요약
새 차 21대 중 19대가 와이파이로 제3자 서버에 접속했고, 연동 앱 30개 중 7개는 민감한 식별 정보를 넘겼습니다.
미국 노스이스턴대 연구진이 컨슈머 리포트와 함께 커넥티드카(인터넷에 연결된 차량)의 데이터 공유 실태를 측정한 연구입니다. 2024년 10월부터 2025년 8월까지 19개 제조사의 최신 차량 21대와 연동 앱(차와 연결해 쓰는 스마트폰 앱) 30개를 조사해 IMC '26 학회에 발표했습니다.
왜 중요한가
- 전 세계 판매 차량의 75% 이상이 인터넷에 연결되는데, 연구진은 이 생태계를 대규모로 측정한 첫 연구라고 밝혔습니다.
- 제조사가 공개한 내용과 실제 데이터 공유 사이에 큰 격차가 있다는 점이 확인됐습니다.
- 차주에게 남은 선택지는 약관 수용, 연결 기능 포기, 차량 사용 중단뿐이어서 연구진은 투명성 강화를 요구했습니다.
핵심 내용
- 연동 앱 7개가 차대번호(VIN), 이메일, 전화번호, 정밀 위치 같은 식별 정보를 제3자에게 보냈습니다.
- 앱을 차와 연동하면 광고·추적 업체에 노출되는 정도가 대략 두 배로 늘었고, 추적기가 20개 넘게 늘어난 경우도 있었습니다.
- 같은 제조사의 차량이라도 모델에 따라 통신 행태가 서로 달랐습니다.
- Raspberry Pi로 만든 와이파이 공유기로 통신을 기록하고, 전파 차단 텐트로 전기차 11대의 휴대전화망 연결을 막아 시험했습니다.
- 연구진에 따르면 혼다는 추적 관련 제3자에게 정밀 위치를 보내지 않도록 데이터 수집 방식을 고쳤습니다.
HN 반응
- 일부 이용자는 연구가 통신 내용이 아닌 접속 도메인만 봤고, 차에서 유튜브 앱을 열어 생긴 접속까지 추적으로 셌다고 지적했습니다.
- 통신 장치를 꺼도 정비나 블루투스 연결 때 밀린 데이터가 올라가고, 아예 떼어 내면 차 기능이 망가진다는 경험담이 이어졌습니다.
최근에 올라온 관련 글입니다.
Automatic Transmission – a data-privacy study of connected vehicles - https://news.ycombinator.com/item?id=49926628 - 2026년 10월 (댓글 230개)
(보통은 스레드를 합치지만, 이틀이 지나면 댓글 순위가 엉망이 되기 때문에 합치지 않습니다.)
이 연구는 차가 와이파이로 접속하는 도메인만 살펴봤고, 내용은 들여다보지 않았습니다. Tesla Model 3는 모바일 트래픽도 같이 살펴봤는데, 그게 쉽게 할 수 있는 일이었기 때문입니다.
연구진은 차량 인포테인먼트를 30분 동안 이것저것 만져 봤습니다. 예를 들어 유튜브 앱이 있으면 그 앱을 열었습니다. 그러다 차가 와이파이로 유튜브와 통신하면 ATA(광고, 추적, 분석) 한 건으로 셌습니다.
그러니 차에 앱이 적거나 모든 데이터가 제조사를 거쳐 터널링되는 차일수록 ATA가 적게 잡혀서 점수가 더 좋게 나옵니다.
논문에는 이렇게 적혀 있습니다.
https://automatictransmission.khoury.northeastern.edu/paper.pdf
업체 분류는 이 저장소에 있습니다. https://github.com/nicolegerzon813/Automatic-Transmission-An-Empirical-Study-of-Data-Privacy-in-the-Connected-Vehicle-Ecosystem/blob/main/integrated_third_parties.txt
어느 차가 어느 도메인에 접속했는지 알 수 있으면 좋겠습니다. 차에서 어떤 동작을 했을 때 어떤 연결이 생겼는지까지 알 수 있다면 더 좋겠고요.
