최신車 21대 중 19대 “제3자에 데이터 전송중”

요즘 자동차는 바퀴 달린 스마트폰이라 불릴 만큼 기능이 많고 방대한 데이터를 처리한다. 어디를 달렸는지와 얼마나 빨리 가속했는지, 브레이크를 얼마나 세게 밟았는지, 얼마나 급하게 방향을 틀었는지 같은 정보가 기록된다. 자동차 제조사가 모은 운전 데이터를 제3자에 팔아온 게 문제가 되는 가운데 미국 노스이스턴대(Northeastern University) 연구진이 인터넷에 연결되는 커넥티드카 개인정보 보호 실태 조사 보고서를 내놨다. 시험 차량 21대 가운데 거의 전부가 제3자에 데이터를 보내고 있었다.

◇ GM 운전 데이터 판매로 제재=제너럴모터스(GM)는 커넥티드 서비스 온스타(OnStar)에서 과속과 급가속, 급제동, 야간 운전 등을 기록하는 선택 기능 온스타 스마트 드라이버(OnStar Smart Driver)를 제공해왔다. 2024년에는 GM이 이렇게 모은 운전 데이터를 데이터 중개업체에 넘겼고 이 데이터가 보험사용 위험 평가 등에 쓰였다는 보도가 나왔다.

미국 연방거래위원회(FTC)는 2026년 1월 GM이 이용자에게 충분히 설명하지 않고 명시적 동의도 받지 않은 채 위치 정보와 운전 행동 데이터를 수집해 판매했다며 제3자 데이터 제공을 5년간 금지했다. 또 데이터를 수집·이용·공유하기 전에 이용자에게 명시적 동의를 받고 이용자가 데이터 사본이나 삭제를 요구할 수 있는 장치를 마련하도록 의무화했다.

캘리포니아주에서도 GM이 2020년부터 2024년까지 주민 수십만 명의 위치 정보와 운전 행동 데이터를 보험사용 위험 분석 업체인 렉시스넥시스(LexisNexis)와 베리스크(Verisk)에 팔았다는 문제로 2026년 5월 178억5,000만원대(1,275만 달러)를 내는 합의가 발표됐다. 데이터 수집 문제에선 혼다와 기아, 현대차 등도 운전 데이터를 보험사 등과 공유해온 사실이 드러난 바 있다.

◇ 패러데이 텐트로 통신 가로채=이에 노스이스턴대 연구진과 비영리 소비자단체 컨슈머스유니언(Consumers Union)이 발행하는 월간지 컨슈머리포트(Consumer Reports)가 함께 커넥티드카 개인정보 처리 실태를 자세히 조사했다. 연구진은 컨슈머리포트가 마련한 시험 차량 21대로 어떤 차가 데이터를 보내는지와 누가 그 데이터를 받는지, 데이터가 국경을 넘는지, 실제로 어떤 개인정보가 새어 나가는지를 추적했다.

노스이스턴대 사이버보안·프라이버시연구소 소장을 지낸 이번 조사 책임자 데이비드 초프니스(David Choffnes)는 인터뷰에서 프로젝트 목적이 오늘날 차량 데이터 추적 규모를 밝히고 차주가 실제로 이를 얼마나 들여다보거나 통제하지 못하는지 드러내는 데 있다고 말했다. 결론적으로 걱정할 일이 많다고 느꼈다고 덧붙였다.

연구진은 미국에서 팔리는 19개 브랜드 최신 차량 21대와 운행 중인 차량에 연결된 모바일 앱 30종을 분석했다.

차량이 직접 보내는 통신에서는 여러 제3자 추적 업체를 포함한 수신 도메인을 찾아냈다. 다만 암호화된 데이터 본문은 차량을 해킹하지 않는 한 풀어볼 수 없었다. 반면 와이파이 통신은 가로채기가 비교적 쉬웠다. 연구진은 차량마다 라즈베리 파이(Raspberry Pi)를 설치해 차량 와이파이에 연결하고 모바일 핫스폿을 거쳐 인터넷에 접속하도록 경로를 짰다. 이렇게 해 차량이 달리는 중에도 내보내는 와이파이 통신을 지켜볼 수 있었다.

