최근 전기차(EV) 충전기 설치 보조금을 신청했다가, 제 전력 공급사인 Eversource가 신청 고객들의 개인정보를 공개적으로 노출하고 있었다는 사실을 알게 되었습니다. 노출된 정보는 다음과 같았습니다:

• 성명
• 차량 등록증(번호판 번호 및 차량식별번호 포함)
• 집 주소
• 이메일 주소
• 전화번호

취약점을 발견하게 된 배경도 함께 설명하겠지만, 보안 취약점 자체만 바로 보고 싶다면 해당 부분으로 건너뛰기하셔도 됩니다.

왜 이 보조금 신청 과정은 이렇게 복잡한가?

저는 매사추세츠에 살고 있는데, 주 정부에서는 Mass Save라는 프로그램을 운영합니다. 에너지 요금에 부과되는 부담금으로 재원을 마련해 지속가능한 에너지 사업을 지원하는 제도입니다. 예를 들어 집 단열 공사를 해서 에너지 효율을 높이면 Mass Save에서 비용 일부를 보조해 줍니다.

최근 전기차(EV) 충전기를 설치했는데, Mass Save에서 설치비 중 700달러를 돌려준다는 사실을 알게 되었습니다. 좋습니다!

Eversource는 제가 이용하는 전력 회사라서 보조금은 Eversource를 통해 신청해야 했습니다. 온라인으로 신청하면 10분이면 끝날 줄 알았는데, 끝없이 이어지는 양식을 작성하는 데만 한 시간이 넘게 걸렸습니다.

먼저 이름과 주소, Eversource 계정 번호를 묻더군요. Eversource가 이미 다 알고 있는 정보라 중복되는 느낌이었지만, 그래도 넘어갔습니다.

양식을 진행할수록 점점 더 관련 없어 보이는 질문들이 이어졌습니다. 예를 들면 다음과 같습니다:

• 어떤 종류의 전기차를 소유하고 있는가?
• 어디서 구입했는가?
• 얼마를 지불했는가?
• 차량 등록증은 어디에 있는가?
• 전기차 충전기는 누가 설치했는가?
• 전기 기술자의 주소는 무엇인가?
• 충전기는 집의 정확히 어디에 설치되어 있는가?

전기차 충전기를 샀다는 사실을 확인하는 데 이런 정보가 왜 필요한 걸까요? 실제 절차는 Eversource가 홍보하는 “4단계 리베이트 절차”보다 훨씬 더 복잡했습니다.

충전기 MAC 주소가 필요합니다

리베이트 신청 과정에서 Eversource가 요구한 정보 중 가장 황당한 것은 제 전기차 충전기의 MAC 주소였습니다. 이게 뭔가요?

MAC 주소는 전기차 충전기 안에 들어 있는 Wi-Fi 칩의 고유 식별자입니다. 기기 본체에 인쇄되어 있지도 않은데 도대체 어떻게 알아내라는 걸까요?

저는 소프트웨어 개발자이자 홈 네트워크에 빠진 사람이라 공유기 관리 페이지에서 충전기의 MAC 주소를 찾을 수 있었지만, 일반인은 어떻게 하라는 건지 모르겠습니다.

아닙니다, 틀렸습니다. 다시 하세요

모든 서류를 제출한 지 일주일 뒤, Eversource로부터 이런 이메일을 받았습니다:

보아하니 제가 신청서를 잘못 작성한 모양입니다.

Eversource는 제가 올린 전기 기술자의 청구서에 “Paid in full(완납)” 표시가 없다는 이유로 반려했습니다. 결제한 뒤에 ‘완납’ 도장이 찍힌 청구서를 주는 업자는 거의 없는데, 결국 바쁜 전기 기술자에게 부탁해 청구서를 다시 발급받아야 했습니다.

제가 양식에서 그 요건을 놓친 걸까요? 아닙니다. 포털로 돌아가 청구서 관련 안내를 다시 확인해 보니 “Contractor’s invoice for wiring upgrade(배선 공사에 대한 시공업체 청구서)”라고만 적혀 있을 뿐, “Paid in full”에 대한 언급은 전혀 없었습니다.

