Avanti Markets 자동판매기, 생체인증정보를 포함한 고객정보 유출

Self-Service Food Kiosk Vendor Avanti Hacked

미국의 자동판매기 공급업체인 Avanti Markets의 내부망이 해커의 공격을 받았습니다. 해커는 엔드포인트 결제 디바이스에 악성코드를 심었을 뿐만 아니라, 사용자의 카드정보 및 생체정보 등 개인정보들도 유출된것으로 확인되었습니다. 

이 업체가 판매하는 자동판매기는 음료수, 과자 등 간단한 식품들을 파는 판매기로, 신용카드나 지문, 혹은 현금을 사용하여 결제가 가능합니다. Avanti Markets의 사용자는 160만명이 넘는 것으로 확인되었습니다. 

사건 발생 후, Avanti Markets는 웹페이지에 <사용자 정보 유출에 관한 공지>를 올렸습니다. 

2017년 7월 4일, 내부망이 해커의 침입을 받았으며, 일부 자동판매기에 영향이 있었습니다. 현재까지 조사결과, 아직 명확한 원인을 찾지는 못하였으나, 해커가 특정 자동판매기에 악성코드를 삽입하여 침입하여 불법으로 사용자 정보에 접속한 것으로 추정하고 있습니다. 다행인것은, 자동판매기의 설치방식과 사용방식이 동일하지 않아, 일부 사용자들의 데이터만 유출된 것으로 확인되었습니다. 

Avanti는, 이번 공격에 사용된 악성코드는 신용카드 정보 유출을 목적으로 하고 있다고 밝혔습니다. 만약 사용자가 악성코드에 감염된 자동판매기에서 지문을 이용하여 결제하였다면, 지문정보 역시 탈취되었을 것으로 추정하고 있습니다. 

공격을 받은 후, Avanti는 내부적으로 모든 비밀번호를 바꾸는 조치를 취하였습니다. 또한 공격을 받은 자동판매기 지불 시스템을 잠시 중단하고, 동시에 악성코드를 제겅하는 조치를 취했습니다. Avanti는 현재 법적 소송단계에 들어갔으며, 피해를 받은 사용자들을 위해 핫라인을 개설할 계획이라고 밝혔습니다. 

PoSeidon 악성코드의 소행인가?

일부 익명의 제보자는, Avanti는 데이터에 대한 어떠한 보호조치도 취하지 않고 있었으며, 심지어 기본적인 P2P암호화도 진행하지 않았다고 밝혔습니다. 

P2P암호화는 종단간 암호화로, 신용카드 등 민감정보를 암호화 할 때 사용하는 기술입니다. 이론적으로, End Point 영역에 악성코드가 있다 하더라도, P2P암호화 기술을 적용하면 데이터를 안전하게 보호할 수 있습니다. 

Anvanti는 공지에 악성코드 이름을 공개하지 않았습니다. 하지만 7월 7일, 보안연구원 Brian Krebs의 블로그에 따르면, PoSeidon（FindPOS） 악성코드가 Avanti 공격에 사용되었을 것이라 추측하였습니다. 

PoSeidon 악성코드는 memory scraper 악성코드로  POS 시스템의 메모리를 직접 읽어 데이터를 탈취할 수 있습니다. 이는 러시아 해커가 전 세계 POS 기기를 공격하는데 사용한 악성코드이기도 합니다. 2015년 처음 발견된 이 PoSeidon은, 지금까지 발견된 악성코드들 중에서 가장 복잡한 POS 악성코드라 불리우고 있습니다. 

<출처 : http://securityaffairs.co/wordpress/60864/cyber-crime/avanti-markets-hacked.html>

Brian Krebs가 이와같은 주장을 하는 것은, Avanti공격 트래픽을 분석한 결과, 2015년 cisco 공격 PoSeidon 트래픽과 일치했을 뿐만 아니라, 동일한 SSL인증서가 사용됬기 때문입니다. 

IoT와 생체인증 식별

자동판매기 및 결제시스템 등 IoT 디바이스를 타겟으로 하는 공격은 최근 몇년동안 급증하였습니다. 결제 시스템은 손쉽게 사용자의 민감정보를 유출할 수 있기 때문에 끊임없이 해커들의 공격대상이 되고 있습니다. 

최근 몇년동안, 지문식별과 안면인식 기술이 큰 환영을 받으면서, 이러한 업체들도 생체인식기술을 탑재하기 시작하였습니다. 생체인식은 매우 안전하고, 또 간편하게 사용이 가능하다고 인식하고 있기 때문입니다. 

신용카드나 은행카드는 재발급 받으면 되지만, 생체인증 정보는 평생을 따라다니기 때문에 일단 유출되면 매우 심각한 결과를 초래할 수 있습니다. 이번에 Avanti 공격이 주목을 받는 이유는, 생체인증 정보(지문)가 유출되었기 때문입니다. 전문가들은 생체인증정보에 대해서는 매우 높은 표준을 적용해야 한다고 주장하고 있습니다. 

만약, 세계적으로 생체인증 정보에 대한 보안조치가 아직 마련되어 있지 않은 상황에서, 생체인증정보를 이용한 IoT 디바이스들이 활성화 된다면, 매우 큰 위험을 초래할 수 있습니다. 

출처 :

https://krebsonsecurity.com/2017/07/self-service-food-kiosk-vendor-avanti-hacked/

http://securityaffairs.co/wordpress/60864/cyber-crime/avanti-markets-hacked.html