포지록 인증 취약점, 차량 원격 제어 노출…7일 공개

보안 연구원인 슈밤 샤와 샘 커리는 두 자동차 제조사가 사용하는 인증 플랫폼 포지록(ForgeRock)에서 여러 취약점을 발견했다고 7일 공개했다. 이들은 정상 인증 절차를 우회해 차량 소유주와 동일한 원격 제어 권한을 얻을 수 있었다고 설명했다.

문제는 설정 오류와 일부 시스템에 남아 있던 기본 관리자 비밀번호에서 비롯됐다. 연구진은 소유주 동의를 받은 차량을 대상으로 문 잠금 해제와 시동 켜기·끄기를 시험했으며, 위치와 주행거리, 연료 잔량도 조회할 수 있었다고 밝혔다.

오스트레일리아에서는 번호판으로 차대번호(VIN)를 조회해 소유주 계정을 식별한 뒤 비밀번호를 변경하고 원격 명령을 보내는 공격 경로가 확인됐다. 영향을 받은 인증 시스템은 미국과 캐나다, 오스트레일리아 등 여러 지역의 차량과 연결돼 있었다.

연구진은 2026년 초 해당 취약점을 제조사들에 제보했고, 두 회사는 제보 약 2시간 뒤 문제를 수정하고 자격 증명을 갱신했다고 전했다. 취약점이 영향을 준 두 제조사의 이름은 공개되지 않았다.

디지털투데이(digitaltoday.co.kr)에 따르면, 시연 영상을 근거로 커뮤니티에서 토요타(Toyota)와 렉서스(Lexus)를 거론한 추측이 나왔으나 확인되지 않았다.