폭스바겐 카리아드, 80만 전기차 소유자 데이터 유출…위치 정보까지 노출

폭스바겐의 소프트웨어 자회사 카리아드(Cariad)에서 대규모 데이터 유출 사고가 발생했다. 이번 사고로 약 80만 명의 전기차 소유자의 개인 데이터가 온라인에 노출되어 몇 달 동안 누구나 접근할 수 있었던 것으로 밝혀졌다. 독일 매체 슈피겔은 2024년 12월 27일 보도에서 이 사고가 폭스바겐, 아우디, 시트, 스코다 소유주들의 전기차와 관련되어 있으며, 독일을 포함한 유럽 및 전 세계에 영향을 미쳤다고 전했다.

온라인에 노출된 데이터에는 고객의 연락처 정보와 지리적 위치 데이터가 포함되었다. 이는 자동차가 집에 주차되어 있는지, 고속도로를 주행 중인지, 또는 특정 장소(예: 매춘 업소 밖)에 위치하고 있는지까지 확인할 수 있는 수준이었다고 한다. 이러한 민감한 정보는 보호되지 않은 채 잘못 구성된 아마존 클라우드 스토리지 시스템에 저장되어 몇 달 동안 노출되었다. 문제는 해커 협회 Chaos Computer Club(CCC)의 경고를 통해 밝혀졌으며, 익명의 해커로부터 제보를 받은 것으로 전해졌다.

폭스바겐은 데이터가 몇 달 동안 누구나 접근할 수 있는 상태였지만, 실제로 누군가가 이를 악용한 증거는 없는 것으로 보인다고 밝혔다. 그러나 약 80만 대의 차량 중 46만 6,000대는 위치 데이터가 매우 정확하게 저장되어 있어 운전자의 일상생활을 추적할 수 있는 위험이 있었던 것으로 나타났다. 슈피겔은 해당 소유자 명단에 독일 정치인, 기업가, 경찰, 심지어 정보기관 직원으로 의심되는 사람들도 포함되어 있었음을 지적하며, 이번 사건이 심각한 사생활 침해를 초래할 가능성이 있었음을 강조했다.

카리아드는 슈피겔의 보도에 대해 민감한 데이터가 노출되지 않았다고 주장하며, 비밀번호나 결제 데이터는 영향을 받지 않았기 때문에 고객들이 별도의 조치를 취할 필요는 없다고 밝혔다. 폭스바겐 또한 개별 데이터에 접근하는 과정은 높은 수준의 전문 지식과 상당한 시간 투자가 필요하다고 강조하며, CCC가 특정 사용자의 데이터를 결론지으려면 여러 보안 메커니즘을 우회하고 다른 데이터 세트를 결합해야 했다고 덧붙였다.

이번 사건은 소프트웨어와 데이터 보안 문제에 대한 자동차 업계의 과제를 드러냈다. 폭스바겐은 이번 사고에 대해 “절차를 개선하고 보안을 강화하겠다”는 입장을 밝혔지만, 고객 정보 보호에 대한 신뢰 회복은 쉽지 않을 전망이다.

한편, 폭스바겐이 이러한 사고를 겪은 유일한 제조업체는 아니다. 토요타 역시 2023년 일본에서 200만 명 이상의 소유자 데이터가 유출된 사건을 인정한 바 있다.