노르웨이서 운용 중인 中 전기버스 “원격 접속 기능 발견”

노르웨이 대중교통 운영회사인 루터(Ruter)는 국내에서 운용하고 있는 중국 제조사 전기버스에 SIM카드가 탑재되어 있는 걸 내부 검사에서 발견했다. 이 SIM카드를 이용하면 전기버스를 원격으로 제어할 수 있는 가능성이 있어 노르웨이 정부는 버스 사이버 보안 리스크를 재검토하고 있다.

노르웨이에서는 전기버스 1,300대가 운행되고 있으며 그 중 850대는 중국 제조사인 위통(宇通, Yutong)이 공급하고 있다. 위통 버스는 노르웨이 수도 오슬로 주변만 해도 300대가 운용되고 있다.

위통제 전기버스 내부 조사가 실시됐을 때 시스템 내 숨겨진 위치에 루마니아 회선 SIM카드가 존재하고 있는 게 발견됐다. 위통에 따르면 SIM카드는 원격 소프트웨어 업데이트 및 기술적인 문제 해결을 가능하게 하기 위한 것이라고 한다. 차량에서 전송된 데이터는 암호화되며 차량 관련 유지보수 및 최적화에만 사용된다고 위통 측은 밝혔다.

이에 루터는 전기버스에 내재된 사이버 보안 리스크를 밝히기 위해 위통 버스와 네덜란드 VDL제 버스를 격리된 산속으로 가져가 실험을 진행했다. 실험 주요 점검 항목으로는 버스 카메라 영상이 인터넷에 연결되어 있지 않은지 버스 소프트웨어 업데이트가 외부에서 접근 가능한지 전원 공급 시스템이 모바일 통신을 통해 접근 가능한지 등이 주목받았다.

그 결과 VDL 버스는 외부로부터의 소프트웨어 업데이트 기능을 갖고 있지 않으며 외부 접근 경로가 제한적이어서 비교적 리스크가 낮은 것으로 밝혀졌다. 반면 위통 버스는 SIM카드를 사용한 모바일 통신을 통해 전원 관리 시스템에 외부에서 접근할 수 있는 구조임이 확인됐다. 이는 다시 말해 원격으로 버스를 정지시키거나 운행 불능 상태로 만들 수 있는 권한을 이론상으로는 위통이 쥐고 있다는 의미다. 다만 루터 측은 버스 카메라 영상이 인터넷을 통해 전송된다는 증거는 없었으며 영상 감시 리스크는 확인되지 않았다고 밝혔다.

실험 결과를 받아 루터는 향후 전기버스 도입에 있어 더 엄격한 보안 요건을 부과할 것, 로컬 제어를 확보하고 해킹으로부터 보호하는 방화벽을 개발할 것, 명확한 사이버 보안 요건에 대해 국가 및 지방자치단체와 협력할 것 등을 표명했다. 노르웨이 교통부는 루터 측 보고를 받아 사이버 보안 기준 재검토를 시작한다고 발표했다.

루터 측 베른트 레이탄 옌센(Bernt Reitan Jenssen) CEO는 이번 포괄적이고 독자적인 테스트를 통해 버스에 적절한 안전 대책을 마련할 수 있게 됐다며 이번 조사에서는 악의적인 활동 증거는 발견되지 않아 우려에 그쳤지만 이런 우려를 구체적인 지식으로 전환하여 안전 기준 엄격화로 이어갈 수 있었다고 말했다.

현재 루터 측은 필요에 따라 통신을 차단하거나 SIM카드를 물리적으로 제거해 전기버스를 로컬 또는 오프라인으로 운용할 수 있도록 하고 있다고 설명했다. 관련 내용은 이곳에서 확인할 수 있다.