기아(000270) 노조원 5000여 명의 사번과 전화번호 등 개인정보가 온라인 교육 위탁업체를 통해 유출된 것으로 파악됐다. 최근 금융권과 공공기관을 중심으로 외부 해킹으로 인한 피해가 잇따르는 가운데 산업계에서도 대규모 개인정보 유출이 발생하며 보안 관리에 비상이 걸렸다.
특히 소프트웨어정의차량(SDV) 시대로 넘어가면서 무선 소프트웨어 업데이트(OTA)가 하나로 연결되면서 완성차 업계의 공급망 중 한 곳에서라도 보안 사고가 발생할 경우 차량의 보안까지 뚫릴 수 있다는 우려가 지속적으로 제기돼 위기감을 더하고 있다.
7일 기아 노동조합에 따르면 광명공장 노조원들의 개인정보가 지난달 19일 발생한 맑은소프트 해킹 과정에서 함께 유출됐다. 기아 광명공장 노조는 온라인 교육을 위해 맑은소프트에 시스템과 서버관리를 위탁해왔는데, 외부 해커가 맑은소프트의 서버에 침입하면서 저장된 노조원들의 개인정보가 유출된 것이다.
피해 추정 규모는 광명공장 노조원 5000여 명의 개인정보다. 이들의 이름과 사번, 전화번호가 유출된 것으로 나타났다. 기아 노조는 화성과 광주공장 일부 직원들의 정보도 유출된 것으로 파악하고 현황을 조사하고 있다.
온라인 교육 위탁 관리 업체인 맑은소프트는 지난달 19일 외부에서 내부 서버에 비정상적으로 접근한 뒤 악성 프로그램인 백도어를 설치했다는 사실을 확인했다. 외부 공격자는 회원정보가 저장된 데이터베이스에 접근했고 이로 인해 맑은소프트 고객사 소속 직원들의 개인정보가 유출됐다. 맑은소프트 해킹 사태로 개인정보가 유출된 기관은 국민권익위원회, 국방부, 기아 노조 등 20여 개인 것으로 조사됐다.
맑은소프트는 전수조사 과정에서 기아 광명노조 노조원들의 개인정보가 함께 유출된 점을 확인하고 지난달 25일 노조 측에 이같은 사실을 전달했다. 노조는 이튿날 전 조합원에게 피해사실 확인 문자를 발송하고 출처가 불분명한 문자나 메시지에 포함된 링크를 클릭하지 말아달라고 공지했다.
해킹으로 인해 발생한 실질적인 피해는 아직까지 없는 것으로 파악됐다. 기아 노조 관계자는 “전화번호가 암호화된 채로 유출돼 실제 피해가 발생하지 않을 가능성이 높다” 라며 “노조도 보안대책 수립 등 후속 조치에 임하고 있다”고 말했다.
업계에서는 이번 기아 사례를 계기로 기업들이 자체적인 보안 시스템뿐 아니라 외부 위탁업체에 대한 관리·감독 체계도 강화해야 한다는 목소리가 나온다. 개인정보를 직접 보유한 기업이 아니더라도 협력사나 수탁업체의 보안에 구멍이 생길 경우 대규모 개인정보 유출로 이어질 수 있기 때문이다.
특히 완성차 업계에서는 위기감이 고조되고 있다. 완성차 업계의 보안 구멍은 SDV 시대에 더 큰 피해를 불러올 수 있기 때문이다.
이에 최근 한국인터넷진흥원(KISA)는 현대차, 기아와 첨단차플랫폼(AVP) 본부에서 자동차 사이버 침해사고 대응 모의훈련을 실시했다. 훈련은 공격자가 AI 기반 도구로 협력사 정보시스템에 침투해 차량용 소프트웨어 업데이트 파일을 변조하는 상황을 가정했다. 변조된 파일이 업데이트 경로를 통해 차량에 전달돼 와이퍼와 창문 등 일부 기능에서 이상이 발생하는 시나리오다.
해외에서도 사이버 공격이 자동차 생산과 판매 체계를 모두 뒤흔든 사례가 잇따랐다. 재규어랜드로버(JLR)는 지난해 8월 말 사이버 공격을 받은 뒤 글로벌 시스템을 차단하고 차량 생산을 중단했다. 생산 재개까지는 무려 6주가 소요됐다.