남아프리카 은행, 직원이 마스터키 훔쳐 1,200만 카드 재발급할 위기에 처해

South African bank to replace 12m cards after employees stole master key

남아프리카 우체국 은행인 Postbank에서 직원이 마스터키를 훔친 사고가 발생했습니다. 은행은 이로 인한 사기성 거래로 320만 달러 이상을 잃었으며 고객의 카드 1,200만 장 이상을 재발급 해야 할 위기에 처했습니다.

남아프리카의 지역 언론인 Sunday Times에서는 이 사고가 2018년 12월 프리토리아 시의 구 데이터센터에서 누군가 은행의 마스터키를 종이에 프린트했을 때 발생했다고 밝혔습니다.

이 은행은 유출 사건의 원인이 내부에 있다고 보고 내부 보안 감사를 진행한 것으로 알려졌습니다.

마스터키는 36자리 코드(암호화키)로 이 키를 가진 사람은 은행의 운영을 해독하고, 뱅킹 시스템에 접근하여 이를 수정할 수도 있는 것으로 나타났습니다. 

또한 이 마스터키는 고객 카드에 사용되는 키를 생성하는데도 사용됩니다.

내부 보고서에 따르면, 직원들은 2019년 3월~12월 사이 마스터키를 사용해 계좌에 접근하여 사기 거래 25,000건을 실행해 고객 계좌에서 320만 달러 이상을 훔쳤습니다.

Postbank는 유출 사고를 발견한 후 해당 마스터키로 생성된 모든 고객 카드를 교체해야 할 것입니다. 이 작업에는 5,800만 달러 이상이 소요될 것으로 예상됩니다.

여기에는 일반 지불 카드뿐만 아니라 정부 지원 혜택을 받기 위한 카드도 포함됩니다. 

Sunday Times는 800~1,000만 카드가 사회 보조금을 수여하기 위한 것이며, 대부분의 사기 행위가 이 카드를 대상으로 이루어졌다고 밝혔습니다.

부적절한 내부 보안 절차

뱅킹 사기 전문가인 Bank Security(트위터)는 아래와 같이 밝혔습니다.

“보고서에 따르면, 부정부패를 저지른 직원들은 HMK(Host Master Key)나 낮은 단계 키에 접근한 것으로 보입니다.”

“HMK는 모든 키를 보호하는 키로 메인 프레임 아키텍처에서 ATM 핀 번호, 홈 뱅킹 접근 코드, 고객 데이터, 신용카드 등에 접근할 수 있습니다.”

“이러한 데이터 유형에 대한 접근은 아키텍처와 서버 및 데이터 구성에 따라 다릅니다. 이 키는 다른 내부 애플리케이션, 고객 데이터가 저장된 데이터베이스에 대한 접근 권한을 가진 메인 프레임이나 서버에서 사용됩니다.”

“이 키와 다른 하위 레벨 키를 타사 시스템과 교환하는 방식은 은행마다 다르게 구현되어 있습니다.”

Postbank에서 발생한 이 사고는 은행의 마스터키가 은행의 가장 민감한 비밀이며 가장 철저하게 보호되며, 따라서 해킹되는 일이 매우 적기 때문에 특수한 경우라 볼 수 있습니다.

“일반적으로 HMK 키는 전용 서버(전용 OS)에서 관리되며 물리적 접근이 엄격히 금지되어 있습니다.”

“또한 한 사람이 키 전체에 대한 접근 권한을 가지지 않고, 전체 키는 신뢰할 수 있는 관리자 또는 VIP들이 나누어서 보관하고 있으며 이 모든 사람이 동의한 경우에만 재구성될 수 있습니다.”

“PostBank에서 발생한 것과 유사한 사고를 예방하기 위해 일반적으로 키와 접근 권한을 가진 사람은 정기적으로 변경됩니다.”

2020년 2월, 남아프리카 은행인 Nedbank 또한 보안 사고를 겪었습니다. 은행은 해커가 타사 서비스 제공 업체를 해킹해 은행 고객 170만 명 이상의 정보를 훔쳐냈다고 밝혔습니다.

출처:

https://www.zdnet.com/article/south-african-bank-to-replace-12m-cards-after-employees-stole-master-key/