현대차 美 IT 자회사 해킹사고, 신고 확인 피해자 '8명'에 불과

현대자동차그룹의 미국 IT 자회사인 현대 오토에버 아메리카(HAEA)가 해킹 공격을 받아 현대·기아·제네시스 차량 소유주를 포함한 최대 270만 명의 개인정보가 노출될 잠재적 위험에 처했다고 미국 자동차 전문매체 켈리블루북(KBB)과 모터비스킷은 지난 11일(현지시간) 전했다.

그러나 회사 측이 관계 당국에 신고한 자료에 따르면 현재까지 실제 피해가 확인된 인원은 8명에 불과해, 실제 유출 피해 규모는 더 두고봐야 하는 상황이다.


현대 오토에버 아메리카(HAEA)는 현대차그룹의 북미 디지털 서비스와 2300여 개 딜러십의 시스템을 관리하는 핵심 자회사이다. 회사 시스템은 올해 2월 22일부터 3월 2일까지 약 10일간 해커의 무단 침입을 받았다.

외부 사이버 보안 전문가와 법 집행기관이 참여한 조사 결과, 해커가 개인정보 저장 시스템에 접근한 사실은 확인되었다. 노출된 정보에는 이름, 사회보장번호(SSN), 운전면허증 번호 등 미국에서 신분 확인과 금융 거래에 필수적인 민감 정보가 포함된다.
캘리포니아 법무장관실에 제출된 서한에서 회사 측은 "위협 행위자가 시스템에 저장된 개인정보에 접근한 것은 확인되었으나, 정보가 실제로 외부로 유출되었는지는 확인할 수 없었다"고 밝혔다.


이번 사건은 HAEA가 관리하는 서비스 통합 차량이 270만 대 이상이라는 점 때문에 최대 270만 명의 잠재적 피해 가능성이 제기되었다. 하지만 사건 조사 초기 단계에서 확인된 실제 피해 신고 건수는 이와 큰 차이를 보인다.

회사 측이 메인주와 매사추세츠주 등 미국 주 당국에 제출한 데이터 유출 통지에 따르면, 실제 영향을 받은 것으로 신고된 인원은 메인주 1명, 매사추세츠주 7명으로 총 8명에 불과한 것으로 나타난다.

이는 270만 명이라는 숫자가 최대 잠재적 피해 추정치일 뿐, 실제 유출 규모는 훨씬 적을 수 있음을 시사한다. 하지만 더 내셔널 CIO 리뷰 등에서는 200만 명 이상의 사용자와 거의 300만 대 차량에 서비스를 제공하는 HAEA 플랫폼을 고려하면, 작은 침해라도 광범위한 개인정보 보호 영향을 미칠 수 있다"고 지적하며, 추가적인 조사와 피해자 통보 과정에서 실제 피해 규모가 늘어날 가능성을 배제할 수 없다고 보도했다.
한편 현대차그룹은 이번 사이버 공격을 인지한 즉시 외부 사이버 보안 전문가 및 법 집행기관과 협력하여 침입자를 차단하고 사건 범위 조사를 시작했다. 또한, 북미 IT 자회사의 디지털 서비스 보안 강화를 위해 시스템 접근 통제를 강화하고 암호화 조치를 실행하는 등 보안 시스템을 전면 재정비하는 노력을 기울이고 있다. 이는 잠재적 피해를 최소화하고 고객의 개인정보 보호를 최우선으로 하겠다는 회사 측의 의지를 반영한다. 현대 오토에버 아메리카는 회사 웹사이트를 통해 2,200명의 IT 전문가가 근무한다고 밝혔다.


현대 오토에버 아메리카는 정보 유출 가능성이 있는 대상자들에게 지난 10월 30일부터 우편으로 통지를 시작했다.

통지를 받은 고객들에게는 2년간 무료 신용 모니터링 서비스가 제공된다. 해당 서비스는 에픽 프라이버시 솔루션(Epiq Privacy Solutions)을 통해 제공되며, 대상자는 통지서를 받은 날로부터 90일 이내에 등록해야 한다. 고객들은 855-720-3727 번호로 전화해 자세한 내용을 문의할 수 있다.


이번 사건은 '바퀴 달린 컴퓨터'로 불리는 자동차 산업의 데이터 보안 취약성을 다시 한번 드러냈다. 오늘날 자동차는 운전자의 위치, 운전 습관, 결제 정보 등 방대한 개인정보를 수집한다.

모질라 재단은 2023년 조사에서 자동차를 연구원들이 검토한 제품 범주 중 "최악의 제품 범주"로 평가했다. 연방거래위원회(FTC)는 제너럴 모터스(GM)가 운전자 데이터를 무단 판매한 사실을 확인하고 5년간 데이터 판매를 금지하는 등 자동차 업계의 데이터 관행에 대한 규제와 우려가 증폭하고 있다.

보안 전문가들은 피해 가능성이 있는 고객들에게 은행 계좌 및 신용카드 명세서에서 승인되지 않은 거래가 있는지 즉시 확인하고, 신용 보고서에 알 수 없는 새 계정이 개설됐는지 점검할 것을 권고한다. 다단계 인증 활성화와 공식 웹사이트만 이용하는 것도 추가 피해를 막는 예방책으로 제시된다.


박정한 글로벌이코노믹 기자 park@g-enews.com