주행 중 핸들이 운전자의 의지와 무관하게 움직인다면 어떻게 될까. 공상과학 영화 속 장면이 아니다. 국토교통부가 9월 15일, 경찰청·현대자동차·한국교통안전공단 자동차안전연구원(KATRI)·한국인터넷진흥원(KISA)과 함께 현대자동차 판교 AVP본부에서 ‘자동차 사이버보안 사고대응 민·관 합동 모의훈련’을 실시했다.
소프트웨어 중심 자동차(SDV)로의 전환이 가속화되면서, 자동차는 이제 ‘달리는 컴퓨터’가 됐다. 해킹이 곧 인명 피해로 이어질 수 있는 시대에, 이번 훈련은 지난 8월 27일 한국인터넷진흥원(KISA)과 한국교통안전공단 자동차안전연구원(KATRI)이 체결한 ‘자동차 사이버보안 공동 대응’ 업무협약의 후속 조치다.
공급망 서버 해킹, OTA로 악성코드 배포…현실 그대로 재현
이번 훈련의 시나리오는 구체적이고 현실적이다. 자동차 부품 협력사 서버가 해킹되고, 악성코드가 숨겨진 소프트웨어 업데이트 패키지가 무선 업데이트(OTA, Over-the-Air)를 통해 차량에 배포되는 상황을 가정했다. 결과적으로 주행 중 핸들 등 주요 장치가 운전자의 의도와 다르게 작동하는 시나리오다.
대응 절차는 5단계로 설계됐다. 1단계는 현대차가 이상 신호를 탐지해 KATRI에 신고하고 OTA 중단·서버 격리 등 확산 차단 조치를 취하는 것이다. 2단계에서는 KATRI가 사고 내용을 기술 검토해 국토부에 보고하고, KISA가 침해 원인을 분석하며, 경찰청이 해커 추적·형사 수사를 맡는다.
3단계는 차량 복구를 위한 단기조치로, 안전에 직접 영향을 주는 기능을 우선 복구하고 필요 시 결함 소프트웨어 롤백과 긴급 패치 배포를 시행한다. 4단계에서 협력사 서버·OTA 인프라의 취약점을 해소하고 공급망 보안 강화 계획을 수립한 뒤, 5단계로 국토부·KATRI·KISA가 조치의 적정성을 공동 검증하며 사고를 종결하는 구조다.
훈련 방식은 가상 시나리오를 단계별로 제시하는 도상훈련(테이블톱 익서사이즈) 형태로 진행됐다. 실제 차량 시스템을 직접 해킹하지 않되, 각 기관이 실사고와 동일한 절차로 움직이며 공조 체계를 검증했다.
UN R155·CSMS 의무화 3년 차…한국도 ‘실전 검증’ 단계로
이번 훈련의 법적 배경에는 UN 유럽경제위원회(UNECE)의 자동차 사이버보안 규정 ‘UN R155’가 있다. UN R155는 완성차 업체(OEM)가 인증된 자동차 사이버보안 관리체계(CSMS)를 운영해야만 차량 형식승인을 받을 수 있도록 규정한다. 2024년 7월부터 한국을 포함한 UNECE 가입국의 모든 신규 차량에 의무 적용되고 있다.
CSMS는 차량 개발·생산·운행 전 단계를 포괄하며, 부품사 서버·OTA 인프라까지 공급망 전체를 위험 관리 대상으로 삼는다. CSMS 인증서 유효기간은 통상 3년이다. 국토부가 밝힌 “CSMS가 실제 상황에서 원활하게 작동하는지 확인한다”는 이번 훈련의 목적은 곧 UN R155 체계가 현장에서 제대로 기능하는지를 실전 검증하는 성격이다.
도상훈련의 한계…실효성 확보가 다음 과제
이번 훈련이 공조 체계를 절차 단위로 확인했다는 의의를 갖는 동시에, 도상훈련 방식에는 구조적 한계도 있는 것으로 보인다. 도상훈련은 절차와 보고 라인을 점검하는 데 유효하지만, 실제 시스템의 취약점을 드러내진 못한다. 실시간 이상 탐지 성능, OTA 서버의 실제 보안 수준, 중소 부품사의 보안 미비 지점 등은 레드팀 테스트와 현장 점검이 별도로 이뤄져야 확인 가능하다.
협력사 해킹 시나리오가 훈련 중심에 배치됐다는 점은 시사하는 바가 크다. UN R155는 형식승인 신차 중심 규정인 만큼, 이미 도로를 달리는 레거시 차량과 디지털 역량이 낮은 중소 부품사는 규제 사각지대가 될 위험이 있다. KISA와 KATRI가 체결한 업무협약에 협력사 대상 모의훈련·보안점검이 명시됐지만, 실제 참여 범위와 중소기업의 비용 부담 문제는 추가 논의가 필요하다.
국토부 박준형 모빌리티자동차국장은 “자동차 사이버보안 사고는 일반 사이버보안 사고와 달리 국민의 생명과 안전에 직결된다”며 “이번 민·관 합동훈련을 계기로 관계기관 간 역할과 공조체계를 지속 보완하겠다”고 밝혔다. 훈련의 정례화와 실차 기반 레드팀 테스트로의 확대 여부가 이 공조 체계의 실효성을 가를 다음 과제다.