그럼 사진은 무엇이 문제였을까요? 충전기 사진을 올리는 걸 잊은 걸까요?

아닙니다. 신청서에는 사진이 첨부되어 있었고, 충전기도 선명하게 보였습니다. 일련번호 사진도 또렷하게 읽을 수 있었습니다. 설마 MAC 주소를 찍어서 올리라고 기대한 걸까요?

저는 사진에 어떤 문제가 있는지 묻는 이메일을 보내며, MAC 주소는 사진으로 찍을 수 없다고 설명했습니다.

일주일 뒤 답장이 왔습니다. 다른 사진들을 왜 반려했는지는 설명하지 않은 채, 전기차 충전기 전용 앱에서 MAC 주소를 찾아 스크린샷을 찍어 보내라고 하더군요. 알겠습니다…

Eversource 전기차 리베이트 프로그램의 왜곡된 유인

Eversource의 리베이트 프로그램은 뭔가 석연치 않았습니다. 모든 단계가 불필요한 서류 작업과 교묘한 함정으로 저를 괴롭히도록 설계된 것처럼 느껴졌습니다.

매사추세츠 주에 뭔가 문제가 있는 걸까요? Eversource가 지급되지 않은 보조금을 그대로 가져가는 건 아닐까요?

그래서 전기차 리베이트 프로그램을 감독하는 매사추세츠 공공사업부(DPU)에 전화해 도대체 무슨 일인지 물었습니다. 왜 Eversource는 보조금 신청을 이렇게 어렵게 만드는 걸까요?

DPU 직원은 Eversource가 사진을 반려했다가 이의신청하면 같은 사진을 그대로 승인해 줬다는 민원을 들은 적이 있다고 했습니다. Eversource가 사진을 자동으로 심사하는 시스템을 쓰고 있는데, 재심사는 더 정확하거나, 더 가능성 높게는 실제로 사람이 사진을 확인하는 것 같았습니다.

그럼 그런 경우에 Eversource가 보조금을 그냥 챙기는 건가요? DPU 담당자는 “아닙니다”라고 답했습니다. 신청이 실패해도 Eversource가 돈을 남기지는 않으며, 성공한 경우에도 Eversource가 먼저 보조금을 지급한 뒤 주 정부에 상환을 청구하는 구조라고 했습니다.

잠깐, Eversource가 그저 돈을 전달하는 역할이라면 왜 이 프로그램을 운영하는 걸까요?

DPU 담당자는 Eversource가 사람들이 전기차를 사기를 원하기 때문이라고 설명했습니다. 매사추세츠 주민들이 전기차를 갖게 되면, Eversource가 팔지 않는 휘발유에 쓰던 지출이 Eversource가 많은 도시에서 독점적으로 판매하는 전기로 옮겨가기 때문입니다.

그 말을 듣고 이해가 되기 시작했습니다. Eversource는 고객의 보조금 신청이 실패하기를 바라는 게 아니라, 애초에 전혀 신경 쓰지 않는 것이었습니다.

고객이 Eversource에 보조금을 청구할 때쯤이면 이미 전기차를 구입한 뒤입니다. 고객은 앞으로 수년간 Eversource로부터 전기를 추가로 구매해야 하는 상황에 묶이게 됩니다. 그 시점에서 Eversource는 고객으로부터 원하는 것을 이미 다 얻은 셈이고, 고객은 Eversource가 약속을 지키도록 할 지렛대가 전혀 없습니다.

저는 DPU 담당자에게 전기차 충전 보조금을 신청한 사람 수와 실제로 지급까지 완료한 사람 수를 집계하는지 물었습니다. Eversource는 DPU에 완료 건수만 보고한다고 합니다. Eversource가 신청자의 99%를 반려하더라도 DPU는 알 길이 없는 셈입니다.

Eversource 고객 기록 유출

Eversource가 요구한 정보를 제출하려고 리베이트 포털에 다시 접속했을 때 이런 생각이 들었습니다. Eversource가 전기차 리베이트 절차의 모든 부분에 투자를 최소화했다면, 보안에 투자는 했을까요?

안타깝게도 답은 ‘아니오’였습니다. Eversource 리베이트 포털에서 심각한 보안 취약점을 찾는 데 2분도 걸리지 않았습니다.

