POS 시스템에서 결제카드 데이터와 PIN 훔치기,

"누워서 떡먹기"...NCR 보안 연구원

최근 몇년 동안 소매 및 숙박 업계를 강타한 대규모 결제카드 보안 침해 사건의 상당수는

메모리 스크래핑(memory-scraping) 악성코드의 POS 시스템 공격을 통해 발생했다.

그러나 현재 카드 리더와 POS 결제 애플리케이션 사이에 인증 및 암호화가 없기 때문에 이보다 더 쉬운 방법으로도 데이터를 훔칠 수 있다.
POS 시스템은 특수 컴퓨터다.

일반적으로 윈도우에서 실행되며 키보드, 터치스크린, 바코드 스캐너, PIN 패드가 달린 카드 리더 등의 주변기기와 연결된다.

또한 거래를 처리하기 위해 특수한 결제 애플리케이션이 설치된다.

공격자가 POS 시스템에서 결제카드 데이터를 훔칠 때 사용하는 일반적인 방법 가운데

하나는 훔친 원격 지원 인증 정보를 통해, 또는 기타 다른 기법으로 시스템을 악성코드에 감염시키는 것이다.

이러한 악성코드 프로그램은 POS 시스템의 결제 애플리케이션에 의해 신용카드가 처리될 때

시스템 메모리에서 신용카드 데이터를 스캔하므로 메모리 또는 RAM 스크래퍼로 불린다.

누워서 떡먹는 법 시연
그러나 지난 2일 미국 라스베이거스의 B사이드(BSides) 컨퍼런스에서 미국 소재의 POS 및 ATM 제조업체 NCR에서 나온

보안 연구원 니르 발트만과 패트릭 왓슨은 PIN 패드가 달린 카드 리더, 주유기 결제 단말기를 포함한

대부분의 "결제 상호 작용 지점"에서 사용 가능한, 한층 더 은밀하고 효과적인 공격 방법을 시연했다.

이러한 기기가 모두 공유하는 주된 문제점은 데이터를 POS 결제 소프트웨어로

되돌려 보낼 때 인증이나 암호화를 사용하지 않는다는 점이다.

따라서 네트워크나 직렬 연결을 도청하는 외부 기기, 또는 POS 시스템 자체를 실행하는

"심(shim) 소프트웨어"를 통해 중간자(man-in-the-middle) 공격에 그대로 노출된다.

기사 원문보기 : http://www.itworld.co.kr/news/100627