POS 시스템에서 결제카드 데이터와 PIN 훔치기,

"누워서 떡먹기"...NCR 보안 연구원

최근 몇년 동안 소매 및 숙박 업계를 강타한 대규모 결제카드 보안 침해 사건의 상당수는

메모리 스크래핑(memory-scraping) 악성코드의 POS 시스템 공격을 통해 발생했다.

그러나 현재 카드 리더와 POS 결제 애플리케이션 사이에 인증 및 암호화가

없기 때문에 이보다 더 쉬운 방법으로도 데이터를 훔칠 수 있다.

POS 시스템은 특수 컴퓨터다. 일반적으로 윈도우에서 실행되며 키보드,

터치스크린, 바코드 스캐너, PIN 패드가 달린 카드 리더 등의 주변기기와 연결된다.

또한 거래를 처리하기 위해 특수한 결제 애플리케이션이 설치된다.

공격자가 POS 시스템에서 결제카드 데이터를 훔칠 때 사용하는 일반적인 방법 가운데 하나는

훔친 원격 지원 인증 정보를 통해, 또는 기타 다른 기법으로 시스템을 악성코드에 감염시키는 것이다.

이러한 악성코드 프로그램은 POS 시스템의 결제 애플리케이션에 의해 신용카드가 처리될 때

시스템 메모리에서 신용카드 데이터를 스캔하므로 메모리 또는 RAM 스크래퍼로 불린다.

누워서 떡먹는 법 시연
그러나 지난 2일 미국 라스베이거스의 B사이드(BSides) 컨퍼런스에서 미국 소재의 POS 및 ATM 제조업체

NCR에서 나온 보안 연구원 니르 발트만과 패트릭 왓슨은 PIN 패드가 달린 카드 리더, 주유기 결제 단말기를

포함한 대부분의 "결제 상호 작용 지점"에서 사용 가능한, 한층 더 은밀하고 효과적인 공격 방법을 시연했다.

이러한 기기가 모두 공유하는 주된 문제점은 데이터를 POS 결제 소프트웨어로

되돌려 보낼 때 인증이나 암호화를 사용하지 않는다는 점이다.

따라서 네트워크나 직렬 연결을 도청하는 외부 기기, 또는 POS 시스템 자체를 실행하는

"심(shim) 소프트웨어"를 통해 중간자(man-in-the-middle) 공격에 그대로 노출된다.

두 연구원은 데모에서 PIN 패드와 결제 앱 시뮬레이터가 설치된 노트북 사이의 데이터 케이블을

도청하는 트래픽 캡처 소프트웨어, 그리고 라즈베리 파이 기기를 사용했다.

PIN 패드의 상부는 제조사와 모델이 노출되지 않도록 덮개로 가려졌다.

연구원들은 많은 시스템이 공격에 취약한 상황에서 특정 벤더 하나만 드러내는 것을 원치 않았다.

데모에서는 내부자 또는 기술자를 가장한 사람이 설치할 수 있는 외부 기기를 사용했지만 공격자는 원격 접근을

확보할 경우 간단히 결제 앱의 DLL(동적 링크 라이브러리) 파일을 수정해서 운영체제 내부에서 데이터를 가로챌 수 있다.

정상적인 결제 소프트웨어가 로드하는 이러한 수정된 DLL은 메모리 스크래핑 악성코드보다 탐지하기가 훨씬 더 어렵다.

기사 원문보기 : http://www.itworld.co.kr/news/100627