사이트 보안을 기본적으로 점검하기 위해 웹 브라우저의 네트워크 콘솔을 열어 브라우저와 리베이트 포털 사이의 통신 내용을 살펴봤습니다. 브라우저가 리베이트 서버에 수십 개의 요청을 보내는 가운데, 유독 눈에 띄는 요청 하나가 있었습니다.

URL https://eversource.dsmcentral.com/traksmart4/public/guest/commercial/v2/application.json?projectId=123456에 대한 요청이 다음과 같은 방대한 데이터를 반환했습니다:

[  {    "fieldId": "FORM-60-102189-108632-4094090-2-Task_Instances_Attributes-2354-CustomerPrintedName",    "label": "Rebate Payee Printed Name",    "value": "Michael Lynch",    "displayValue": null,    "templateParameters": null,    "attributeName": "CustomerPrintedName",    "uniqueFieldIdSource": "",    "inventoryOptions": null,    "dynamicOptions": null,    "rendering": "textField",    "formatter": "None"  },...]

응답은 수천 줄에 달했습니다. 제가 리베이트 신청서에 제출한 모든 데이터에서 사진과 서류만 빠진 것처럼 보였습니다.

이 정보를 가져오기 위해 제 브라우저가 보낸 HTTP 요청은 다음과 같았습니다(실제 신청 ID는 123456으로 대체했습니다):

POST /traksmart4/public/guest/commercial/v2/application.json?projectId=123456 HTTP/1.1
Host: eversource.dsmcentral.com
Cookie: JSESSIONID=node0f7ynpnyr35zk1c91byqpx2x5n97179.node0;Path=/traksmart4;Secure
Content-Type: application/json
Content-Length: 27

{"programId":8,"formId":60}

눈에 띈 점은 URL 경로에 public과 guest라는 단어가 포함되어 있다는 것이었습니다. 이 단어들은 보통 로그인이 필요 없는 URL에 나타납니다.

제 브라우저가 보낸 요청은 인증된 요청이었습니다. Cookie 헤더가 서버에 제 로그인 ID를 전달하고 있었습니다. 하지만 서버가 과연 로그인 상태를 확인하고는 있는 걸까요?

리베이트 포털 서버가 로그인을 확인하는지 테스트하기 위해 Cookie 헤더를 제거한 채 동일한 요청을 다시 보냈습니다. 그런데도 리베이트 포털은 제 개인정보를 그대로 반환했습니다. 큰일입니다. Eversource는 로그인을 확인하지 않고 있었습니다.

제 신청 ID는 숫자 6자리로, 경우의 수가 100만 개 미만입니다. 그리고 아마 순차적으로 부여될 테니, 리베이트 포털에 접속하는 누구든 제 프로젝트 ID를 추측해 제가 제출한 이름, 전화번호, 집 주소, 차량식별번호(VIN) 등 모든 정보를 볼 수 있습니다.

악의적인 사용자가 제 신청서를 변경하면 어떻게 될까?

Eversource 리베이트 포털이 제 개인정보를 유출하는 것만으로도 충분히 심각하지만, 더 심각한 문제가 있습니다. 제 신청서에 접근하기 위한 로그인 화면은 다음과 같이 생겼습니다:

제 데이터를 모두 쏟아내는 취약한 URL에는 이 필드들이 모두 포함되어 있습니다. 악의적인 사용자는 취약한 URL에서 제 신청 번호와 이메일 주소, 우편번호를 빼낸 뒤 저인 척 리베이트 포털에 로그인할 수 있습니다. 그러면 제가 업로드한 사진이나 서류를 포함해 모든 정보에 접근할 수 있습니다.

더 심각한 것은 악의적인 사용자가 제 리베이트 신청서의 정보를 변경할 수 있다는 점입니다. 예를 들어 보조금 수표를 다른 주소로 보내도록 바꿀 수도 있습니다.

취약점 신고

Eversource의 리베이트 포털을 운영하는 회사는 Resource Innovations이며, 다른 도시의 여러 전력 회사를 위해서도 유사한 프로그램을 운영하는 것으로 보입니다.

