카인사이트 
차가 인터넷에 연결되면서 해킹은 더 이상 컴퓨터만의 문제가 아니게 됐다. 국토교통부에 따르면 자동차 사이버보안 위협 사례는 2025년까지 최근 6년간 연평균 약 68.8% 늘었다.
주행 중 조향이나 제동이 외부 명령으로 움직인다면 결과는 정보 유출과 차원이 다르다. 규제가 따라붙은 이유다.
인증을 못 받으면 팔지 못한다
제도의 이름은 자동차 사이버보안 관리체계, 줄여서 CSMS다. 제작사가 차량의 개발부터 생산, 판매 후 운행, 폐기까지 전 생애주기에 걸쳐 사이버 위협을 관리하는 체계를 갖추도록 의무화한 제도다.
국제 기준인 UN R155를 참고해 자동차관리법을 고쳐 들여왔다. 국내에서는 2025년 8월 신규 차종부터 적용이 시작됐고, 2027년 8월부터는 기존에 팔리던 양산 차종까지 포함한 전 차종으로 넓어진다. 인증 심사는 한국교통안전공단 자동차안전연구원이 맡는다.
핵심은 이 인증이 선택이 아니라는 점이다. 국토교통부의 사전 인증을 받지 못하면 국내에서 차를 팔 수 없다.
이미 출고가 밀린 사례가 나왔다
제도의 무게는 실제 사례에서 드러났다. 중국 전기차 브랜드 지커는 보안 인증 절차에 걸리면서 국내 출고 일정을 잡지 못했다. 미국에서 승인이 막힌 폴스타가 국내에서는 판매를 이어 간 사례도 이 인증 체계의 차이 때문에 화제가 됐다.
부담이 커지자 협업도 나왔다. 르노코리아와 지리자동차, 폴스타는 지난 9일 CSMS 인증을 공동으로 신청했다. 차량 개발과 생산에서 이미 협력하던 세 회사가 보안 인증까지 함께 묶은 것이다. 인증 준비에 드는 비용과 조직을 혼자 감당하기 어렵다는 현실이 읽히는 대목이다.
해킹 신고부터 복구까지 훑었다
지난 15일에는 현대자동차 판교 AVP본부에서 자동차 사이버보안 사고대응 민관합동 모의훈련이 열렸다. 국토교통부와 한국교통안전공단 자동차안전연구원, 한국인터넷진흥원, 경찰청, 현대자동차가 함께 참여했다.
도상훈련 방식으로 진행된 시나리오는 단계별로 짜였다. 현대차가 이상 신호를 탐지해 사고를 신고하면, 자동차안전연구원이 기술 검토를 거쳐 국토부에 보고한다. 인터넷진흥원이 침해 원인을 분석하는 동안 경찰청은 해커를 추적한다. 이어 문제가 된 소프트웨어 배포를 멈추고 개선된 버전을 내려보내 차량을 되돌린 뒤, 조치되지 않은 차량을 추적하는 순서다.
공격 시나리오에는 인공지능 기반 공격 도구로 협력사 정보시스템에 침투하는 상황도 포함됐다. 완성차가 아니라 부품사를 노리는 경로를 함께 다룬 것이다.
부품사를 경유하는 공격은 방어하기 까다롭다. 차 한 대에는 수백 개 회사가 만든 부품과 소프트웨어가 들어가는데, 보안 수준은 회사마다 제각각이다. 완성차 업체가 아무리 방벽을 높여도 협력사 한 곳이 뚫리면 그 통로로 들어올 수 있다. CSMS가 제작사 한 곳이 아니라 공급망 전체를 관리하도록 요구하는 이유가 여기에 있다.
훈련을 도상 방식으로 진행한 점도 눈여겨볼 대목이다. 실제 차량을 공격해 보는 대신 기관별 대응 절차를 순서대로 짚어 보는 방식인데, 사고가 났을 때 누가 무엇을 먼저 하는지가 불분명하면 기술이 있어도 대응이 늦어지기 때문이다.
국민 안전과 직결된 문제다
박준형 국토교통부 모빌리티자동차국장은 자동차 사이버보안 사고는 일반 사이버보안 사고와 달리 국민의 생명과 안전에 직결된다고 말했다.
소프트웨어 중심 차량으로 넘어가면서 무선 업데이트와 커넥티드 기능이 늘고, 그만큼 외부에서 들어올 수 있는 통로도 늘었다. 편의 기능이 늘어난 만큼 지켜야 할 문이 많아진 셈이다.
국내에서 판매되는 차 10대 중 4대가 이미 인터넷에 연결돼 있다는 집계도 있다. 내비게이션 업데이트부터 원격 시동, 주행 보조 기능 개선까지 무선으로 처리되는 범위가 넓어지면서, 한 번 뚫리면 같은 차종 전체가 동시에 영향을 받는 구조가 만들어졌다. 개인정보가 새는 사고와 성격이 다른 이유다.
국제 기준을 만든 곳은 유엔 유럽경제위원회다. UN R155가 사이버보안 관리체계를, R156이 소프트웨어 업데이트 관리체계를 각각 다루며 두 규정 모두 자동차 형식승인의 조건으로 들어가 있다. 유럽이 먼저 의무화했고 한국이 뒤따랐으며, 다른 나라로도 확산되는 흐름이다.
소비자가 당장 체감할 일은 많지 않다. 다만 2027년 8월이 다가올수록 인증을 준비하지 못한 브랜드의 차종이 라인업에서 조용히 빠지거나 출시가 미뤄지는 일은 생길 수 있다. 지금 새 차를 고르고 있다면, 그 브랜드가 국내 인증 체계를 어떻게 준비하고 있는지도 한 번쯤 따져 볼 항목이 됐다.
