등 외부의 정보와 연계해 차량 탑승자에게 최적화된 운전 경험을 제공하는 것을 목표로 한다. 2020.11.10 [현대기아차 제공. 재판매 및 DB 금지]

◇ BYD "본사와 정보공유 없어" vs 전문가들 "글쎄"

11일 자동차 업계에 따르면 커넥티드카는 사전적으로 자동차 내외부가 무선 네트워크로 연결된 차량을 말한다.

커넥티드카를 차량 관제용 사물인터넷(IoT)에 가입된 차량으로 한정한다면 작년 11월 국내에 총 946만7천474대가 있는 것으로 집계됐다. 국내 등록 차량(2천627만3천606대)의 36.04％다.

다만 블루투스, 근거리 무선(NFC), 초광대역 무선(UWB) 등 양방향 무선통신을 폭넓게 포함한다면 글로벌 신차의 90％가량이 커넥티드카라는 분석도 있다.

커넥티드카 정보 보안 문제는 세계 최대 전기차 업체 BYD가 지난달 한국 승용차 시장에 상륙하면서 본격적으로 불거졌다.

첫 출시 모델인 '아토3'는 무선 폰 프로젝션, 무선(OTA) 내비게이션·소프트웨어 업데이트 등 커넥티드카 기능을 탑재했는데 이를 통해 수집된 운전자 개인정보가 중국 등으로 유출될 수 있다는 지적이 나왔다.

BYD코리아는 이와 관련, "개인정보에 대한 국내 고객의 우려를 충분히 이해하고 있으며 개인정보 보호법을 엄격히 준수하고 있다. 한국에서 수집된 개인 정보는 중국 본사에 공유되지 않는다"고 설명했다.

또 중국산 생성형 인공지능(AI) 딥시크를 활용할 계획도 현재로선 없다고 밝혔다. 앞서 중국 지리자동차는 딥시크의 RI 추론 모델을 자사 신루이 AI 모델에 탑재하는 것으로 알려졌다.

다만 BYD코리아는 수집한 정보를 국내에 있는 중국 정보기술(IT) 기업 텐센트 클라우드 서버에 보관하고 있다고 밝혔는데, 국내 정보를 중국 기업 서버에 보관하고 있는 것만으로도 국내에서는 불안감을 불러일으키고 있다.

조인철 BYD코리아 승용부문 대표는 지난달 기자간담회에서 이러한 우려를 언급하며 "한국 내에서 벗어나지 않게끔 충분히 노력했기 때문에 그렇게 믿어주시면 될 것 같다"고 말했다.

하지만 국내 전문가들은 BYD의 자체적인 약속만으로 정보 유출 가능성이 없다고 단정하긴 힘들다고 입을 모았다.

염흥열 순천향대 정보보호학과 명예교수는 "커넥티드카는 운전자의 개인정보뿐만 아니라 주행 경로, 운전 패턴, 방문 장소 등 굉장히 민감한 개인정보를 수집할 가능성이 크다"면서 "자율주행 기능을 위해 방대한 양의 이미지 정보를 수집할 수 있다"고 지적했다.

그러면서 BYD를 비롯한 중국 자동차 업체들이 약관에 따라 수집·처리하는 정보가 정확히 무엇인지 공개해야 한다면서 이용자가 원치 않을 경우 정보 수집을 거부할 수 있는 '옵트아웃' 방식을 도입해야 한다고 촉구했다.

임종인 고려대 정보대학원 석좌교수는 "과거 화웨이의 경우처럼 백도어(제삼자가 보안 기능을 우회해 정보에 접근할 수 있는 취약점)가 있을 수 있다"고 지적하며 "정부가 BYD 자동차의 성능 검사와 동시에 프라이버시 정보 보안 측면에서 문제가 있지는 않은지 면밀히 검증해야 한다"고 말했다.

김영은 기자 = 미국 정부가 자동차의 자율주행이나 통신 기능에 중국이나 러시아산 소프트웨어나 부품을 사용하는 자동차의 판매를 단계적으로 금지하기로 했다. 미국 상무부는 23일(현지시간) 차량연결시스템(Vehicle Connectivity System·VCS)이나 자율주행시스템(Automated Driving System·ADS)에 중국이나 러시아와 연계가 있는 특정 하드웨어나 소프트웨어를 탑재한 차량의 수입과 판매를 금지한다는 내용의 규정안을 발표했다. X(트위터) @yonhap_graphics 페이스북 tuney.kr/LeYN1

◇ 중국산 기술 쓰인 국내 커넥티드카도 위험하나

더 나아가 중국 브랜드 자동차뿐 아니라 중국산 커넥티드카 기술이 적용된 차량에 대해서도 개인정보 유출 가능성을 짚어봐야 한다는 지적도 나온다.

지난달 미국 상무부가 자율주행이나 통신 기능에 중국·러시아산 소프트웨어·부품을 사용하는 자동차 판매를 금지한 것과 같은 맥락이다.

대상 기술은 차량연결시스템(VCS)과 자율주행시스템(ADS)으로, ADS의 경우 코드 등 소프트웨어 일부라도 중국이나 러시아산을 사용하면 규제 대상이 된다.

제이크 설리번 당시 백악관 국가안보보좌관은 "이미 중국이 교란 및 방해 행위를 목적으로 미국의 주요 인프라에 악성 코드를 심고 있다는 충분한 증거를 발견했다"고 말하기도 했다.

하지만 국내 자동차 업계는 중국을 비롯한 해외 커넥티드카 기술과 부품이 얼마나 쓰이고 있는지 파악하기 어려운 실정이다.

소프트웨어의 경우 현대차그룹을 필두로 자체 소프트웨어를 개발했기 때문에 중국산의 개입 여지가 적지만, 여러 부품이 모이는 하드웨어의 경우 일일이 원산지를 확인하기 어렵기 때문이다.

업계 관계자는 "이번에 미국에서 커넥티드카 규제를 도입한다고 해서 국내에서는 중국·러시아산이 얼마나 쓰이는지 파악해보려 했는데 현실적으로 쉽지 않았다"고 말했다.

[EPA=]

◇ 국내 대비 늦다는 지적…산업지원책 적극 논의해야"

중국산 기술·부품이 쓰이지 않았더라도 커넥티드카는 차량 간(V2V), 차량과 인프라 간(V2I) 통신을 통해 해킹 등 가능성이 열려있다는 점도 문제다.

단순 데이터 탈취를 넘어 차체에 대한 내·외부 공격으로 탑승자의 안전이 위협받을 수 있고 자동차를 매개로 주변 교통과 시설 인프라를 교란·마비까지도 이론적으로는 가능하기 때문이다.

최근 전동화 추세와 자율주행 개발로 커넥티드카 시장이 폭발적으로 성장한 만큼 선제적인 법제도 마련 필요성이 제기되는 지점이다.

하지만 자동차 제작사의 소프트웨어 보안 관리 의무를 강화한 자동차관리법 개정안은 작년 1월 국회를 통과해 올해 8월에나 시행을 앞두고 있다.

정원선 한국자동차연구원 인천사무소 센터장은 지난해 한국자동차연구원 좌담회에서 "외국과 비교하면 국내에서는 (커넥티드카 관련) 사이버보안에 대한 인지와 준비가 늦어진 감이 없지 않다"며 "정확하게 커넥티드카를 분류하고 사이버보안 레벨을 분류해서 보안이 취약한 부분부터 우선 해결해 나가는 노력이 필요한 시점"이라고 말했다.