저는 Resource Innovations의 privacy@ 이메일로 심각한 취약점을 발견했으며 보안팀과 세부 내용을 공유하고 싶다는 메일을 보냈습니다. Eversource에서는 공개된 보안 메일 주소를 찾을 수 없어, Eversource의 최고정보보안책임자(CISO)인 Christopher Leigh에게 직접 이메일을 보냈습니다.

다음 날 Resource Innovations의 정보보안 부사장인 Desiree Robinson으로부터 답장을 받았습니다. 그녀는 취약점을 검토하기 위해 즉시 화상 통화를 하자고 제안했지만, 문제가 워낙 단순해서 굳이 통화할 필요가 없었습니다. 저는 인증 없이도 동작하는 HTTP 요청 예시를 이메일로 보냈고, 그녀는 다음 날 문제가 수정되었다고 답했습니다. 저도 유효한 로그인 토큰 없이는 더 이상 취약한 URL에 접근할 수 없음을 확인했습니다.

Eversource CISO인 Christopher Leigh에게는 답을 받지 못했지만, Eversource의 “Executive Inquiry office” 소속 Karla Pickett으로부터는 연락을 받았습니다. 그녀는 협력업체가 “현재 이 문제를 해결하기 위해 작업 중”이라고 말했습니다.

저는 Karla Pickett과 Desiree Robinson 두 사람에게 앞으로 고객을 더 잘 보호하기 위해 어떤 보호 조치를 마련했는지 자세히 공유해 줄 수 있는지 물었습니다. 또한 보안 문제를 책임 있게 공개하는 사람들에게 버그 바운티를 제공하는지도 물었지만, 두 사람 모두 후속 질문에는 답하지 않았습니다.

이 블로그 게시물에 넣을 스크린샷을 준비하던 중, 같은 화면 흐름에 있는 또 다른 URL도 인증 확인 없이 고객 데이터를 노출하고 있다는 사실을 발견했습니다. 이번에는 제 성명과 집 주소, 신청 번호만 노출되었습니다. 저는 다시 Desiree Robinson에게 연락해 신고했고, 그녀는 7분 만에 조사 중이라고 답했습니다. 다음 날 해당 URL을 다시 테스트해 보니 정상적으로 인증을 확인하고 있었습니다.

Eversource와 Resource Innovations의 엔지니어링과 보안 수준에 대해서는 불만이 많지만, 한 가지는 인정해야 합니다. 그들은 대응이 매우 빨랐습니다. 보상에 대해 물었을 때만 빼고요.

신고 타임라인

• 2025-01-27 - Eversource와 Resource Innovations, 매사추세츠 공공사업부에 취약점을 발견해 신고하고 싶다고 연락했습니다.
• 2025-01-28 - Resource Innovations가 세부 내용을 요청하며 답장했습니다.
• 2025-01-28 - Resource Innovations에 취약점 세부 정보를 공유했습니다.
• 2025-01-29 - Resource Innovations가 문제를 수정했다고 알렸습니다.
• 2025-02-05 - 리베이트 포털의 다른 URL에서도 동일한 문제를 발견해 Resource Innovations에 신고했습니다.
• 2025-02-05 - Resource Innovations가 문제 수정을 시작하겠다고 알렸습니다.
• 2025-02-06 - 취약한 URL을 다시 테스트해 보니 이제 인증이 제대로 적용되고 있음을 확인했습니다.

매사추세츠 주민이 할 수 있는 일

마침 Eversource는 새로운 전기차 리베이트 프로그램을 위해 세금으로 재원을 마련해 달라고 요청하는 중입니다.

매사추세츠 주민은 Eversource의 제안에 대해 주 정부에 의견을 제출할 수 있습니다. DPU에 따르면 매사추세츠 주민의 의견은 이런 인허가 절차에서 영향력이 크다고 하니, 전기차 프로그램에 관심이 있다면 2026년 2월 18일까지 공개 의견 제출을 권해 드립니다(“Any person interested in commenting on this matter…” 참조).

이번 주 수요일(2월 11일)에는 Eversource 제안과 관련해 Zoom으로 공개 청문회도 열릴 예정입니다.

