[해외보안동향] 미국 유통업체, POS 시스템 공격에 당하다

CNBC 'Target' CEO 인터뷰영상

2014년 1월 말, FBI가 유통업체들에게 사이버 공격에 대한 방어를 강화해야 한다고 경고했습니다.

FBI는 최근 발견된 데이터 탈취 케이스 20여개가 같은 타입의 멀웨어(Malware- Malicious Software : 악성 행위를 수행하도록 제작된 소프트웨어를 나타내는 것으로, 국내에서는 일반적으로 '악성코드'와 같은 의미로 사용됩니다)를 사용한 것이었으며, 이 멀웨어는 카드 결제 기기, 캐시 레지스터, 그리고 POS 장비에 삽입된다고 전했습니다. 또한 FBI는 POS 멀웨어가 적은 비용으로 엄청난 수익을 내기 때문에 당분간 계속 증가할 것이라고 전망하기도 했습니다. 

매장에서 쉽게 볼 수 있는 POS 기기

FBI의 이와 같은 발표는 최근 미국 내에서 증가하는 POS시스템(매장에서 결제 시, 판매 정보를 해당 점포와 중앙 관리 서버에 저장하고 관리하는 모든 과정. 기기로 보자면 직접 카드를 긁는 단말기와 단말기에서 전송된 카드정보, 상품 가격 등 결제 및 지불과 관련된 내용을 화면으로 보여주는 컴퓨터, 그리고 중앙 관리 컴퓨터까지 포함합니다. 각 점포의 컴퓨터는 업체의 메인컴퓨터(중앙관리자)와 네트워크를 형성하고 있어, POS 시스템은 백화점이나 마트 등 대형 유통업체에서 각 점포의 판매정보를 관리하는 데에 유용하게 활용되고 있습니다)을 이용한 데이터 유출 사건과 관련이 큰 것으로 보입니다. 미국의 소매 유통업체 'Target'의 데이터 유출 사건을 시작으로 고급 백화점인 니먼 마커스, 공예 소매 업체인 Michaels까지 POS 시스템과 관련하여 공격받은 것으로 추측되기 때문입니다.

특히, 'Target'은 FBI가 위와 같은 전망을 발표하기 약 보름 전에 POS을 타겟으로 한 멀웨어에 감염되었다는 사실을 발표한 바 있습니다.

 

'Target' 측은 이번 데이터 유출은 그들의 POS 레지스터가 멀웨어에 감염되면서 발생했다고 발표했고, 이에 대해 일부 해외 보안업체 측은 RAM Scraping(여기서는, 말 그대로 램(Random Access Memory)에 저장되는 정보를 긁어오는 것을 말합니다. POS 시스템 역시 일반 컴퓨터처럼 램에 정보를 저장하는데, 이 때 지불정보가 잠시 암호화되지 않는 순간이 있습니다. POS Ram Scraping 멀웨어는 몇 밀리초에 해당하는 이 짧은 순간을 노려 정보를 긁어내고, 공격자에게 전송하는 역할을 합니다) 멀웨어가 공격에 사용된 것으로 분석하였습니다.

RAM Scraping이 가능한 이유는 POS 터미널로부터 POS 레지스터로 전달된 카드 데이터가 레지스터의 메모리에 저장될 때 암호화되지 않기 때문입니다.

POS 터미널은 우리가 직접 카드를 긁는, 키패드가 있는 기기이고, POS 레지스터는 윈도우 운영체제로 운영되며 전사적 네트워크로 연결되어 있는 기기입니다. RAM Scraping 봇은 이 순간을 활용하여 지불 프로세스가 채 완료되기 이전에 데이터를 갈취하는 것으로 분석됩니다.

'알약'에서는 해당 악성코드에 대하여 Trojan.Infostealer.Reedum으로 탐지하고 있습니다.

참고 보도자료:

http://news.softpedia.com/news/FBI-POS-Malware-Crime-Will-Continue-to-Grow-Reuters-420539.shtml

http://www.pcworld.com/article/2087240/target-pointofsale-terminals-were-infected-with-malware.html