네, 저도 이 보고서를 읽고 같은 결론에 이르렀습니다. 예를 들어 유튜브를 열었는데 무엇을 기대한 걸까요? 게다가 전송된 ATA가 일반 브라우저에서 보이는 것과 다르다는 암시도 없었습니다. 즉, 자동차 회사가 차에서 유튜브를 열 때 추가로 데이터를 보내는 것은 아닙니다.
제가 새 차를 사고 싶지 않은 이유 중 하나가 이겁니다. 이런 일에 직접 얽히고 싶지 않아요. 회사 동료가 새 현대차(아마 그랬을 겁니다)를 샀는데, 내비게이션에 제일 먼저 뜬 게 "지금 현대 계정을 만드세요"였습니다. 아니, 아니, 됐어요. 제 문제 제기는 세 가지입니다.
물건 값을 치렀다면(자동차도 물건이잖아요) 제가 원하지 않는 한 제조사에 인증하거나 제조사와 연결될 이유가 없어야 합니다.
제 개인 데이터가 누구에게든 팔려 나가는 걸 원하지 않습니다. 저는 IT 업계에 오래 있어서 "내 데이터를 제3자와 공유하지 않기를 원한다"는 말이 화면 픽셀 하나 켜는 전력만큼의 가치밖에 없다는 걸 압니다.
누군가가 유출을 막으려고 모든 걸 꼼꼼하게 원칙대로 했으리라고 믿지 않습니다.
저는 자동차 제조사들이 직접 정비하거나 수리하려는 사람에게 적대적으로 나오기 시작했을 때 마음이 떠났습니다.
80년대 식 픽업트럭은 기본적인 드라이버와 렌치 세트만 있으면 상당 부분을 분해할 수 있습니다. 반면 쉐보레 볼트는 배터리 셀 하나가 노화됐다고 벽돌이 되면 쉐보레까지 견인해 가서 200달러를 내야 합니다. 소프트웨어 경고를 꺼서 충전이 되게 하는 데 말이죠.
전기차는 좋아하지만, 손보려고 하면 어쩜 그렇게 끔찍한지 정말 말이 안 됩니다.
신형 모델에서 연결 기능을 아예 떼어내 주는 시장이 있을까요?
저는 13년 넘은 차를 타는데, 지금은 망한 중국 제조사의 안드로이드 내비게이션을 나중에 달았습니다. 그래서 최소 4년 동안은 업데이트가 없었습니다. 필요한 최소한만 남기려고 정말 갖은 애를 썼습니다(지도만 빼고 전부 직접 호스팅하거든요). 내비게이션이랑 OpenWRT만 만지작거리는 데도 하루가 족히 걸렸고, 저만큼 해본 사람은 주변에 없습니다. 사실 제가 아는 사람은 거의 다 신경도 안 씁니다. 짐작건대 답은 단호하게 "없다"일 것 같습니다.
이 구성이 정말 궁금합니다. 어떻게 셀프 호스팅하시는지, OpenWrt를 차량에 어떻게 엮으셨는지 조금 더 설명해 주실 수 있을까요?
그걸 다 하려면 엔지니어링 비용이 너무 커서 아마 수지가 안 맞을 겁니다. 관심 있는 사람도 있겠지만 이제는 쉬운 일이 아닙니다. 게다가 연결 기능에는 쓸모 있는 것도 너무 많습니다. 예를 들어 제 차는 모든 도로의 현재 제한 속도를 보여 주고, 제한 속도가 바뀌면 연결되어 있으니 그것도 갱신됩니다. 쓸모 있는 기능이지만 제가 원하지 않는 온갖 것들이 같이 딸려 옵니다. 그래서 원하지 않는 부분만 도려내고 좋은 부분은 남기는 건 복잡한 작업입니다.
