사람이 있는 곳엔 해커가 있기 마련... 상반된 교육 자료 출시

[보안뉴스 문가용] 미국에서 지금 한창 바쁘게 변화하고 있는 지불 시장에 또 한 차례 파장이 예고되어 있습니다. 지금의 시스템보다 훨씬 안전하다고 알려진 EMV가 벌써 사기꾼들에게 집단으로 악용된 것이죠. 또한 삼성의 핸드폰은 해외에서 지난 주말 녹스 논란에 이어 또 취약점이 발견돼 바쁜 주말을 보낼 예정입니다. 게다가 이번엔 NIST에서 공식 발표된 취약점이네요. 오늘 가장 눈에 띄는 건 콘텐츠 관련 사이트가 두 곳 해킹당했다는 소식입니다. 드루팔과 팝사이, 사람들을 불러 모을 만한 것이면 전부 해킹 대상이고, 이제는 온라인 콘텐츠도 그 영역 안으로 들어가는 느낌입니다. 온라인 콘텐츠 하면 교육 자료를 빼놓을 수 없는데요, 올해 내내 시달린 PCI에서 보안 교육 자료를 발간하고 해킹팀에서 해킹 교육 자료를 ‘유출 당해’ 재미있는 상황이 벌어지고 있습니다.

1. 브라질 사기집단, 가짜 EMV 카드로 미국 은행 노려(Infosecurity Magazine)

http://www.infosecurity-magazine.com/news/brazilian-fraudsters-hit-us-banks/

얼마 전 미국 홈데포 고객 정보가 대량으로 유출된 사고가 있었습니다. 그밖에 여러 카드 거래 관련 정보가 연속해서 유출되고 있는 통에 미국 사회가 몸살을 앓고 있다고 하는데요, 이런 사고 속에서 정보를 도난당한 고객들이 2차 피해를 입고 있다고 합니다. 남미 해커들이 이 정보들을 가지고 신용카드 계정을 탈취하는 것입니다. 이때 EMV 스푸핑 기술을 활용한다고 합니다. EMV가 새로운 카드 보안의 대주자로 떠오르고 있는 상황에서 널리 도입되기도 전에 이런 일이 일어나고 있어 파장이 적지 않을 듯 합니다.

2. 삼성 안드로이드 전화기, 원격 잠금 취약점 발견(Infosecurity Magazine)

http://www.infosecurity-magazine.com/news/samsung-android-phones-remote-lock/

NIST는 삼성에서 제로데이 취약점이 발견되었다는 경고문을 발송했습니다. 이 취약점을 해커가 악용하면 원격에서 핸드폰을 잠글 수 있다고 합니다. NIST는 이 CVE-2014-8346 오류의 위험등급을 7.8로 잡았으며 익스플로잇 가능성 점수는 10.0점을 주었습니다. 인증 절차 없이도 익스플로로잇이 가능하기 때문에 점수가 높습니다. 삼성이 이번 주초에는 녹스 때문에, 주말 즈음에서는 취약점 때문에 시끄럽네요.

3. 드루팔 해킹당한 듯 보여(Infosecurity Magazine)

http://www.infosecurity-magazine.com/news/drupal-assume-systems-compromised/

드루팔로 만든 사이트들은 일단 다 뚫렸다고 봐야(Security Week)

http://www.securityweek.com/security-advisory-assume-every-drupal-7-site-was-compromised-unless-patched-immediately

드루팔로 만든 사이트들, 10월 15일 안으로 업데이트 하지 않으면 취약해(Threat Post)

http://threatpost.com/assume-every-drupal-7-site-was-compromised-unless-patched-by-oct-15/109095

해커들, 드루팔 취약점 노려(CU Infosecurity)

http://www.cuinfosecurity.com/attackers-exploit-drupal-vulnerability-a-7500

잠깐 둘러봤는데도 무려 네 군데서나 드루팔 해킹이 이슈가 되고 있네요. 우리나라에서도 사용자가 제법 있는 걸로 알고 있는 콘텐츠 관리 시스템으로 사용자들이 쉽게 웹 사이트를 만들어 운영할 수 있도록 해주는 플랫폼입니다. 외국에서는 상당히 인기가 많고 널리 쓰이고 있습니다. 그러니 단순한 웹 사이트 해킹 소식이 아닙니다. 이렇게 여러 매체의 헤드라인을 장식하고 있는 것만 봐도 알 수 있죠. 패치가 나오긴 했지만 백도어에 대한 방비책은 포함되어 있지 않다고 합니다.

4. 인기 과학 웹 사이트 해킹당해 멀웨어 배포 중(Threat Report)

http://threatpost.com/popular-science-website-infected-serving-malware/109089

대중과학이라는 이름의 Popular Science라는 사이트는 독자를 상당 수 거느린 매체입니다. 남다른 읽을거리 즉, 콘텐츠로 사람들이 늘 북적대는 곳이죠. 사람이 많은 곳엔 뭐가 있다고 하죠? 네, 바로 해커입니다. 대중과학이라는 뜻의 팝사이(www.popsci.com)에서는 악성 아이프레임이 주입되어 있고 사용자들을 RIG 익스플로잇 킷으로 우회시킨다고 합니다.

5. PCI, 보안 교육 가이드 발간(SC Magazine)

http://www.scmagazine.com/the-pci-security-standards-councils-guidelines-to-educate-organizations-staff/article/380326/

신용카드 정보보안 표준 협회인 PCI SSC에서 드디어 보안 교육 가이드라인을 발표했습니다. ‘드디어’인 이유는 아시다시피 미국 POS가 너무나 무력하게 뚫려왔기 때문이고, 급기야는 신용카드 기술이 EMV로 옮겨가기에 이르렀기 때문입니다. 조금 늦은 감도 있긴 하지만, 없는 것보다 낫겠죠.

6. 해킹팀의 스파잉 매뉴얼 유출(SC Magazine)

http://www.scmagazine.com/hackingteam-spying-software-manuals-uploaded-online/article/380324/

보안만 교육하냐, 해커도 교육한다는 걸까요? 5번과 맞물려 재미있는 사건이 터졌습니다. 이탈리아의 해킹 단체인 해킹팀(HackingTeam)의 RCS 교육 자료가 인터넷 상에 노출된 것입니다. 2013년 9월에 작성된 것으로 보이며 기술자, 관리자, 분석가들을 대상으로 어떻게 기기를 감염시키는지가 상세하게 설명되어 있습니다. 현재 더 인터셉트(The Intercept)에 포스팅되어 있습니다.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>