보안 연구자 Eaton Works가 인도 상용차 제조사 VE 상용차(VECV·볼보와 아이셔의 합작사)가 운영하는 플릿 관리 플랫폼 'My Eicher'에서 계정 전체를 장악할 수 있는 심각한 취약점을 공개했다. My Eicher는 트럭과 버스를 운용하는 상용차 고객이 차량 위치를 실시간으로 추적하고, 지오펜스를 설정하며, 운전자가 보는 것과 같은 계기판 정보까지 확인할 수 있게 해 주는 웹·앱 서비스다. 이번에 드러난 문제는 인도 지역 고객과 상용차에만 영향을 미치지만, 그 구조는 국가와 산업을 가리지 않고 되풀이되는 전형적인 실패에 가깝다.
연구자는 이 취약점을 찾으려는 시도를 2024년 초 도요타 보험사 해킹을 공개하던 무렵부터 시작했다고 밝혔다. 당시에는 실패했고, 1년 넘게 지난 2025년에야 결정적인 실마리를 잡았다. 발견 과정 자체는 허무할 정도로 단순했다. 웹사이트가 휴대폰 번호를 확인하는 데 쓰는 API 경로에서 상위 디렉터리로 한 단계 거슬러 올라가 봤더니, 보통이라면 HTTP 오류가 떨어질 자리에서 사용자 관련 API의 전체 목록이 그대로 노출된 것이다.
인증 없이 열려 있던 내부 API
문제의 핵심은 이 API들이 인증을 전혀 요구하지 않았다는 점이다. 연구자는 목록에서 'customers' 엔드포인트를 찾아냈고, 여기서 74만 8,000명에 달하는 고객 정보가 통째로 반환됐다. 응답에는 비밀번호까지 포함돼 있었지만 암호화된 형태라 곧바로 악용할 수는 없었다. 그럼에도 이는 결정적인 돌파구였다. 이 시스템을 쓰는 사람이 누구인지 더 이상 고생해서 찾을 필요가 없어졌기 때문이다. 전체 계정 명단이 손에 들어온 상태에서 로그인 우회 수단만 하나 있으면 사실상 모두가 뚫리는 셈이었다.
그 수단도 곧 나왔다. 2021년까지 거슬러 올라가는 OTP(일회용 인증번호) 250만 건 전체를 반환하는 API가 있었고, 특정 휴대폰 번호에 발급된 OTP만 골라 조회하는 API도 따로 존재했다. 인증번호를 문자로 받지 못하는 공격자라도, 서버에 물어보면 남의 OTP를 그대로 읽을 수 있었다는 뜻이다.
두 갈래의 계정 탈취 경로
실제 계정 탈취는 세 단계로 정리된다. 사용자 목록에서 대상 휴대폰 번호를 하나 고르고, OTP 발송을 요청한 뒤, OTP 조회 API로 해당 번호의 인증번호를 읽어 로그인 창에 입력하면 그만이었다. 이 방식은 어떤 계정이든 완전한 통제권을, 그리고 그에 딸린 차량과 플릿까지 넘겨줬다. 다만 대상에게 실제로 OTP 문자가 발송되므로 조용한 탈취는 아니라는 한계가 있었다. 이 때문에 연구자는 두 번째 경로도 함께 지목했다. 계정 비밀번호를 갱신하는 API가 열려 있어, 공격자가 비밀번호를 임의로 설정한 뒤 그 값으로 로그인하는 방식이다. 이 경우 사용자에게 별도 알림이 가지 않았을 가능성이 크다고 봤으나, 연구자 본인도 100% 확신하지는 못한다고 덧붙였다.
탈취 이후 접근 가능한 범위는 넓었다. 차량 API는 67만 6,000대의 차량 정보를 반환했고, 전체 차량을 지도 위에서 추적하거나 개별 차량의 상세 위치, 운전자가 보는 것과 같은 실시간 계기판 화면까지 들여다볼 수 있었다. 여기서 그치지 않았다. 문서 관련 API를 통해 사용자들이 업로드한 7만 6,000건의 문서와 이미지에 접근할 수 있었는데, 여기에는 인도 주민등록증격인 아드하르(Aadhaar) 카드와 운전면허증 같은 극도로 민감한 신원 서류가 포함돼 있었다.
실무자가 새겨야 할 지점
이 사례가 한국 IT 실무자에게 주는 함의는 특정 기술의 첨단성과 무관하다. 무너진 지점은 인증되지 않은 내부 API의 노출, 그리고 경로를 한 단계 거슬러 올라가는 것만으로 API 목록이 통째로 드러나는 디렉터리 열람 문제였다. OTP를 서버 응답으로 되돌려주는 설계, 비밀번호 변경에 본인 확인이 사실상 없는 흐름 역시 인증·인가를 클라이언트 화면 뒤에만 숨겨 둔 전형적 안티패턴이다. 플릿·텔레매틱스처럼 물리적 자산과 위치, 신원 서류가 한데 묶이는 서비스일수록 계정 하나의 탈취가 곧 현실의 차량 통제권과 개인정보 유출로 직결된다는 점도 분명하게 드러난다.
공개 과정의 뒷이야기도 남는다. 연구자는 과거 VECV에 취약점을 신고했던 사람에게서 보안 담당 이메일 주소를 받아 핵심 취약점을 알렸고, 이 부분은 수정됐다. 그러나 2025년 11월 이후 추가로 전달하려 한 우려 사항은 일반 고객지원 창구를 포함해 여러 경로로 연락을 시도했음에도 조사에 나설 담당자와 닿지 못했고, 몇 달을 기다린 끝에 그 건들은 접었다고 밝혔다. 핵심 결함은 막혔지만, 제보를 받아 후속 조치로 연결하는 창구가 제대로 작동하지 않으면 남은 위험이 방치될 수 있다는 점을 이 결말이 그대로 보여준다.