만만한 게 POS... 대형 호텔 20여 곳에서 POS사건 발생
연결성 지나치게 좋은 환경... 서드파티의 서드파티도 위험하다

[보안뉴스 문가용] 최근 HEI 호텔 엔 리조트(HEI Hotels & Resorts) 측에 POS를 겨냥한 악성 공격이 발생했다. 그 전에는 오라클의 마이크로스(MICROS) 및 기타 POS 제품들에도 여러 가지 악성 공격이 보도되었다. 동시에 현재 격동의 시기를 지나고 있는 지불 시장이 얼마나 위태위태한 지가 드러났다.

HEI는 메리어트, 쉐라톤, 하이얏, 웨스틴 등 여러 유명 호텔 브랜드를 거느리고 있는 거인으로 8월 12일 20여개의 사업장 POS 시스템에서 멀웨어가 검출되었다고 신고했다. 위에 언급한 유명 호텔 브랜드들이 전부 이 20곳에 포함되어 있었다. 수사는 아직도 진행 중이지만, 방문객들의 신용카드 번호, 만기일, 인증번호가 유출된 것으로 알려졌다. 아직 피해자의 정확한 규모는 공개되지 않았다.

HEI의 이 쇼킹한 소식 전에는 오라클에서 비보가 날아들었다. MICROS POS 시스템을 통해 접속하는 고객지원 웹 사이트 한 곳에 누군가 침투했다는 내용이었다. 오라클에 따르면 공격자는 이 사이트에 사용자 이름과 암호를 중간에서 훔쳐내는 멀웨어를 심었다고 한다. MICROS 관련 사고가 특히 우려가 되는 건 해당 웹 사이트에서 로그인 정보와 크리덴셜을 가로챈 공격자들이 MICROS의 주요 고객들인 호텔 숙박 업체들과 도소매 업체들의 네트워크에 접속해 추가 범죄를 저질렀을 가능성이 다분하기 때문이다.

이 시점에서 MICROS와 HEI 그룹 사태에 연결고리가 의심되는 게 타당하나 적어도 공식적으로는 두 사건 사이에 연결지점이 없다는 걸로 판명되었다. 다만 두 사건 모두 수사가 진행 중이고, 사이버 범죄의 경우 수사 진행에 따라 이전에 발표된 사실이 뒤집어지는 일이 적지 않기 때문에 더 지켜봐야 할 필요는 있다. 여태까지 드러난 사실들로서 알 수 있는 점들을 몇 가지 정리해보았다.

1. POS 시스템은 만만한 공격 표적이다
POS 시스템 해킹 소식은 정보보안 관련 소식의 ‘스테디셀러’다. 소식이 나오는 것도 꾸준한데, 전파를 타지 못한 실제 범죄는 훨씬 더 빈번하다. “POS 기기 및 관련 네트워크는 사이버 공격을 활용하는 범죄 집단의 만만한 먹잇감입니다.” 트랩엑스 시큐리티(TrapX Security)의 부회장인 안토니 제임스(Anthony James)의 설명이다. “ATM들이 해커들에게 취약한 것과 비슷한 이유에서입니다. 기기도 오래되고 내부 운영 시스템도 오래된 게 많기 때문이죠.”

그렇기 때문에 공격 지속 시간도 매우 긴 것이 보통이다. “한번 침투하면 수개월 동안 계속해서 시스템 내에서 활동합니다. 그러면서 꾸준하게, 조금씩 정보를 캐내는 것이죠. 그 정보에는 돈과 관련된 것들이 당연히 포함되어 있고요.”

2. 서드파티 위험관리는 이제 필수
MICROS 사태에서 알 수 있듯이 파트너사나 협력업체, 이른 바 서드파티와 본사와는 네트워크 관점에서 한 몸이나 다름없다. 하나가 당하면 나도 당하고, 내가 당하면 저쪽도 당한다. MICROS가 당했다고 하니 호텔 업계 및 도소매 업계가 벌벌 떨게 되는 게 다 이런 이유에서다. 사이버 범죄자들에게 한 다리 건너 돌아들어가는 공격은 식은 죽 먹기가 되었다.

“현대 우리 사회의 연결성을 절대 무시해서는 안 됩니다. 직접 거래하는 파트너사들을 지금 직접 관리하지 못하면, 이제 곧 파트너사의 파트너사의 파트너사를 통해서도 공격이 들어오는 시대를 맞이하게 될 겁니다. 파트너사들과 일만 같이 할 게 아니라 보안도 같이 하는 문화도 얼른 만들어놔야 합니다.” 사이버GRX(CyberGRX)의 프레드 네이프(Fred Kneip)의 설명이다.

3. 서로서로 연결이 잘 된 시스템들은 특별 보호 해야 한다
MICROS 해킹 사건의 정확한 경위가 밝혀진 건 아니지만 오라클 네트워크에 연결된 시스템 하나로부터 공격이 출발했을 가능성에 가장 많은 무게가 실리고 있다. 공격자들은 그 기기 혹은 시스템 하나를 발판삼아 MICROS 고객지원 웹 사이트에 침투했고, 거기서부터 각종 고객 업체들의 네트워크로 들어간 것으로 보인다.

“연결의 핵심이 되거나 치명적인 피해가 예상되는 시스템일수록 더 신경 써서 보호해야 하는 이유가 이번 MICROS 사건으로 드러났죠. 이런 시스템들에 설치된 애플리케이션은 더 중요하고요.” 베이 다이내믹스(Bay Dynamics)의 부회장인 스티븐 그로스만(Steve Grossman)의 설명이다. “즉 고객정보가 보호된 저장소처럼 가장 중요한 핵심 저장소는 따로 분리를 한다든지 가장 효율이 좋다는 보안 장비를 덧입힌다든지 해야 한다는 겁니다. 중요한 건 중요하게 보호해야 하죠.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>