“현대차 미국에서 비상걸렸다” 270만 명 고객 정보가 유출 돼 심각한 현재 상황

북미에서 드러난 현대차의 초대형 보안 사고

현대자동차그룹이 미래 전략으로 내세우고 있는 ‘소프트웨어 중심 자동차(SDV)’ 전환에 심각한 타격을 입히는 사건이 북미에서 발생했다. 현대차그룹의 핵심 IT 계열사인 현대오토에버 아메리카(HAEA)에서 대규모 개인정보 유출 사고가 확인된 것이다.

이번 사고는 미국 현지시간 11월 10일에 뒤늦게 공개되었으며, 피해 규모는 최대 약 270만 명에 달할 것으로 추정된다. 단순한 고객 정보 노출을 넘어 미국인의 신원 확인에 사용되는 사회보장번호(SSN)가 포함된 점에서 상황은 훨씬 심각하다. 그룹 차원의 IT 보안 시스템 전반이 흔들리고 있다는 우려가 커지고 있으며, 작년 유럽 법인 랜섬웨어 공격에 이어 다시 한번 보안 사고가 발생했다는 점에서 단순한 일회성 문제가 아니라는 분석이 제기되고 있다.

SSN까지 포함된 민감 정보 유출의 충격

현대오토에버 아메리카가 피해 고객에게 발송한 통지문에 따르면 유출된 정보에는 이름, 주소, 이메일, 전화번호와 같은 일반적인 개인정보뿐 아니라 운전면허 정보와 사회보장번호가 포함됐다. 미국에서 SSN은 금융·신용·세금 등 거의 모든 사회적 시스템의 본인 인증에 사용되는 ‘주민번호’에 해당하는 민감 정보다.

이 번호 하나만으로도 은행 계좌 개설, 대출 신청, 신용카드 개설 등 다양한 범죄에 악용될 수 있어 유출 시 피해 범위가 매우 커진다. 더욱이 HAEA는 이번 해킹 공격이 2025년 2월 22일 처음 발생했다고 밝혔지만 실제 침해 사실을 인지한 것은 3월 초였고, 고객들에게 통보가 이루어진 시점은 무려 8개월 후다. 그동안 유출된 정보가 암시장에서 유통되었을 가능성을 배제할 수 없어 피해자들의 불안감이 커지고 있다.

반복되는 보안 사고가 보여주는 취약성

이번 유출이 더 우려되는 이유는 현대차그룹이 최근 몇 년 사이 반복적으로 비슷한 사고를 겪고 있기 때문이다. 2023년에는 유럽 법인이 랜섬웨어 공격을 받아 대규모 데이터가 유출된 바 있으며, 당시에도 고객 정보 보호 체계가 충분히 구축되지 않았다는 지적이 제기됐다.

업계에서는 특정 해킹 조직이 현대차그룹 IT 인프라를 지속적으로 공격 대상으로 삼고 있는 것 아니냐는 분석도 나온다. 단순한 사고가 아닌 ‘패턴화된 침입’의 성격을 띠고 있다는 점은 향후 추가 공격 가능성을 배제하기 어렵다는 의미다. 특히 SDV 기술이 확대되는 상황에서 차량 개발·운영 시스템까지 공격 대상이 될 경우 보안 리스크는 단순 개인정보 문제를 넘어 고객 안전까지 위협할 수 있다.

현대오토에버의 역할과 위험성의 확산

현대오토에버는 현대차그룹의 단순 IT 지원 조직을 넘어 차량과 고객을 연결하는 핵심 시스템을 운영하고 있다. 국내에서 많은 운전자가 사용하는 블루링크, 기아 커넥트 서비스, 차량 내 결제 시스템, OTA 업데이트 등 현대차그룹의 모든 커넥티드 카 기능이 현대오토에버의 네트워크와 서버를 거친다.

즉, 이번에 피해가 발생한 미국 법인의 문제는 단순히 한 지역의 사건이 아니라 글로벌 시스템 전체와 연동된 구조적 취약점을 의미할 가능성이 있다. 미국 내에서 이 정도 규모의 정보가 유출될 정도의 공격을 받았다면, 같은 네트워크 구조를 사용하는 한국 본사와 해외 계열사의 시스템도 동일한 위험에 놓여 있을 수 있다. 이는 한국 소비자들의 개인정보, 나아가 차량 보안까지 영향을 미칠 수 있다는 점에서 우려가 커지고 있다.

고객 통보 지연과 사고 대응의 문제점

이번 사고에서 확인된 또 하나의 문제는 대응 과정의 신속성이 현저하게 떨어졌다는 점이다. 해킹 발생 시점과 대응, 그리고 고객 통보까지의 기간이 지나치게 길어 피해 확산을 막기 위한 최소한의 조치를 하지 못했다는 비판이 나온다. HAEA는 피해 고객에게 12개월간의 신용 모니터링과 신원 도용 보호 서비스를 무상 제공하겠다고 밝혔지만, 이미 유출된 SSN이 악용될 가능성은 1년이 지나도 사라지지 않는다.

SSN은 재발급이 거의 불가능한 고정 정보이기 때문에 한번 유출되면 평생 위험이 지속된다는 점이 더욱 큰 문제다. 이번 사고는 정보 유출 자체뿐 아니라 사고 대응 체계가 국제 기준에 맞지 않는다는 점에서도 현대차그룹의 IT 운영 시스템 개선 필요성을 드러냈다.

SDV 시대, 가장 먼저 해결해야 할 보안 과제

현대차그룹은 SDV 전환을 통해 차량의 기능 대부분을 소프트웨어 기반으로 구축하고, OTA 업데이트로 실시간 진화를 가능하게 하는 전략을 추진 중이다. 하지만 차량과 고객을 연결하는 핵심 IT 인프라가 보안 공격에 이렇게 쉽게 노출된다는 사실은 그룹의 미래 전략 전체를 흔들 수 있는 심각한 문제다.

소프트웨어 중심 자동차가 성공하기 위해서는 고객의 개인정보뿐 아니라 차량 제어 시스템 자체의 보안이 완벽해야 한다. 이번 북미 대규모 유출 사건은 현대차그룹이 IT 안전망을 강화하지 않는다면 SDV 전략이 신뢰를 얻기 어렵다는 경고로 해석된다. 현대차그룹은 지금이라도 안전 관리 체계를 원점에서 재정비하고, 글로벌 모든 계열사의 보안 수준을 끌어올리는 근본적 조치를 취해야 한다. 고객 정보 보호는 선택이 아니라 기업 신뢰의 기본이며, SDV 시대의 토대가 되는 필수 조건이다.