노스이스턴 대학교 연구진이 컨슈머리포트와 함께 21대의 차량과 19개 브랜드의 커넥티드카 앱 30개를 분석한 결과, 일부 자동차 회사의 앱과 차량이 차대번호(VIN), 이메일 주소, 전화번호, 위치 정보 같은 개인정보를 구글, 메타, 어도비 같은 광고·추적·분석 기업에 보내고 있었습니다. 특히 GM의 여러 앱(myCadillac, myChevrolet, myBuick, myGMC)은 VIN과 이메일 주소를 다수의 외부 기업에 전송한 것으로 나타났습니다. VIN은 사용자가 바꿀 수 없는 고유 식별자라서, 다른 서비스의 행동 데이터나 구매 이력과 연결해 사용자를 추적하는 데 악용될 수 있다는 점이 문제로 지적됩니다. 연구진이 문제를 알렸을 때 대부분의 제조사는 "이용약관에 동의한 소비자 책임"이라며 책임을 떠넘겼고, 혼다만 유일하게 위치 데이터 공유를 중단하는 등 실질적인 조치를 취했습니다. 연구진은 커넥티드카 생태계의 데이터 공유 방식이 불투명하다며 더 높은 투명성이 필요하다고 지적했습니다.
노스이스턴대 연구진이 21대 차량과 30개 자동차 제조사 앱을 분석해, 일부가 VIN·이메일·전화번호·위치정보 등 개인정보를 광고·추적·분석 기업에 전송하는 것을 확인했습니다.
VIN처럼 변경 불가능한 고유 식별자가 개인정보와 함께 외부 기업에 넘어가면, 여러 서비스에 걸친 사용자 행동을 하나로 묶어 추적하는 '크로스 컨텍스트 추적'에 악용될 수 있습니다.
제조사 앱과 차량이 핵심 기능과 무관한 광고·분석 도메인(doubleclick.net, googlesyndication.com 등)과 통신하고, 이런 데이터 공유 사실과 대상을 개인정보처리방침에 구체적으로 공개하지 않았습니다.
연구진이 18개 제조사 중 17곳에 결과를 통보했고 14곳이 응답했습니다. 대부분은 제3자 계약상 정상적인 데이터 흐름이라고 답했지만, 혼다만 Amplitude에 위치 데이터 삭제를 요청하고 앱의 위치정보 전송을 중단했습니다.
기업 보안 담당자는 차량·IoT 연동 앱을 사내 도입하거나 임직원에게 권장할 때, 벤더의 개인정보처리방침만으로는 실제 데이터 흐름을 알 수 없다는 점을 인지하고 트래픽 수준의 검증이나 계약상 데이터 공유 범위 명시를 요구할 필요가 있습니다.
본문
당신의 차에 딸려 오는 앱이 당신에 대해 아는 정보를 가장 큰 테크 기업 몇 곳과 공유하고 있을 수 있습니다. 노스이스턴 대학교(Northeastern University) 연구진은 21대의 차량과 30개의 자동차 제조사 앱을 테스트했고, 일부가 차대번호(VIN, Vehicle Identification Number), 이메일 주소, 전화번호, 위치 정보를 광고·추적·분석 기업에 보내고 있는 것을 발견했습니다.
이 연구는 컨슈머리포트(Consumer Reports)와 함께 진행됐으며, 컨슈머리포트는 자신들이 테스트용으로 구매한 차량에 대한 접근 권한을 연구진에게 제공했습니다. 21대의 차량은 19개 브랜드에서 나온 것이었습니다.
제너럴모터스(GM)를 상대로 한 FTC(미국 연방거래위원회)의 제재 조치처럼 이미 알려진 사례를 넘어서면, "커넥티드카 생태계의 개인정보 관련 영향에 대해서는 상대적으로 알려진 것이 거의 없다"고 연구진은 적었습니다.
이번 조사의 방법
연구팀은 Wi-Fi를 지원하는 각 차량을 라즈베리파이(Raspberry Pi)로 만든 액세스 포인트에 연결하고 트래픽을 기록했습니다. 차량들은 주차된 채 30분간 아무 조작 없이 방치된 상태, 주차된 채 30분간 팀원이 문·조작장치·인포테인먼트 메뉴를 사용한 상태, 그리고 컨슈머리포트의 테스트 시설 내 사설 도로에서 15분간 주행한 상태로 각각 테스트됐습니다.
