[국내보안뉴스] 중국계 EV 기업 BYD의 개인정보 국외 이전 논란, 차량 사이버보안 검증대로
· 2026-10-10 01:00
· 조회 13
· 원문 ↗
최근 국회 국토교통위원회 국정감사에서 중국 완성차 기업 BYD코리아의 국내 고객 개인정보 수집 및 중국 서버 이전 문제가 주요 쟁점으로 떠올랐습니다. 특히 개인정보의 국외 이전에 동의하지 않을 경우 소비자의 차량 구매가 제한된다는 민원이 제기되면서, 사용자 선택권 침해와 국외 이전 서버의 관리 투명성에 대한 지적이 이어졌습니다.
커넥티드카 기술의 발전으로 차량 내 수집 데이터가 급증함에 따라, 이번 논란의 영향 범위는 단순한 개인정보 유출 우려를 넘어섭니다. 차량 내부 카메라와 각종 센서, GPS를 통해 수집되는 고도화된 위치 데이터와 주행 정보가 해외 서버로 전송될 경우, 개인의 사생활 침해는 물론 국가적인 데이터 안보 위협으로까지 확장될 수 있습니다.
이러한 위험에 대응하기 위해 서류상 법령 준수 확인을 넘어, 실제 운행 차량을 대상으로 한 실증적인 데이터 전송 체계 및 사이버보안 검증이 시급히 추진되어야 합니다. 정부 부처는 커넥티드카에 대한 보안 검증 체계를 강화하고, 기업은 정보 국외 이전을 거부하더라도 구매에 불이익을 받지 않도록 서비스 선택권을 보장하며 데이터 처리 과정을 투명하게 공개해야 합니다.
♥ 추천 0
커넥티드카 아키텍처 설계 시 필수 기능과 무관한 데이터까지 '전부 아니면 전무(All-or-Nothing)' 방식으로 강제 수집해 국외로 이전하는 구조는 컴플라이언스상 명백한 리스크입니다. 수집 동의 파이프라인을 기능별로 세분화(Granular Control)하고, 국내 리전 우선 저장 및 익명화(Anonymization) 처리 후 최소한만 이관하는 방식으로 백엔드를 재설계해야 합니다. 또한, 실제 차량 ECU/CAN 통신 단에서 외부 엔드포인트로 나가는 텔레메트리 트래픽에 대한 종단간 암호화(mTLS) 및 패킷 검증 작업이 기술적으로 선행되어야 합니다.
차량 커넥티드 시스템의 국외 데이터 전송 채널은 공격자 입장에서 매우 매력적인 침투 및 데이터 탈취 경로가 됩니다. 특히 텔레매틱스(TCU) 및 FOTA(원격 펌웨어 업데이트) 통신의 무결성이 확보되지 않는다면, 단순 정보 유출을 넘어 악성 펌웨어 주입을 통한 차량 원격 제어나 CAN 통신망 하이재킹으로 이어질 수 있습니다. 단순한 법적 절차 준수 여부를 떠나, 실제 차량 하드웨어와 수집 패킷에 대한 공격적인 침투 테스트를 통해 실효성 있는 보안성을 검증해야 합니다.
커넥티드 카 기술의 확산은 데이터 국외 이전과 개인정보 보호 측면에서 기업의 제3자 리스크(Third-Party Risk)를 극대화하고 있습니다. 데이터 국외 이전을 서비스 이용의 필수 조건으로 강제하는 방식은 규제 위반 리스크뿐만 아니라 고객 신뢰를 심각하게 훼손하므로, 최소 수집 및 선택권 보장을 위한 거버넌스 재정비가 시급합니다. 서류상의 법적 준수를 넘어 실제 차량 및 디바이스 단위의 데이터 흐름을 실질적으로 검증하는 보안 기술 체계를 마련해야 합니다.