테슬라 차량 데이터 1300여 대 노출… 오픈소스 ‘테슬라메이트’ 서버 무방비 방치
테슬라 차량 소유자들이 자가 호스팅 방식으로 운영하는 ‘테슬라메이트(TeslaMate)’ 서버가 전 세계적으로 무방비 상태로 노출돼 민감한 차량 데이터가 고스란히 드러난 사실이 확인됐다. 이번 조사는 사이버보안 기업 소드섹(SwordSec) 창립자인 세이풀라 킬리치(Seyfullah Kiliç) 연구원이 진행했으며, 그는 최근 블로그를 통해 1300개가 넘는 인터넷 공개 테슬라메이트 대시보드를 발견했다고 밝혔다.
테슬라메이트는 오픈소스 기반 차량 데이터 로거로, 차량 소유자가 자신의 컴퓨터나 서버에 설치해 운행 기록과 차량 상태를 시각화할 수 있는 도구다. 충전 기록, 배터리 상태, 차량 온도와 같은 일반적인 데이터는 물론, 차량 속도, 주행 경로, 위치 데이터 등 민감한 정보도 포함된다. 이 때문에 테슬라메이트 서버가 인증 없이 공개될 경우, 차량의 이동 동선과 생활 패턴까지 외부에 그대로 노출될 수 있다.
킬리치는 인터넷을 대상으로 공개된 테슬라메이트 대시보드를 검색한 뒤, 각 차량의 최근 위치 정보와 모델명을 수집해 지도에 시각화했다. 그는 “자신도 모르게 차량의 이동 경로, 충전 습관, 휴가 일정까지 전 세계 누구에게나 공유하고 있는 셈”이라며 위험성을 경고했다.
문제의 심각성은 노출된 서버 수가 급격히 증가했다는 점에서도 드러난다. 지난 2022년에도 보안 연구자가 수십 개의 테슬라메이트 서버가 웹에 노출돼 있다는 사실을 공개했으나, 3년 만에 그 수가 1,300여 개로 급증한 것이다. 이는 단순히 일부 사용자의 실수가 아니라, 보안 설정 부주의가 구조적 문제로 자리 잡고 있음을 보여준다.
테슬라메이트 개발자인 아드리안 쿰프(Adrian Kumpf)는 2022년 당시 TechCrunch와의 인터뷰에서 “공개 접근을 막기 위한 버그 수정이 배포된 바 있으나, 사용자가 서버를 잘못 설정해 인터넷에 노출하는 경우까지는 방어할 수 없다”고 설명한 바 있다. 실제로 오픈소스 프로젝트 특성상, 보안 책임은 사용자에게 전적으로 달려 있는 경우가 많다.
킬리치는 이번 연구의 목적이 단순한 데이터 수집이 아니라 경각심을 주기 위한 것이라고 강조했다. 그는 “테슬라 소유자와 오픈소스 커뮤니티가 기본적인 인증이나 방화벽 규칙 없이 민감한 데이터(GPS, 충전, 주행 기록)를 노출할 수 있다는 점을 보여주고 싶었다”며, “공개 서버로 테슬라메이트를 운영하려면 반드시 보안 설정을 강화해야 한다”고 당부했다.
실제 노출된 데이터는 차량 위치뿐 아니라 소유자의 생활 패턴을 추적하는 데도 악용될 수 있다. 예를 들어, 충전 습관이나 주행 기록을 통해 집과 직장, 정기적으로 방문하는 장소를 쉽게 파악할 수 있으며, 휴가 기간에는 주거지가 비어 있다는 사실까지 노출될 수 있다. 이는 단순한 개인정보 침해를 넘어 절도나 스토킹 같은 2차 범죄로 이어질 가능성을 높인다.
보안 전문가들은 “사물인터넷(IoT) 기기와 자가 호스팅 서비스 확산으로, 개인이 의도치 않게 민감한 데이터를 외부에 방치하는 사례가 늘고 있다”고 지적한다. 특히 차량 데이터는 위치 정보와 결합될 경우 실시간 추적이 가능하다는 점에서 더 큰 위험을 내포한다.
테슬라 차량 소유자가 테슬라메이트를 안전하게 활용하기 위해서는 ▲서버 접근 시 인증 기능 활성화, ▲공개 네트워크 대신 VPN이나 로컬 환경 활용, ▲방화벽 규칙 설정을 통한 불필요한 포트 차단 등이 필수적이다. 또한 정기적으로 보안 설정을 점검하고, 의도치 않게 서버가 외부에 노출되는지를 확인해야 한다.
이번 사례는 ‘오픈소스’와 ‘자가 호스팅’이라는 장점이 동시에 보안 취약점으로 전환될 수 있음을 잘 보여준다. 사용자가 편의를 위해 보안 설정을 소홀히 하면, 그 결과는 개인의 사생활 침해뿐 아니라 범죄에 악용될 수 있는 대규모 위험으로 이어진다. 전문가들은 “차량 데이터는 단순한 통계가 아니라 ‘개인의 삶 그 자체’와 직결된 민감 정보”라며, 사용자가 보안 의식을 갖고 관리해야 한다고 경고했다.
결국 이번 사건은 “보안은 선택이 아닌 필수”라는 교훈을 다시 한번 각인시켰다. 테슬라메이트 같은 도구를 활용하는 사용자라면, 더 이상 ‘나만의 서버니까 안전하다’는 생각을 해서는 안 된다. 작은 설정 하나의 부주의가 곧바로 개인정보 노출로 이어질 수 있음을 보여주는 경고이자, 스스로 보안 관리자 역할을 수행해야 한다는 책임을 일깨운 사례라 할 수 있다.
Related Materials
- Former Employee Behind Tesla Data Leak Exposing 75k Staff, 2024년
- Tesla: Insiders Responsible For Major Data Breach, 2023년
- Tesla data breach caused by “insider wrongdoing”, 2023년
Donghwi Shin
CheifEditor