(출처: 연구 논문)
테스트한 모든 차량은 팀이 암호화된 트래픽을 들여다보기 위해 주입한 변조된 인증서를 거부했습니다. "이 결과는 제조사들이 인증서 검증을 제대로 시행하고 있음을 보여준다"고 저자들은 말했습니다. 이들은 각 차량이 접속한 도메인과 함께 트래픽의 양과 시점을 기록했습니다.
차량은 자체 셀룰러 연결을 통해서도 데이터를 보낼 수 있는데, 연구팀은 대부분의 차량에서 이를 가로챌 수 없었습니다. 모바일 신호가 끊겼을 때 트래픽이 Wi-Fi로 옮겨가는지 확인하기 위해, 연구팀은 11대의 전기차를 패러데이 텐트(Faraday tent, 외부 셀룰러 신호가 내부 차량에 도달하지 못하도록 차단하는 차폐 시설)에 넣었습니다.
사용자가 직접 접근 가능한 SIM 슬롯이 있는 테슬라 Model 3의 경우, 연구팀은 맞춤 제작한 SIM 카드를 사용해 텐트 안에서 자체 LTE/5G 네트워크를 운영했습니다. 저자들은 차량 트래픽을 복호화할 수 없었고 서버 측에서 공유되는 데이터도 볼 수 없었던 만큼, 이번 결과는 '하한선'으로 봐야 한다고 말했습니다.
차량들이 트래픽을 보낸 곳
21대 중 19대가 Wi-Fi를 통해 적어도 하나의 제3자와 통신했습니다. 11대는 광고·추적·분석과 관련된 도메인 최소 하나와 접촉했습니다. 21대 중 13대는 구글 소유 도메인과 통신했습니다.
논문에 따르면 doubleclick.net, googlesyndication.com 등 관측된 일부 도메인은 핵심 서비스에 필요하지 않으며 광고 목적으로 사용됩니다.
테슬라 Model 3는 34개의 고유한 광고·추적·분석 도메인과 통신했고, 테슬라 사이버트럭(Cybertruck)은 23개, 캐딜락 리릭(Cadillac Lyriq)은 10개였습니다.
뷰익 엔비스타(Buick Envista), 메르세데스 EQS, 랜드로버 레인지로버(Range Rover)를 포함한 10대의 차량은 Wi-Fi를 통해 어떤 곳과도 통신하지 않았습니다.
셀룰러 신호를 차단하자 텐트 안의 11대 차량 중 7대에서 더 많은 통신 대상이 드러났습니다. 테슬라 Model 3는 텐트 밖보다 안에서 27개 더 많은 추적 관련 도메인과 통신했고, 사이버트럭은 14개 더 많았습니다. 분석·추적 도메인 하나인 conviva.com은 Model 3의 셀룰러 연결에서 나타났다가 셀룰러가 차단되자 Wi-Fi로 옮겨갔습니다.
앱이 추가하는 추적 기능
앱의 70%가 5개 이상의 고유한 광고·추적·분석 도메인과 통신한 반면, 차량에서는 그 비율이 29%에 그쳤습니다.
"우리 데이터셋에 포함된 대부분의 차량에서, 동반 앱은 누적 ATA(광고·추적·분석) 노출을 최소 두 배로 늘린다"고 연구진은 ATA를 약어로 사용하며 설명했습니다.
Wi-Fi로는 이들 기업과 직접 접촉하지 않았던 뷰익 엔비스타와 닛산 아리야(Nissan Ariya)는, 앱을 포함시키자 20개 이상의 광고·추적·분석 기업과 연결됐습니다.
VIN, 이메일, 위치 정보
30개 앱 중 7개가 광고·추적·분석 기업에 개인정보를 전송했습니다. 연구진은 복호화된 앱 트래픽에서 VIN, 차량 번호판 번호, 소유자 이름, 전화번호와 이메일 주소, 위치 정보, Wi-Fi 네트워크 이름과 Wi-Fi 비밀번호(해시 처리된 버전 포함)를 찾아보았습니다.
가장 흔하게 공유된 항목은 VIN이었습니다. GM의 myCadillac, myChevrolet, myBuick, myGMC 앱은 VIN을 어도비(Adobe), 액시옴(Acxiom), 콘텐트스퀘어(ContentSquare), 풀스토리(FullStory), 구글, 메타, 마이크로소프트, 핀터레스트, 스냅, 야후에 보냈습니다. 네 개 앱 모두 소유자의 이메일 주소를 어도비에 보냈고, 그중 세 개는 콘텐트스퀘어에도 보냈습니다.
myCadillac과 myGMC는 위치 정보를 콘텐트스퀘어에 보냈고, myChevrolet은 어도비에 보냈습니다. myGMC는 소유자의 전화번호도 콘텐트스퀘어에 보냈습니다.
