플러그인 하이브리드카, PHEV(Plug-in Hybrid Electric Vehicle) 시장에서 지난해 전 세계 판매 대수 1위를 기록한 미쓰비시의 아웃랜더 PHEV는 차량 정보를 확인하고 에어컨 조작 같은 작업을 스마트폰으로 할 수 있는 원격 제어 시스템이 내장되어 있다. 그런데 여기에 외부에서 해킹할 수 있는 위험성이 있는 것으로 나타났다.

보안 기업인 펜테스트파트너(Pen Test Partners)에 따르면 아웃랜더 PHEV의 특징은 원격 제어 시스템을 이용해 스마트폰에서 타이머를 걸거나 승차 전 미리 에어컨을 켜고 문을 닫았는지 확인하는 등 차량 정보를 확인하고 조작할 수 있다는 것이다. 헤드라이트를 앱으로 조작해 켜거나 끌 수 있는 등 편리하다.

물론 요즘에는 자동차와 스마트폰 앱을 연동하는 건 드문 일이 아니다. 하지만 경쟁 업체와 미쓰비시의 차이는 통신 모듈 선택. 대부분 GSM 모듈을 탑재하지만 미쓰비시는 와이파이 액세스 포인트를 탑재했다.

이 와이파이 액세스 포인트에 연결하는 데 필요한 사전공유키 PSK(Pre-Shared Key)는 설명서에 기재되어 있지만 너무 짧고 간단하다. GPU 4대를 이용해 4일이 채 걸리지 않아 분석했다고 한다. 물론 클라우드 서비스를 이용해 더 많은 GPU를 이용할 수 있다면 분석 시간은 더 줄일 수 있다. 또 SSID는 ‘REMOTEnnaaaa’를 사용하고 있기 때문에 설명서가 없더라도 자동차에 연결할 수 있다고 한다.

이렇게 탈취하고 나면 보통 도난 방지 장치를 설치하면 창문에 손을 대기만 해도 경보음이 울리지만 알람을 끌 수도 있고 문을 열어도 아무런 반응이 없다. 도어 잠금을 해제할 수 있다는 건 자동차 진단 포트를 사용할 수 있다는 얘기다. 차량 시스템에 액세스할 때 더 이상 무슨 짓을 해도 이상하지 않은 상태인 것.

또 이미 SSID는 알려져 있기 때문에 무선 네트워크 매핑 서비스를 이용해 현지 위치를 탐색할 수도 있다. 펜테스트파트너 측은 이들 문제를 미쓰비시 측에 전달했다고 한다. 미쓰비시도 빠른 대응을 하겠다고 밝혔지만 대응이 이뤄지기 전에는 차량 식별 번호 등록 앱(VIN Registration)을 삭제하는 것도 방법이다. 관련 내용은 이곳에서 확인할 수 있다.

https://www.youtube.com/watch?v=NSioTiaX_-Q

정희용 IT칼럼니스트  flygr@naver.com

<저작권자 © 테크홀릭, 무단 전재 및 재배포 금지>