휴대전화망 통신을 잡아내는 데는 약간의 궁리가 필요했다. 공공 이동통신망에 간섭할 수 있는 무허가 기지국 설치를 피하려고 연구진은 차를 통째로 덮을 만큼 큰 패러데이 텐트를 만들었다. 전파를 차단하는 이 텐트로 차량과 외부 기지국 간 통신을 끊어 차가 연구진이 마련한 와이파이에 연결되도록 했다.

◇ 앱 7종은 차대번호·위치 광고망에 전송=조사 결과 대상 차량 21대 가운데 19대가 와이파이로 제3자 도메인 하나 이상에 데이터를 보냈다. 절반이 넘는 차량은 광고와 추적, 분석을 전문으로 하는 도메인에 접속했다.

가장 많은 제3자 도메인에 접속한 건 구글(Google) 안드로이드 오토모티브 OS(Android Automotive OS)와 구글 오토모티브 서비스(Google Automotive Services)를 탑재한 차량이었다. 초프니스는 제조사가 고르는 소프트웨어 플랫폼이 제3자에 넘어가는 데이터 양을 직접 좌우한다고 지적했다.

모바일 앱에선 혼다 혼다링크(HondaLink)와 링컨 링컨(Lincoln), 닛산 마이닛산(MyNissan), 캐딜락 마이캐딜락(myCadillac), 쉐보레 마이쉐보레(myChevrolet), 뷰익 마이뷰익(myBuick), GMC 마이GMC(myGMC)까지 연동 앱 7종이 차대번호(VIN)와 전화번호, 정확한 위치 정보 같은 민감 정보를 광고 네트워크에 곧바로 보내는 것으로 나타났다. 시험한 연동 앱 70% 이상이 서로 다른 도메인 5곳 이상에 접속했다. 차대번호와 개인 식별 데이터가 묶이면 데이터 중개업체는 운전자 개개인에 대한 상세한 신상 정보를 만들 수 있다. 연구진은 모든 제조사가 앱 개인정보처리방침에 개인정보를 제3자와 공유할 수 있다고 밝히고 있지만 어떤 제3자와 어떤 목적으로 주고받는지는 공개하지 않는다고 지적했다.

개인정보를 받은 제3자 가운데 통신이 가장 많았던 곳은 어도비 애널리틱스(Adobe Analytics)와 제3자 데이터 중개업체 액시엄(Acxiom), 분석업체 콘텐트스퀘어(Contentsquare)였다. 아마존(Amazon)과 구글, 메타(Meta), 마이크로소프트(Microsoft) 같은 대형 기술기업도 운전자 데이터를 주로 받는 곳으로 꼽혔다.

◇ 제조사 반응 엇갈려=자동차 제조사들은 조사 결과에 저마다 다르게 대응했다. 혼다는 조사 결과를 받아 소프트웨어를 고쳤다. 분석 업체 앰플리튜드(Amplitude)에 수집한 위치 데이터를 모두 지우라고 요청하고 혼다링크 앱을 업데이트해 위치 정보 전송을 멈췄다고 밝혔다. GM 대변인은 연구진 문의에 고객이 내비게이션과 통신, 안전 향상 같은 차량 연결 기능 혜택을 누릴 수 있도록 고객 데이터를 안전하게 지키는 데 힘쓰고 있다고 답했다. 명확하고 알기 쉬운 개인정보처리방침도 제공하고 있다고 덧붙였다.

초프니스는 소비자가 커넥티드카를 사거나 앱을 설정할 때 자신이 무엇에 동의하는지 모른다는 게 근본 문제라고 지적했다. 그는 자동차 제조사가 신뢰를 되찾으려 노력해야 한다며 투명성을 높이고 소비자가 비싼 차를 산 뒤 거부 의사를 밝혀야 하는 옵트아웃 대신 더 분명한 옵트인 방식을 택하는 게 중요하다고 말했다. 관련 내용은 이곳에서 확인할 수 있다.