전기차 충전 플랫폼 '채비' 해킹 개인정보 유출 사건

전기차 충전 원스탑 솔루션 업체 채비(CHAEVI)의 회원 시스템이 외부의 불법적인 해킹 공격을 받아 이용자 개인정보가 유출됐다. 채비는 충전소 위치 검색, 자동충전(PnC), QR·NFC 인증, 충전 예약·결제 등을 제공하는 전기차 충전 통합 플랫폼으로 다수의 회원을 보유하고 있다. 회사 측은 공격 경로를 인지한 직후 즉시 침입 경로를 차단하는 조치를 취했다고 밝혔다. 다만 공격 인지 시점과 실제 침해 발생 시점 사이의 간극에 대해서는 구체적으로 공개하지 않아 초기 대응 지연 여부를 두고 의문이 제기됐다. 사건 초기 유출 규모는 정확히 파악되지 않은 상태였다.

채비는 개인정보보호법에 따라 개인정보보호위원회와 한국인터넷진흥원(KISA)에 유출 사실을 신고했다고 밝혔다. 신고 내용에는 유출 항목과 규모, 유출 경위, 회사의 대응 조치 등이 포함됐다. 회사는 주민등록번호, 여권번호, 카드·계좌번호 등 민감한 결제 관련 정보는 애초에 수집·보관하지 않아 해당 정보의 유출은 없었다고 강조했다. 그러나 이메일과 비밀번호가 함께 유출된 이용자 수가 13만 명을 넘는 것으로 파악되면서, 다른 서비스에서 동일한 비밀번호를 재사용하는 이용자의 2차 피해 우려가 제기됐다. 보안업계는 비밀번호 재사용에 따른 크리덴셜 스터핑 공격 가능성을 경고했다.

채비의 조사 결과 유출 규모가 구체적으로 드러났다. 이메일 주소만 단독으로 유출된 경우가 16만4858건, 이메일과 암호화된 비밀번호가 함께 유출된 경우가 13만1411건으로 집계됐다. 여기에 이메일과 암호화된 이름·연락처·성별·생년월일이 함께 유출된 경우가 1235건, 이메일·암호화된 이름·연락처·비밀번호·성별·생년월일까지 모두 유출된 고위험군 사례도 829건 확인됐다. 전체 유출 규모는 약 30만 건에 달해 전기차 충전 서비스 이용자 상당수가 영향을 받은 것으로 나타났다. 회사는 비밀번호는 암호화 저장돼 있어 즉시 도용되기는 어렵다는 입장을 밝혔지만, 이용자들 사이에서는 불안이 확산됐다.

채비는 홈페이지 공지사항을 통해 이용자들에게 공식 사과문을 게시했다. 회사는 유출 경위와 유출 항목을 상세히 안내하고, 이용자들에게 즉시 비밀번호를 변경할 것과 다른 서비스에서 동일한 비밀번호를 사용하고 있다면 함께 변경할 것을 권고했다. 또한 출처가 불분명한 이메일이나 문자메시지를 통한 피싱 시도에 각별히 주의할 것을 당부했다. 회사는 재발 방지를 위해 보안 시스템을 전면 점검하고 외부 보안업체와 협력해 취약점을 보완하겠다고 밝혔으나, 구체적인 보안 투자 계획이나 일정은 공개하지 않았다.

채비 사건을 계기로 국내 전기차 충전 인프라 업계 전반의 개인정보 보호 체계에 대한 우려가 제기됐다. 전기차 충전 서비스는 회원 가입 시 차량 정보와 결제 수단을 연동하는 경우가 많아 유출 시 파급력이 크다는 지적이 나왔다. 업계 전문가들은 급속히 성장한 전기차 충전 플랫폼 시장에서 다수의 중소업체들이 개인정보 보호 투자에 상대적으로 소극적이었다고 분석했다. 정부 및 관계기관은 전기차 충전사업자에 대한 개인정보 보호 실태 점검을 확대할 필요성을 검토하기 시작했다.