2010년에 물으셨다면 그냥 모뎀 퓨즈만 뽑으면 끝이라고 했을 겁니다. 그때는 모뎀이 하는 일이라곤 약간의 연결뿐이고 그 밖에 쓸모 있는 게 없으니 신경 쓰지 않았을 테니까요. 하지만 지금은 연결 기능에 잃고 싶지 않은 쓸모 있는 부분이 있습니다.
그게 데이터로 되는 겁니까? 대부분의 차는 카메라로 합니다.
https://en.wikipedia.org/wiki/Traffic-sign_recognition
모르겠습니다. 카메라일 수도 있겠네요. 다만 법이 바뀌었는데 표시가 없을 때의 기본값이 틀리니까 데이터여야 하는데요.
두 방식 모두 문제가 많습니다. 영상 기반 시스템은 표지판을 제대로 못 읽고, 기본 제한 속도를 모르고, 조건부 제한 속도는 힘겨워하거나 아예 판단하지 못하는 등의 한계가 있습니다. 지도·데이터 기반 시스템은 위치 정확도, 일시적인 속도 변경, 조건부 제한 속도 등에서 어려움을 겪습니다.
예를 들어 제 차의 영상 기반 시스템은 스쿨존 제한 속도 표지판의 제한 속도를 시행 중이 아닐 때도 항상 보여 줍니다. 전광판처럼 학습하지 않은 표지판에 적힌 제한 속도는 읽지도 못하고요.
스마트폰 지도 같은 지도 기반 시스템도 공사 구간이나 가변 제한 속도 구간에서는 자주 틀립니다.
어떻게 구성했느냐에 따라 놀랄 만큼 어렵거나 아예 불가능합니다. 저는 1세대 온스타가 달린 쉐보레를 탔는데, 좌석 밑에 있는 온스타 박스를 뽑기만 하면 끌 수 있었습니다.
1세대 쉐보레 볼트는 그게 안 됩니다. 컴퓨터와 화면이 온스타와 너무 단단히 통합되어 있어서 물리적으로 연결을 끊으면 차가 사실상 쓸모없어집니다.
잘은 모르겠지만, 비슷한 걸 하는 작은 시장은 있습니다. 오래된 차(주로 올드타이머)에 새 전기 모터를 얹는 겁니다. 그런 차는 프라이버시 문제가 거의 없을 거라고 생각합니다.
그나저나 새로운 오픈소스 자동차가 나오면 정말 멋질 것 같습니다.
2025년형 아큐라 인테그라는 연결을 완전히 끌 수는 없을지 몰라도 데이터 공유를 끄는 방법은 있습니다. 그러면 인포테인먼트 화면 오른쪽 위에 노란색 "잔소리 아이콘"이 계속 떠 있지만, 감시는 "꺼진" 겁니다. 이 스레드에서 다른 댓글 작성자가 바로 이 설정을 한 뒤 GDPR 요청으로 확인한 내용이 있는데, 제 말은 그걸 뜻합니다. https://news.ycombinator.com/item?id=49955366
차에 따라서는 그렇게 꺼도 실제로는 전혀 꺼지지 않을 수 있습니다. 휴대폰을 블루투스로 연결하거나 정비를 받으러 가면 차가 쌓아 둔 데이터를 올리는 경우가 많습니다.
보통은 DCU에서 전원을 완전히 빼야 하는데, 전원이 최대 세 군데에서 들어오는 경우도 있고(며칠을 버티는 백업 배터리까지 달린 경우도 있습니다!), 그러면 핸즈프리 마이크나 내장 GPS 같은 차량 기능도 쓸 수 없게 되는 일이 많습니다.
