음주측정 장치 회사 사이버공격, 수천 명의 운전자를 도로에 발 묶다

당신의 차가 사이버공격의 피해자가 된다면?

아침 출근길, 차에 올라타 시동을 걸려는 순간 대시보드에 오류 메시지가 뜬다. 음주측정 인터락 장치(Ignition Interlock Device, IID)가 작동하지 않아 차량이 시동조차 걸리지 않는 상황. 술을 한 방울도 마시지 않았는데도 말이다. 이것이 단순한 가정이 아니라, 최근 미국에서 실제로 발생한 사이버공격의 결과라면 어떨까?

미국의 한 차량 음주측정 인터락 장치 전문 기업이 대규모 사이버공격을 받으면서, 해당 서비스를 의무적으로 사용하는 수천 명의 운전자들이 차량을 운행하지 못하는 초유의 사태가 벌어졌다. 이 사건은 단순한 해킹 사고를 넘어, 우리 일상 깊숙이 침투한 커넥티드 디바이스(Connected Device)의 보안 취약성을 적나라하게 드러냈다.

음주측정 인터락 장치란 무엇인가?

**IID(Ignition Interlock Device)**는 음주운전 전력이 있는 운전자에게 법원이나 관련 기관이 의무적으로 부착하도록 명령하는 장치다. 운전자가 차에 탑승할 때마다 숨을 불어넣어 혈중알코올농도(BAC)를 측정하고, 기준치 이하일 때만 시동이 걸리는 구조다.

현대의 IID는 단순한 하드웨어를 넘어 클라우드 서버와 실시간 연동되는 IoT 기기로 진화했다. 측정 데이터는 자동으로 관리 서버에 전송되고, 정기적인 캘리브레이션(calibration, 기기 보정)도 온라인을 통해 원격으로 이루어지는 경우가 많다. 바로 이 '연결성'이 이번 사이버공격의 핵심 공략 지점이 됐다.

사이버공격의 파급 효과: 단순 불편을 넘어선 법적 위기

이번 사건에서 주목해야 할 점은 피해의 다층적 성격이다.

첫째, 운행 불가 문제다. 서버가 다운되면서 장치가 차량 시동 허가 신호를 받지 못해, 정상적인 운전자들이 물리적으로 이동 자체를 할 수 없게 됐다.

둘째, 법적 리스크다. IID 의무 장착자는 법원 명령에 따라 장치를 정상 작동시켜야 한다. 만약 시스템 오류로 데이터 전송이 안 된다면, 이는 준수 위반(compliance violation)으로 기록될 수 있어 추가적인 법적 제재를 받을 위험이 생긴다.

셋째, 개인정보 유출 우려다. 운전 습관, 위치 정보, 생체 데이터(호흡 측정값)까지 포함된 민감한 정보가 공격자의 손에 넘어갔을 가능성을 배제할 수 없다.

이처럼 인프라 공격은 단순한 서비스 중단이 아니라, 실제 시민의 법적 지위와 신체 이동의 자유에까지 영향을 미친다는 점에서 그 위험성이 극대화된다.

기술적 분석: OT·IoT 보안의 사각지대

보안 전문가들은 이번 사건을 OT(Operational Technology)와 IoT 보안의 전형적인 실패 사례로 분류한다.

IID 같은 장치는 설계 당시 보안보다 기능성과 비용 효율에 초점이 맞춰져 있는 경우가 많다. 여기에 몇 가지 구조적 문제가 겹친다.

• 단일 장애점(Single Point of Failure): 중앙 집중식 서버 구조에서는 서버 하나가 뚫리면 모든 연결 기기가 영향을 받는다.
• 레거시 시스템 의존: 오래된 프로토콜과 암호화 미비로 공격 벡터(attack vector)가 넓어진다.
• 패치 주기의 딜레마: 차량에 부착된 임베디드 기기는 소프트웨어 업데이트가 IT 시스템보다 훨씬 느려, 알려진 취약점이 오랫동안 방치되는 경향이 있다.

랜섬웨어(Ransomware) 공격이었을 가능성도 거론된다. 핵심 인프라를 마비시키고 몸값을 요구하는 수법이 이제 자동차 연계 서비스로까지 확대된 것이다.

국내에 주는 시사점: 한국의 커넥티드카 보안은 안전한가?

이번 사건은 한국에도 직접적인 경고 메시지를 던진다. 국내에서도 커넥티드카(Connected Car) 보급이 빠르게 증가하고 있으며, 차량용 통신 장치, 원격 진단 시스템, 전기차 충전 인프라 등 다양한 IoT 기기가 도로 위 생태계를 형성하고 있다.

국토교통부는 자율주행차 보안 가이드라인을 마련하고 있지만, 법적 의무를 수반하는 차량 부착 장치의 사이버보안 기준은 아직 구체화 단계다. 만약 국내에서도 유사한 인터락 시스템이나 디지털 운행기록장치(DTG)가 공격받는다면 그 파급력은 상당할 것이다.

특히 방산·공공 분야에서는