전기차 리베이트 프로그램에 바라는 점

참고로 Eversource는 동네의 작은 전력 회사가 아닙니다. 포춘 500대 기업으로, 지난 12개월 동안 13억 달러의 이익을 냈습니다.

제가 겪은 Eversource의 현행 전기차 리베이트 프로그램에 비추어 보면, Eversource는 매사추세츠 주민의 세금으로 조성된 공적 자금을 사용하면서 가능한 한 많은 업무를 그 주민들에게 떠넘기고 있습니다.

전기차 리베이트 신청은 구매 증빙을 제출하고 수표를 기다리는 5~10분짜리 절차가 되어야 합니다. 하지만 저는 두 달에 걸쳐 여러 시간을 들였고, 아직도 Eversource가 제 신청을 승인할지 알 수 없습니다. 제가 한 일 대부분은 프로그램 취지와 전혀 상관없어 보이는 서류와 정보를 모으는 일이었습니다.

근본적인 문제는 ‘측정되는 것이 관리된다’는 점인데, 아무도 매사추세츠 주민이 Eversource 리베이트 프로그램 때문에 쓰는 시간을 측정하지 않는다는 것입니다. 그 결과 Eversource는 프로그램에 대한 투자를 최소화하면서 주민들의 시간을 낭비하고 개인정보를 노출시키고 있습니다.

Eversource의 새로운 전기차 리베이트 프로그램에서 제가 바라는 바는 다음과 같습니다:

• Eversource는 리베이트의 조건으로 고객에게 새로운 온라인 계정 생성을 요구해서는 안 됩니다.
  • 리베이트 양식은 기존의 표준 Eversource 고객 포털을 통해 제공되어야 합니다.
  • 제3의 업체가 리베이트 포털을 운영하더라도, 고객이 새 계정을 만들 필요가 없도록 안전한 싱글 사인온(SSO) 절차를 구현해야 합니다.
  • Eversource는 이름, 주소, 계정 번호 등 이미 보유한 고객 정보로 리베이트 양식을 미리 채워 넣어야 합니다.
• 주거지에서 전기차 충전 보조금을 신청하는 주택 소유자의 경우, 요구 서류는 (1) 충전기의 제조사, 모델명 및 일련번호와 (2) 충전기 및 전기 공사에 대한 영수증 또는 청구서만으로 충분해야 합니다.
  • 청구서에 ‘완납’ 표시가 있을 필요는 없습니다.
  • 주민이 전기차 소유를 증명할 필요는 없습니다. 부분적인 보조금을 받기 위해 손해를 보면서까지 전기차 충전기를 설치할 사람은 없기 때문입니다.
• Eversource는 자비로 매사추세츠 소재 웹 보안 업체를 고용해 리베이트 포털에 대한 연례 보안 감사를 실시해야 합니다.
  • Eversource는 감사 결과를 매사추세츠 DPU에 제출하고, High 또는 Critical 등급을 받은 문제는 6주 이내에 수정해야 합니다.
• Eversource는 다음 지표를 분기별로 공개해야 합니다:
  • 리베이트 신청을 시작한 고객 수,
  • 한 번 이상 신청이 반려된 고객 수(최종 결과와 무관하게),
  • 리베이트를 성공적으로 청구해 지급받은 고객 수.
• 신청 과정 전반에 걸쳐 Eversource는 전기차 리베이트 프로그램을 감독하는 매사추세츠 DPU 담당 부서의 연락처를 표시해야 합니다.
  • 연락처는 리베이트 청구 거절 통지서에 눈에 잘 띄게 표시되어, 주민이 잘못된 거절에 대해 이의를 제기할 수 있도록 해야 합니다.
• 매사추세츠 DPU는 전기차 충전기 리베이트 신청을 감사할 수 있는 권한을 가져야 합니다.
• Eversource가 신청을 반려했는데 DPU가 부당한 반려로 판단하면, Eversource는 고객에게 청구한 리베이트 금액의 150%를 지급해야 합니다.
  • DPU는 부당한 반려가 있었던 청구 건에 대해서는 나중에 승인되더라도 Eversource에 상환해서는 안 됩니다.

참고: 표시된 HTTP 요청에서 제 계정 정보가 노출되지 않도록 고유 식별자를 생략하거나 변경했습니다.