카드결제 단말기 해킹 비상… 모바일페이도 '구멍'

#지난 한 달간 A상점에서 카드 결제한 이용자들의 카드정보가 모두 해커 손에 넘어갔다. 플라스틱 카드 뿐 아니라 모바일페이 사용자 정보도 유출됐다. 보안성을 강조해온 모바일페이지만 매장에 설치된 결제단말기 자체가 해킹당하면 손 쓸 방법이 없다.

3일 보안업계에 따르면 최근 사이버상에서 금융정보 탈취 시도로 급증하고 있는 가운데 ‘모바일페이’도 더 이상 안전지대가 아니라는 분석이 나오고 있다. 매장마다 설치된 POS(판매시점관리) 결제 단말기에 대한 해킹 공격이 늘어나면서다. A 상점의 해킹 사례는 가상 시나리오지만, 국내를 포함 전세계적으로 벌어지고 있는 사건이기도 하다.

◇결제단말에 저장된 금융 정보 노린 공격…모바일페이 정보도 포함=국내에서도 POS 단말기를 노린 악성코드 유포 사실이 최근 적발됐다. 보안기업 하우리에 따르면, 최근 POS 결제단말기를 노린 ‘다이아몬드폭스 봇넷’이라는 악성코드가 유포됐다. 글로벌 보안기업 카스퍼스키랩이 지난해 차단한 POS 해킹 시도 건수만 1만1500건이 넘는다. 그만큼 공격이 활발하고 국내도 안전하지 않다는 의미다.

모바일페이를 사용한 이용자도 피해갈 수 없다. 해당 악성코드는 단말기에 저장된 카드번호 등 금융 정보를 탈취하도록 제작됐기 때문. 모바일페이, 플라스틱카드 등을 막론하고 해당 결제 카드정보를 담은 메모리 영역에 해커가 접근해 정보를 빼돌리게 된다. 이용자 손을 이미 떠난 정보에 대해서는 손쓸 방법이 없다. 단말기에서 해당 정보를 철저히 암호화하지 않았다면 범죄자가 고스란히 그 정보를 갖게 된다.

POS 단말기는 대부분 마이크로소프트(MS)의 운영체제(OS) ‘윈도’를 이용하고, 인터넷이 항상 연결된 일종의 PC다. 통상적인 카드 결제 등 매장 관리를 위한 업무 외에도 웹 서핑 등을 통해 외부와 정보를 주고받을 수 있는 구조다. 이는 곧 해커들이 POS 내부로 비집고 들어갈 틈이 된다. 이들은 일반적인 웹을 통해 POS에 악성코드를 유포하는 것으로 조사됐다.

◇“중소매장, POS 보안 점검 수시로 必”=보안전문가들은 POS 단말기를 이용하는 매장 관리자의 보안 책임이 가장 크다고 말한다. 고객 정보를 안전하게 다룰 의무가 있는데, 작은 매장의 경우 이런 보안 의식이 부족하다는 지적이다.

피해 예방을 위해서는 우선 POS 시스템의 로그인 암호를 주기적 변경하고 복잡하게 설정하는 것이 기본이다. 웹 서핑 등 POS 시스템운영에 불필요한 서비스는 차단하는 것이 좋다. 대개 악성코드가 유입되는 통로로 악용되기 때문이다. 보안업체들이 내놓은 POS 전용 보안 프로그램 사용하고, 주기적인 OS 업그레이드, SW(소프트웨어) 보안 패치 적용 등도 필수다.

안랩 박태환 ASEC대응팀장은 “해외 유명 마트나 호텔의 POS 시스템이 해킹되는 등 세계적으로 POS 시스템을 대상으로 한 악성코드 피해가 다량 발생하고 있어 국내도 안전지대가 아니다”라고 말했다. 이어 “특히 POS는 한 번 피해가 발생하면 대량 정보 유출 사고로 이어질 수 있기 때문에 POS 단말기를 도입한 기업과 관리자는 전용솔루션 도입 등 보안 관리에 힘써야 한다”고 강조했다.