커넥티드카 취약점, 번호판만으로 차량 원격 잠금 해제
원제: Unlocking any car from X brand in most of the world
왜 중요한가
커넥티드카 플랫폼의 관리자 도구 노출과 하드코딩 API 키는 대규모 물리적 보안 위협으로 직결되는 사례로, 자동차 업계 전반의 보안 설계를 재점검할 계기가 된다.
보안 연구원 Shubs와 Sam Curry가 2026년 7월 특정 완성차 브랜드의 커넥티드카 플랫폼을 분석해, 번호판 정보만으로 전 세계 대부분 지역에서 해당 브랜드 차량의 원격 잠금 해제가 가능한 취약점을 발견했다. 관리자 도구 서브도메인이 공개 인터넷에 노출돼 있었고, JavaScript 번들에 API 키가 하드코딩된 상태였다.
Assetnote 공동 창업자 Shubs는 Sam Curry와 협력해 익명의 주요 완성차 브랜드(이하 '해당 완성차')의 커넥티드카 시스템 보안을 점검했다. 조사는 소비자 앱 APK를 역컴파일해 API 통신 구조를 파악하는 것에서 시작됐다.
앱의 거의 모든 통신은 `redacted-telematics.com.au` 도메인 하위로 집중됐다. 이 도메인을 더 탐색하자 `admintool.redacted-telematics.com.au`라는 서브도메인이 발견됐다. 해당 페이지는 'TEST HARNESS'라는 제목의 허술한 로그인 화면을 제공했으며, 로그인 전임에도 로그아웃 버튼이 노출돼 있었다.
핵심 문제는 이 관리자 도구가 공개 인터넷에 노출된 채로, 직원들이 고객 계정과 실제 차량을 거의 제한 없이 조작할 수 있는 풍부한 API를 보유하고 있었다는 점이다. JavaScript 번들에는 인증 없이 API를 호출할 수 있는 API 키가 하드코딩돼 있었다. 이를 통해 이메일 주소만으로 고객 계정 조회가 가능했다.
더 나아가, 호주 기준으로 각 주의 차량 등록 조회 사이트를 통해 번호판에서 VIN(차량 식별 번호)을 얻는 것은 비교적 쉽다. VIN을 확보하면 해당 관리자 API를 통해 차량 원격 잠금 해제까지 이어지는 공격 경로가 완성된다. 연구진은 이 취약점이 세계 대부분의 지역에서 해당 브랜드 차량에 적용 가능하다고 밝혔다.