그뿐이 아닙니다. 예전에 유명 자동차 제조사에서 경력의 상당 부분을 보낸 사람과 같이 일한 적이 있습니다. 어느 회사인지는 말할 수 없는데, 그쪽은 규모와 생산량이 꽤 작거든요(상대하는 고객이 초부유층이라 길 건너 술 한잔하러 갈 때도 "혹시 모르니" 해외 여권을 챙기는 사람들입니다). 그가 해 준 이야기로는 그 회사 차에는 여러 용도로 완전한 운영체제를 올린 컴퓨터가 개별적으로 11대 들어 있다고 합니다. 최근 몇 년 사이 쓰레기 같은 AI 때문에 컴퓨팅 비용이 올랐다지만, 작은 임베디드 ARM 장치는 여전히 싸고 성능이 엄청납니다. 저도 잠깐 자동차 업계에 있었는데(그 사람도 거기서 만났습니다), 요즘 차는 통합 지옥 그 자체라서 엔지니어링 팀조차 하드웨어에 뭐가 들어 있는지 다 말하지 못하고, 소프트웨어는 그보다 몇 배 더 심합니다.
안타깝지만 시간이 갈수록 우리가 쓰는 물건이 점점 더 많이 우리를 감시하리라고 예상해야 합니다. 모든 사람에 대해 가능한 한 많은 데이터를 추적하고 수집하려는 정치적·경제적 동기가 둘 다 있으니까요.
할 수 있는 최선은, 추적기가 시장 전체를 장악하기 전까지는 추적기가 달린 제품을 피하는 것입니다. 장악하고 나면 GPS, 무선, 셀룰러 안테나를 끄는 법을 익히고, 제조사가 데드맨 스위치를 심는 데 시간이 좀 걸리기를 기도하는 수밖에 없습니다.
강하게 반대합니다. 서구의 합법적인 시장에서 100년 넘게 소비자 권리 보호가 활발하고 성공적으로 이뤄져 왔는데, 이건 순응적이고 패배주의적인 헛소리입니다.
안타깝게도 소비자 보호 운동가들, 그리고 더 중요하게는 입법자와 규제 당국이 이런 프라이버시 침해와, 일상 기기에 기술을 점점 더 많이 넣는 데 따른 다른 위험들에 수십 년이나 뒤처져 있는 것으로 보입니다. 이게 얼마나 무지 때문인지, 얼마나 자원 부족 때문인지, 또 얼마나 알고도 눈감아 주는 공모나 오래된 부패 때문인지는 모르겠습니다. 하지만 이런 기기를 쓰는 사용자에게는 어느 쪽이든 결과가 똑같습니다.
네, 전적으로 동의합니다. 그리고 제 생각에는 그냥 포기하지 않는 것도 중요합니다.
레이더 아래에 머무르려는 사람들이야말로 가장 주목받게 됩니다.
애국법이 통과된 지 25년이 됐는데요...
의회가 2020년쯤에 만료되도록 그냥 놔두지 않았나요?
차의 안테나를 비활성화하면 보험이 무효가 되지 않나요? 그 정도는 보험 약관이 10년도 더 전에 이미 기본으로 명시했을 거라고 생각했는데요.
테슬라 보험이라면 그렇습니다. 테슬라 보험을 이용하려면 운전을 감시받는 데 동의해야 합니다. 여러 운전 행태를 감시해서 점수를 매기고, 그 점수로 보험료를 정합니다. 점수가 다음 달 보험료를 결정합니다. 참고로 테슬라 완전 자율주행을 켜고 운전한 시간은 점수가 100%입니다(가끔 무서운 12.x 버전이라 해도 그렇습니다).
감시에 동의해야 하고, 그러지 않으면 보험을 들어 주지 않습니다.
진짜 어리석네요
안테나를 비활성화한다고 왜 보험이 무효가 되죠?
데이터가 없으면 오히려 의심을 사지 않을까요?
세상은 정말로 대규모 감시 사회가 되어 가고 있어요. 프라이버시의 피난처는 줄어들고 있고요. 우리는 개미 농장 속 개미가 되어 가고 있죠.
한 가지 이해가 안 되는 게 있어요. 감시를 옹호하는 사람들은 자기가 단말기 앞에 앉아 있지 않게 되는 순간 자신이 표적이 된다는 걸 어떻게 모를까요?