HondaLink는 VIN과 정밀 위치 정보를 앰플리튜드(Amplitude)에 보냈고, MyNISSAN은 VIN과 이메일 주소를 알케머(Alchemer)에 보냈으며, 링컨(Lincoln) 앱은 VIN을 콘텐트스퀘어에 보냈습니다.
휴대폰의 광고 ID는 사용자가 재설정할 수 있지만, VIN은 "법적 제약을 받아 변경할 수 없다"고 저자들은 지적했습니다. VIN과 다른 개인정보를 함께 받는 기업은 이를 이용해 "사용자에 대한 크로스 컨텍스트 추적을 구현"할 수 있으며, 차량 소유자를 "다른 웹사이트와 모바일 앱에서의 행동 데이터 및 구매 이력과 연결"할 수 있다고 덧붙였습니다.
책임을 운전자에게 떠넘기는 자동차 제조사들
연구진은 7개 앱의 개인정보처리방침을 검토했습니다. 개인정보를 공유한 모든 제조사는 제3자와 데이터를 공유할 수 있다고 공시했습니다. 하지만 그 정책들은 구체적으로 어떤 제3자인지, 어떤 목적인지는 명시하지 않았습니다.
GM, 링컨, 닛산은 VIN을 제3자와 공유한다고 공시했으며, 닛산의 정책에는 VIN을 공유하는 것이 다른 고유 식별자를 공유하는 것보다 개인정보 보호에 더 유리하다고 적혀 있었습니다.
연구팀은 조사 대상 18개 제조사 중 17곳에 조사 결과를 통보했고 14곳으로부터 답변을 받았으며, 3곳은 답하지 않았습니다. 피스커(Fisker)는 통보 전에 이미 폐업해 연락 대상에서 제외됐습니다.
답변한 모든 제조사는 해당 데이터 흐름이 제3자 서비스 제공업체와의 계약 내용과 일치한다고 밝혔습니다. 5곳은 앱이 일부 링크를 내장 브라우저로 여는데, 그 웹페이지에 있는 제3자가 데이터를 수집할 수 있다고 답했습니다. 그중 3곳은 해당 페이지가 사용자에게 추적 쿠키 수락 또는 거부를 묻는다고 답했습니다. 그러나 앱 테스트 중 녹화된 기록을 보면 항상 그런 것은 아니었습니다.
7개 제조사는 사전 설치된 소프트웨어를 포함해 차량 내 제3자 소프트웨어의 이용약관을 읽고 동의하는 것은 소비자의 책임이라고 답했습니다.
"이 모든 답변에 걸쳐 공통적으로 나타난 주제는 소비자에게 책임을 떠넘기는 것이었다"고 연구팀은 프로젝트 웹사이트에서 밝혔습니다. "현재 시스템은 소유자에게 선택할 수 있는 권한을 주지 않는다."
데이터 공유를 거부한 소유자에게는 경고가 주어집니다. 테슬라는 데이터 공유 약관에 동의하지 않은 소유자에게 "이는 차량의 기능 저하, 심각한 손상, 또는 작동 불능으로 이어질 수 있다"고 안내합니다.
혼다는 이번 조사 결과에 대응해 실제로 관행을 바꾼 유일한 제조사였습니다. 결과가 공개된 후, 혼다는 앰플리튜드에 이미 받은 위치 데이터를 삭제해 달라고 요청했고, HondaLink가 더 이상 위치 정보를 이 회사에 보내지 않도록 업데이트했습니다.
"전반적으로, 이번 연구는 자동차 제조사들이 공개적으로 공시한 내용과 커넥티드카 생태계가 실제로 인터넷을 통해 데이터를 공유하는 방식 사이에 큰 간극이 있다는 것을 드러냈으며, 이는 명백한 개인정보 영향을 수반한다. 차량 시스템의 불투명한 특성을 고려할 때, 우리는 전체 생태계에 대한 가시성을 높여 그에 따른 피해를 식별하고 해결할 수 있도록 더 나은 투명성이 필요하다고 주장한다"고 연구진은 결론지었습니다.
